Clash 全平台
安装配置大全

通用准备工作

确认系统、架构与配置来源

安装前先记录操作系统与处理器架构。macOS 在“关于本机”查看芯片；Windows 在“设置 → 系统 → 系统信息”查看系统类型；Linux 可运行 uname -m。架构决定程序能否启动，文件格式决定安装方式，两者不能互相替代。不要只看文件名中是否出现自己的系统，也要核对下载卡上的架构说明和项目列出的最低系统要求。

客户端本身不等于代理服务。安装程序只提供配置管理、代理连接和流量接管能力；实际使用仍需要有效的订阅地址，或包含可用出站的本地配置。确认订阅由可信来源提供、当前仍有效，并说明兼容的客户端或内核。订阅链接通常携带账户识别信息，不应贴进公开评论、截图或故障反馈。

迁移前保存原有配置，记录正在使用的代理组、混合端口和流量入口。订阅内容可能被远程更新覆盖；需要长期保留的修改，优先通过客户端提供的覆写、扩展或合并功能实现。若客户端没有此类功能，可先复制为本地配置测试，但要接受这份副本不会自动继承后续订阅更新。

区分配置、出站与流量入口

完整连接包含三个独立环节：加载配置，决定请求交给哪个出站，再让应用流量进入客户端。导入成功只说明内容已保存，不代表已经启用；代理组能显示也不代表系统代理已开启。每次初次配置都应按这个顺序检查，避免在配置尚未生效时反复切换网络开关。

规则模式按规则顺序匹配，并不是所有请求都走代理。全局模式通常把已进入客户端的请求交给所选全局出站，不会自动接管原本绕过客户端的应用。直连模式也不等于退出客户端，流量仍可能经过本地监听和 DNS 处理。详细机制可参阅虚拟网卡与系统代理的工作机制对比。

首次连接采用单一入口

桌面端建议先只开启系统代理，用浏览器验证配置；确有不遵循系统代理的程序，再考虑 TUN 模式。移动端通常通过系统批准的 VPN 接口接管流量，不需要照搬桌面端的手动代理步骤。首次测试时退出其他 VPN、旧代理客户端和流量接管工具，保留普通防火墙，再观察结果，避免同时修改多处设置。

建立可恢复的测试基线

选一个原本可以直连的网站作为基础网络检查，再选一个按当前规则应走代理的站点作为分流检查。打开连接页，核对域名、命中规则、代理组和最终出站。不要仅凭页面能打开就判断配置正确：缓存、已有长连接和规则直连都可能影响结果。测试时新建请求，必要时关闭应用后重新打开。

退出客户端前关闭系统代理或断开 VPN，确认网络恢复。若系统中保留了指向本机端口的代理设置，而客户端已经停止监听，应用可能无法联网。提前知道恢复入口比反复重装更有效。后续排错一次只改一个设置，并记录改动；这样才能判断究竟是配置、权限还是入口导致变化。

macOS 安装与配置

选择芯片架构并完成安装

进入macOS 客户端区，优先查看 Clash Plus；也可按配置兼容性选择 Clash Verge Rev 或 FlClash。Apple Silicon 设备选择对应架构安装包，Intel 设备选择 Intel 包。ClashX Meta 属于已停止维护的归档选项，主要用于既有环境，不应把归档客户端当作新系统兼容性的保证。

打开磁盘映像后，把应用拖入“应用程序”文件夹，再从该位置启动。不要长期直接在映像内运行，否则后续更新、辅助服务定位或权限登记可能不稳定。若下载的是其他格式，按下载页和安装器提示处理。首次启动时先确认应用来源与名称，不要为省去提示而批量关闭系统安全功能。

遇到无法打开或安全提示时，先判断是架构不符、系统要求不满足，还是首次运行被拦截。对于来源已确认的应用，可到“系统设置 → 隐私与安全性”查看是否提供相应的打开选项；不同系统版本的提示不同。若界面明确报告程序损坏，不要直接照抄删除安全属性的命令，应先重新下载并核对安装来源。

导入订阅并确认正在使用的配置

在配置页选择通过链接导入，粘贴完整订阅地址并保存，等待下载结束。部分客户端把入口放在添加配置或新建配置菜单中。导入后主动选择该配置，查看运行状态和日志，确认内核成功加载。若只出现一个条目但代理页仍为空，检查是否尚未激活，或配置本身没有有效代理组。

