很多人第一次打开 Clash，会看到配置、代理、规则、策略组、DNS、TUN 等入口，却不知道它们分别解决什么问题。先记住一句话：Clash 是一个本地代理客户端和流量分流工具，它负责读取配置、匹配规则，再把符合条件的连接交给指定的代理或直接连接。
Clash 本身不会自动提供节点、账号或订阅。客户端、核心程序、配置文件和你有权使用的网络服务，是几件不同的事。把这层关系理顺后，Clash 怎么用就不再是“打开开关试运气”，而是一套可以观察、验证和排查的网络配置流程。
本文面向第一次接触 Clash 的读者，介绍它的工作原理、常见组件、基础使用步骤和连接失败时的判断方法。内容只涉及合法合规的本地代理配置，不提供节点、账号或绕过限制的方法。
Clash到底是什么
Clash 可以理解为运行在电脑或手机上的本地代理管理工具。它通常会在设备上监听一个本地端口，浏览器或其他应用把网络请求交给这个端口后，Clash 再根据配置决定请求应该直连，还是交给某个代理策略处理。
在不同平台上，用户看到的客户端名称可能不同，例如 Windows 上的 Clash Verge Rev、macOS 上的 ClashX.Meta，以及 Android 上基于 mihomo 核心的客户端。它们的界面和功能入口有差别，但基本思路相近：加载配置，启动核心，接收连接，执行规则。
需要区分两个概念：
| 名称 | 主要作用 |
|---|---|
| Clash 客户端 | 提供图形界面，管理配置、代理组、日志和系统代理开关 |
| Clash 核心 | 真正负责监听端口、解析配置、匹配规则和转发连接的程序 |
| 配置文件 | 定义代理、策略组、规则、DNS、端口等参数 |
| 订阅链接 | 远程获取配置文件的地址，能否使用取决于来源和格式 |
现在很多新客户端采用 mihomo 作为核心。mihomo 是 Clash.Meta 的后续项目之一，支持较完整的规则、DNS、TUN 和代理协议能力。具体功能仍要以客户端版本和配置文件为准，不能看到“支持 mihomo”就默认所有高级设置都已开启。
Clash是如何处理一条网络请求的
一条连接从应用发出到完成转发，大致经过下面几个环节：
- 浏览器、终端或其他应用发起请求。
- 系统代理、应用代理或 TUN 接管这条流量。
- Clash 核心在本地端口接收请求。
- 核心读取域名、IP、端口等信息，按规则从上到下匹配。
- 规则返回直连、拒绝或某个策略组。
- 策略组再选择具体代理、故障转移组或自动测速组。
- Clash 建立连接，并把结果写入日志。
这个流程解释了一个常见现象：客户端显示运行中，但网页没有任何变化。原因可能是系统代理没有开启，应用没有把流量交给 Clash，或者当前配置里的规则把请求判定为直连。只看客户端图标，无法证明流量已经经过代理。
配置文件里通常有什么
Clash 配置一般使用 YAML 格式。新手不需要一开始就手写完整文件，但看懂下面几个区块，有助于定位问题：
端口设置
mixed-port、http、socks-port 等字段决定客户端在哪些本地端口接收 HTTP 或 SOCKS 请求。系统代理地址和端口必须与这里的设置对应，否则应用会连接到错误的端口。
代理与代理组
proxies 是具体的代理定义，proxy-groups 是对这些代理的进一步分组。一个策略组可以让用户手动选择，也可以按故障转移、负载均衡或测速结果选择。列表里只有策略组，没有可用成员时，切换策略也不会产生有效连接。
规则与规则集
rules 决定请求如何分流。常见判断条件包括域名、IP、进程和地理信息，动作可能是直连、拒绝或交给某个策略组。规则通常从上到下匹配，前面的宽泛规则可能提前结束判断，所以排查时要看规则顺序。
DNS与TUN
DNS 负责把域名解析成 IP。配置不合适时，可能出现域名解析失败、打开速度慢或规则判断不准确。TUN 则是更底层的接管方式，可以覆盖一些不读取系统代理的应用，但会涉及系统权限、路由和 DNS，建议在基础配置跑通后再启用。
Clash、普通代理和VPN有什么区别
三者经常被放在一起讨论，但工作层级并不完全相同。
普通 HTTP 或 SOCKS 代理通常需要在某个应用里单独填写地址和端口。Clash 更像一个代理管理层，可以同时管理多个代理、规则和策略组，再通过系统代理或 TUN 把配置应用到更多流量。
VPN 往往通过系统级隧道接管网络，应用不一定需要知道代理地址。Clash 在桌面端常见的基础模式是系统代理，在 Android 等平台则可能通过系统 VPN 权限工作。两者都不能简单等同于“自动变快”或“绝对安全”，实际效果会受到当前网络、目标服务、DNS、规则和配置质量影响。