本地 YAML 文件可通过文件导入；文件中的相对引用、规则集与外部资源仍可能需要网络访问。编辑前保留副本，尤其不要直接改动订阅生成文件后又点击更新，否则修改可能丢失。若要给工作域名增加直连规则，使用客户端提供的持久扩展入口，并在更新订阅后再次核对实际生效内容。

先开系统代理，再按需配置 TUN

在代理页选择规则模式，为需要手动选择的代理组指定可用出站，再开启系统代理。首次更改系统网络设置时，客户端可能请求授权；只在明确对应当前操作时批准。在“系统设置 → 网络”中选择当前网络服务，查看代理设置是否指向本机，并确认端口与客户端的混合端口一致。系统界面路径随 macOS 版本略有差别。

浏览器通常会读取系统代理，但命令行工具不一定读取。需要区分应用行为时，可让一次请求显式走本地端口。下面仅适用于混合端口已经设置为 7890 的情况；若实际不同，须先按客户端显示的值调整。命令使用普通测试地址，只验证显式代理路径是否能建立，不能单独证明全部规则正确。

curl --proxy http://127.0.0.1:7890 --head https://example.com

需要接管游戏、命令行或其他不遵循系统代理的流量时，再尝试 TUN 模式。客户端可能要求安装辅助服务或授予网络扩展权限；按其提示完成后重新检查日志。无需为了普通桌面使用开启允许局域网连接。TUN 的 DNS、路由和自动检测接口应按当前客户端说明配置，不能把其他平台的虚拟网卡参数原样复制过来。

处理休眠、网络切换与退出后的残留

从 Wi-Fi 切换到有线网络，或从休眠恢复后，如果只有代理请求失败，先重新建立连接，再检查实际使用的网络接口。系统代理按网络服务保存，旧接口的设置不一定等于新接口的设置。若启用了 TUN，确认路由随网络变化重新建立；先停用再启用 TUN 进行对照，不要同时重置整套网络。

退出后无法联网时，检查当前网络服务中的网页代理与安全网页代理是否仍指向本机。先清理残留入口，再考虑删除应用。卸载时若安装过辅助服务，应按客户端提供的移除方式处理，不要随机删除系统目录。连接页和日志页的用途可对照客户端界面导览，把错误发生的环节定位清楚。

Windows 安装与配置

安装包、账户权限与首次启动

打开Windows 客户端区，优先选择 Clash Plus。其他选项依次包括 Clash Verge Rev、FlClash、Clash Nyanpasu；Clash for Windows 为已停止维护的归档客户端。选择时核对系统类型和下载卡说明，不能因为系统是 ARM64 就假定任意安装包都原生兼容，也不要把安装器与便携压缩包的使用方式混用。

运行安装器后按提示选择安装位置。使用便携包时，先完整解压到当前账户可写的固定目录，再启动主程序，不要直接在压缩软件预览窗口里运行。配置、日志和更新文件可能保存在用户数据目录，程序所在位置不一定就是配置位置。迁移电脑时应通过客户端导出或按其说明备份，而不是只复制桌面快捷方式。

普通系统代理使用通常不需要一直以管理员身份运行主界面。安装服务、建立虚拟网卡或修改特定网络设置时，客户端才可能请求提升权限。若出现安全提示，先确认发布者、来源与路径；受组织管理的设备还可能受策略限制。不要把“以管理员运行”当成所有错误的通用解决办法，它不会修复无效订阅或错误出站。

导入配置与系统代理检查

从配置页导入订阅，更新成功后选中该条目，让内核重新加载。打开代理页检查代理组，选择一个明确的出站，再使用规则模式。开启系统代理后，到“设置 → 网络和 Internet → 代理”查看手动代理是否生效。客户端通常会写入本机地址与监听端口，但最终仍应以当前系统设置为准。

若浏览器正常而某个桌面应用失败，先查看该应用是否有独立代理设置。有些程序遵循系统设置，有些只使用自己的代理选项，还有些使用不同的 Windows 网络组件。系统代理不是对全部进程强制生效的入口；不要为了一个应用反复切换全局模式，因为全局模式改变的是出站选择，不是应用进入客户端的路径。

可在 PowerShell 中调用 curl.exe 明确测试代理，避免不同环境中 curl 名称的行为差异。先确认混合端口为示例中的数值，再执行命令。如果显式代理请求正常、目标应用却没有连接记录，优先检查应用入口，而不是先修改 DNS。测试结果仍需结合连接页的规则和出站判断。

curl.exe --proxy http://127.0.0.1:7890 --head https://example.com

TUN 服务、防火墙与 UWP 回环

需要让更多程序进入客户端时，可按软件提示安装服务并启用 TUN。启用后查看日志是否报告权限、网卡创建或路由错误，再验证目标程序。防火墙提示要结合网络配置文件判断，只授予实际所需范围；仅本机使用时不要顺带开启局域网共享。防火墙控制入站访问，TUN 接管与代理规则负责其他层面，三者不能互相替代。

部分商店应用运行在 AppContainer 隔离环境中，可能无法访问本机代理监听。即使普通浏览器能联网，这些应用仍可能失败。若客户端提供 UWP 回环工具，先确认应用身份，再为确有需要的应用设置豁免。命令行操作与恢复方法参见UWP 回环豁免与 CheckNetIsolation 设置方法，不要直接对所有应用批量放开。

端口冲突、代理残留与网络恢复

日志出现地址占用或监听失败时，检查是否同时启动了另一份客户端，或者旧进程没有退出。混合端口必须由当前内核成功监听，系统设置里的端口也必须与之对应。可以更换监听端口后同步更新手动配置，但不要只修改系统代理端口而保留客户端原值，否则请求会发送到没有服务的位置。

停止使用时先关闭系统代理和 TUN，再退出程序。若异常退出后无法联网，回到系统代理页面清理残留设置；若问题只发生在命令行，还应检查当前终端的代理环境变量。VPN、虚拟机网络与公司安全软件可能同时改变路由，排错时逐项停用可控的接管工具并保留记录，不建议直接执行整套网络重置。

Android 安装与配置

选择安装包并处理安装权限

前往Android 客户端区，优先查看 Clash Plus，也可按需求选择 Clash Meta for Android、FlClash 或 Surfboard。不同客户端接受的配置格式并不完全相同，尤其不能仅凭订阅名称相近就认为可以互换。先确认服务提供方支持的格式，再选择客户端，通常比导入失败后反复尝试转换更省时间。

安装前核对系统版本和处理器架构。多数较新的设备使用 ARM64，但不应以手机外观或上市时间代替实际信息；设备设置或可信的系统信息入口可以帮助确认。通用包主要解决架构选择问题，不会自动解决系统版本限制。若安装器明确提示不兼容，应回到下载页核对要求，而不是不断更换文件名相似的包。

通过浏览器或文件管理器打开安装包时，Android 可能要求为该来源授予安装应用权限。只为当前可信来源临时授权，完成安装后可恢复原设置。若旧应用与新包签名不匹配，系统可能拒绝覆盖；先保存配置和订阅，再决定是否卸载原应用，不要在未备份的情况下清除数据。

导入订阅与批准 VPN 连接

进入配置管理，添加远程订阅或导入本地文件，等待内容下载完成，再选择为当前配置。若通过其他应用打开链接，确认接收方确实是所选客户端；剪贴板或二维码中的链接也应核对完整性。导入失败时先判断链接是否返回配置正文，而不是登录页面、网页说明或错误提示。

启动连接时，系统会显示 VPN 连接请求。批准后，客户端才能通过 Android 的 VPN 接口接收应用流量。这个系统授权不代表远端出站已连接成功；仍需在代理组中选择可用出站，并检查日志。VPN 图标说明接口处于工作状态，不能单独用来判断订阅、规则和 DNS 是否正确。

Android 客户端可能把接管选项放在网络、路由或 VPN 设置中，不一定存在桌面端同名的“系统代理”开关。通常不需要到 Wi-Fi 设置中再填写本机 HTTP 代理。若以前手动配置过 Wi-Fi 代理，先记录并清理，避免形成额外转发；离开该 Wi-Fi 后，移动网络也不会继承其手动代理设置。