新手第一次使用Clash的正确顺序
第一步：选择可信客户端
根据系统选择维护状态正常、来源清晰的客户端。下载时优先查看项目官方仓库、Release 页面或系统应用商店，不要从搜索结果里的“破解版”“免安装版”页面获取程序。
安装前确认系统架构和权限要求。Windows 常见的是 x64 和 ARM64，Mac 需要区分 Apple Silicon 与 Intel，Android 则要注意系统版本和应用来源。
第二步：导入自己有权使用的配置
Clash 可以读取本地 YAML，也可以从订阅 URL 获取远程配置。导入后要在配置页面选中它，并手动更新一次。成功的判断不是“文件显示在列表里”，而是代理组、规则和日志都能正常加载。
订阅链接通常带有访问权限，不要发到公开论坛、评论区或截图中。更新前保留一份能正常工作的旧配置，遇到新配置解析失败时可以快速回退。
第三步：先用规则模式测试
规则模式适合日常使用，因为它会根据配置把不同请求分到直连或指定策略。全局模式可以用于短时间判断代理链路是否能建立，但它会让更多流量进入同一策略，排错完成后应回到符合需求的模式。
测试时先打开一个普通网页，再观察连接日志。日志中没有对应请求，优先查系统代理、应用代理或 TUN 是否接管；有请求但连接失败，再检查策略组、DNS、端口和配置来源。
第四步：最后再处理TUN
某些应用不会读取系统代理，例如部分游戏、终端工具或自带网络栈的软件。这时可以考虑应用内单独设置代理，或者在客户端支持的情况下启用 TUN。启用前先备份配置，并记录原来的系统网络设置。
如果打开 TUN 后所有网络都异常，先关闭 TUN，确认系统代理是否能恢复，再检查权限、路由和 DNS。不要同时改动多个高级选项，否则很难判断是哪项设置造成问题。
如何判断Clash是否真的在工作
可以用一条简单的排查路径：
- 客户端状态是否显示核心正在运行。
- 当前配置是否被选中，代理组里是否有成员。
- 本地监听端口是否与系统代理设置一致。
- 系统代理或应用代理是否开启。
- 打开网页时，连接日志是否出现新请求。
- 切换直连模式后，现象是否发生变化。
如果日志完全没有记录，问题通常发生在“流量进入 Clash 之前”。如果有记录但失败，问题才进入策略、解析或上游连接环节。这个判断比反复重启客户端更有效。
常见使用误区
只安装客户端，不导入配置
安装完成不等于可以直接使用。没有配置，核心不知道代理、规则和策略组是什么。客户端能打开，只能说明程序本身启动了。
一遇到问题就打开全局模式
全局模式适合做对照测试，却不适合用来掩盖规则问题。长期使用前应明确哪些流量直连、哪些流量进入策略组，并检查规则顺序是否符合预期。
把TUN当成速度开关
TUN 的作用是接管更多系统流量，不是提高代理线路质量。开启后覆盖面更广，但权限和排错成本也更高。网页能通过系统代理正常工作时，没有必要为了“更快”盲目开启 TUN。
忽略日志和配置备份
日志能说明请求有没有进入客户端，备份能让你在更新失败后快速恢复。每次大幅修改 DNS、规则或 TUN 前，保留旧配置是一个低成本的好习惯。
常见问题
Clash是VPN吗？
Clash 是代理客户端和流量分流工具。它可以通过系统代理或 TUN 接管部分或更多流量，但具体表现取决于平台、客户端、核心和配置，不能把所有 Clash 客户端都直接等同于传统 VPN。
Clash客户端自带节点吗？
不自带。客户端和核心负责处理本地连接与配置，代理内容需要来自你有权使用的配置来源。不要把“安装成功”和“已经具备可用代理”混为一谈。
为什么Clash运行了，浏览器仍然无法连接？
先检查系统代理是否开启、端口是否一致，再看日志有没有请求记录。没有记录时查流量接入；有记录时查当前策略组、DNS、规则和配置来源。
规则模式和全局模式怎么选？
日常使用一般从规则模式开始，便于把直连流量和策略流量分开。全局模式更适合短时间测试某条代理链路，测试完成后应根据实际需求恢复规则模式。
新手需要马上开启TUN吗？
不需要。先用系统代理让浏览器和常用软件跑通，确认日志、DNS 和规则都正常后，再针对不读取系统代理的应用考虑 TUN。
总结
Clash 的核心价值不在于一个“加速按钮”，而在于把本地代理、多个策略和规则分流集中管理。新手只要按客户端、核心、配置和流量入口四个层次理解，再按“导入配置、选中配置、开启系统代理、观察日志、最后考虑 TUN”的顺序操作，就能建立清晰的排错路径。