分应用策略、后台运行与电池限制

需要部分应用直连时，先区分分应用名单和域名规则。分应用设置决定哪些应用进入或绕过 VPN 接口；规则决定已经进入内核的请求交给哪个出站。白名单与黑名单的含义可能随客户端不同而变化，保存前读清楚是“仅代理选中应用”还是“绕过选中应用”，再用连接页验证。

配置修改后，有些程序会继续使用已建立的连接。关闭目标应用再重新打开，观察是否出现新的连接记录，才能判断分应用设置是否生效。涉及工作资料、双开应用或多个用户空间时，系统隔离可能限制客户端可见的应用范围；不要假定一个空间里的 VPN 自动覆盖其他空间。

锁屏后断连、过一段时间停止更新，常与系统电池管理或后台限制有关。先检查客户端是否被允许后台运行，是否存在需要保留的前台服务通知，再按设备系统提供的入口调整电池策略。不同厂商的路径不同，不宜照抄其他手机的菜单。只为确有需要的应用调整权限，之后再进行锁屏与恢复测试。

移动网络切换与 DNS 故障定位

Wi-Fi 与移动网络切换后，原来的长连接可能失效，需要重新建立。先打开一个新的请求，查看内核是否仍收到流量；若完全没有记录，检查 VPN 是否被其他应用替代。Android 同一用户环境通常只能有一个活动 VPN，广告过滤、企业接入或其他代理工具也可能占用这一位置。

若只有域名访问失败，留意系统私人 DNS、客户端 DNS 与规则模式之间的关系。先记录现有设置，用系统自动模式进行对照，再决定是否调整客户端解析链路，不要一次关闭所有网络保护功能。Surfboard 等客户端的配置语法与 mihomo YAML 有差别，不能把本文的 YAML 片段直接贴入其不兼容的配置入口。

iOS 安装与配置

从商店安装 Clash Plus

iPhone 与 iPad 可从iOS 客户端区查看 Clash Plus，安装入口为 Clash Plus 的 App Store 页面，官网为 clashplus.io。安装前阅读商店列出的系统兼容要求；具体功能、菜单名称与权限说明以当前应用为准，不要把桌面端的服务安装流程套用到移动设备。

首次启动后先确认能够打开配置管理与连接界面，再准备订阅。安装应用和添加系统 VPN 配置是两个步骤，应用出现在桌面上不代表系统已经允许流量接管。若设备受学校或组织管理，VPN 配置可能被设备管理策略限制，这类限制应通过管理方的正常流程处理，而不是反复卸载应用。

从旧客户端迁移时，先记录订阅来源、代理组选择和自定义规则。不同应用的内部数据库与备份格式未必通用，优先迁移原始订阅或兼容的配置，而不是直接复制应用私有文件。订阅能否使用取决于客户端支持的格式和协议，不取决于链接是否能在浏览器里打开。

导入配置并添加 VPN 权限

在应用中使用添加配置、订阅或文件导入入口，填入完整地址并获取内容。导入完成后选择这份配置，确认代理组可见，再尝试连接。通过分享菜单或剪贴板导入时，注意内容是否被截断，尤其是带查询参数的链接。订阅属于个人配置资料，排错截图应隐藏地址中的识别信息。

第一次建立连接时，iOS 可能要求允许添加 VPN 配置，并通过设备密码或系统认证确认。批准之后，回到应用完成连接；若此前取消授权，应重新从应用触发，而不是先手动创建一个不相关的 VPN 类型。系统设置中的 VPN 列表可用于核对当前配置，但真正的订阅更新与代理组选择仍在应用内完成。

移动端使用系统提供的网络扩展能力接管流量，通常不需要填写 Wi-Fi 的 HTTP 代理。Wi-Fi 代理只针对该网络，也不覆盖移动数据；把它与客户端 VPN 同时配置可能增加排查难度。应用界面即使提供与 TUN 类似的选项，也应按 iOS 端说明操作，不能照抄桌面端的虚拟网卡名称、服务命令或路由参数。

规则模式、连接验证与 DNS

先采用规则模式，检查需要手动选择的代理组是否已有有效出站。打开一个按规则应使用代理的页面，再查看应用提供的连接记录或日志。规则命中直连并不意味着 VPN 未启用，它可能正是配置的预期结果。若页面打开正常但出站不符合预期，优先检查规则顺序，不要仅凭连接图标判断分流正确。

启用全局模式适合临时判断规则是否造成差异，但它不是长期排错的终点。如果切换全局后恢复，应对照原规则中的域名、规则集和兜底策略；如果仍然失败，则继续检查出站、网络与 DNS。测试后恢复原模式，防止本应直连的局域网服务或工作应用改变路径。

某些浏览器、网络隐私功能和自定义 DNS 设置可能使请求路径与预期不同。先记录设备现有设置，再逐项对照客户端日志判断。不要为了一个站点打不开就同时修改系统 DNS、应用 DNS 和所有代理组；这样即使恢复，也无法知道原因。出现证书提示时，更不应通过信任未知证书来绕过普通连接故障。

后台、按需连接与网络切换

VPN 网络扩展与主应用界面不是同一个生命周期，界面进入后台不一定表示连接停止，强制结束主应用也不能代替明确断开。停止使用时通过应用或系统 VPN 开关确认连接已关闭。若应用提供按需连接，启用前应了解触发条件，并观察断开后是否会被规则再次拉起，避免误以为开关失效。

在 Wi-Fi、蜂窝网络和热点之间切换后，现有连接可能需要重建。先检查当前网络本身能否直连，再重新连接 VPN，随后发起新请求。若只在某个 Wi-Fi 下失败，可对比该网络的认证门户、DNS 或出站限制；先完成网络登录，再测试代理，避免把尚未获得正常网络接入误判为客户端错误。

订阅更新是否允许后台执行、是否需要应用在前台完成，取决于应用实现与系统调度。重要更新后主动打开应用确认配置已加载，不应只凭定时设置判断更新已经发生。若某个出站在其他设备可用而本机失败，再对照协议支持、配置格式与当前网络，而不是直接删除全部系统网络设置。

Linux 安装与配置

桌面客户端与内核分别选择

进入Linux 客户端区，桌面环境可选择 Clash Verge Rev 或 FlClash。服务器、路由器及需要自行管理服务的用户可查看Mihomo 内核区。图形客户端负责配置管理和状态展示，裸内核只执行配置；二者安装和权限管理方式不同，不建议初次使用时同时部署两套并让它们监听相同端口。

先用 uname -m 确认架构，再核对发行版使用的软件包格式。常见的 x86_64 对应 AMD64，aarch64 通常对应 ARM64，但包是否适用仍要看具体构建要求。不要在没有相应软件包管理环境的系统上直接套用另一发行版的安装命令，也不要假定所有 Linux 安装包都适用于无桌面服务器。

使用发行版的软件包管理工具安装，可以保留依赖解析与卸载记录。若提示缺少桌面组件、运行库或托盘支持，先阅读具体错误，再检查当前会话环境。Wayland、X11 与不同桌面的托盘实现有差异，窗口能运行却没有托盘图标，不一定是代理内核启动失败，应分别查看界面与内核日志。

图形界面导入与桌面代理入口

在客户端配置页导入订阅并选中，确认内核加载成功后再开启系统代理。Linux 没有一个适用于所有桌面和所有程序的统一代理入口。GNOME、KDE 与命令行应用可能分别读取桌面设置、环境变量或自己的代理配置，因此客户端显示系统代理已开启后，仍应针对目标应用验证。

浏览器如使用独立代理设置，应确认它读取系统设置还是手动指定地址。终端程序可先通过显式代理命令测试，确认本地监听可用，再决定是否设置环境变量。不要把同一组变量写进所有启动脚本：桌面会话、交互式终端和系统服务的环境继承不同，写错位置会造成部分程序始终沿用旧代理。

下面的示例要求混合端口已经配置为 7890，仅影响当前 shell 及其后续启动的子进程。NO_PROXY 用于提示支持它的程序绕过本机地址，不代表内核中的完整直连规则。不同工具对大小写变量和通配写法的支持存在差异，正式使用时仍要查看该工具文档。

export HTTP_PROXY=http://127.0.0.1:7890
export HTTPS_PROXY=http://127.0.0.1:7890
export NO_PROXY=localhost,127.0.0.1,::1

curl --proxy http://127.0.0.1:7890 --head https://example.com

unset HTTP_PROXY HTTPS_PROXY NO_PROXY

裸内核配置检查与 TUN 权限

使用 Mihomo 内核时，先准备完整配置和独立的数据目录，再以普通用户进行配置检查。以下命令假定内核已安装为 mihomo，且配置已保存到所列路径；它不会生成订阅或自动补全代理组。检查通过只能说明配置可被解析，远程规则资源和实际出站仍需运行后验证。

mkdir -p "$HOME/.config/mihomo"
mihomo -t -d "$HOME/.config/mihomo" \
  -f "$HOME/.config/mihomo/config.yaml"

TUN 需要访问虚拟网卡设备并修改路由，通常涉及网络管理能力或受控的特权服务。桌面客户端若提供服务安装入口，优先按其说明处理；自行部署服务时应明确运行用户、文件权限和能力范围。不要为了方便把整个配置目录设为所有用户可写，也不要让未知脚本长期以最高权限运行。

容器、虚拟机与宿主机是不同的网络环境。容器里的回环地址只指向容器自身，宿主机的本地代理不会自动出现在容器中。需要共享监听时，先设计地址可达性、监听范围和防火墙规则，再考虑允许局域网连接；直接把监听扩大到全部接口，会把原本仅限本机的服务暴露给其他设备。

服务状态、日志与停止后的恢复

后台服务启动失败时，先看服务管理器报告和内核日志，区分配置路径错误、目录不可读、端口占用与权限不足。若图形客户端已启动内核，又手动运行另一进程，常会出现监听冲突。修改配置后按实际部署方式重新加载或重启，不要假定编辑文件就会立即更新正在运行的内核。

在启用 TUN 后出现局域网、容器或虚拟机网络异常，应检查新增路由是否覆盖原有私有网段，并确认 DNS 请求最终进入哪个解析链路。先停用 TUN 做对照，保留普通代理测试；不要直接清空全部路由或防火墙规则，这可能使远程管理连接中断。服务器操作前应确保有独立的恢复通道。

停用时同时处理桌面代理设置、shell 环境变量与后台服务，它们不会必然互相同步。若只有某个终端仍失败，可新开终端并检查继承环境；若所有桌面应用失败，再查桌面网络设置。关于内核字段兼容性，可继续阅读mihomo 与原版 Clash 的配置差异，不要把旧字段失效简单归因于发行版问题。

配置常见问题与排查顺序

配置已导入，为什么仍然无法连接？

按配置加载、监听入口、规则命中、远端连接四步检查。先确认当前激活的配置就是刚导入的条目，再看日志是否报告解析失败或资源下载失败。随后确认系统代理、VPN 或 TUN 已经把目标应用送入内核。连接页完全没有记录时，先修入口；有记录再检查命中规则与最终出站，避免在错误层面反复试开关。

如果全部出站都失败，先确认基础网络和订阅状态；如果只有某一个失败，优先检查该出站或其协议支持。配置更新失败与代理连接失败也可能是两条不同路径：更新订阅需要先取得远程内容，正在使用的旧配置可能仍然可连接。不要因为更新按钮报错就立刻删除唯一可用配置，先保存副本和错误信息。

日志用于定位环节，不宜长期开启过细级别。错误反馈只保留必要上下文，隐藏订阅地址、出站账户、个人域名和设备信息。对于同一个现象，记录测试时间、使用网络、模式与是否启用 TUN，比只提供一句“无法连接”更有帮助。提交前先确认日志对应本次新请求，而不是上一次启动的旧错误。

规则、混合端口与 YAML 如何对应？

混合端口通常让同一个本地监听同时接受 HTTP 代理和 SOCKS 请求，并不等于远端服务器端口。规则从上到下匹配，较具体的例外通常放在前面，最终以兜底规则结束。下面是一份只用于验证本地监听的最小直连配置，不含远端代理；它能独立运行，但不会让请求经远程出站转发，也不应直接替换已有订阅。

mixed-port: 7890
allow-lan: false
mode: rule
log-level: info
rules:
  - DOMAIN-SUFFIX,localhost,DIRECT
  - IP-CIDR,127.0.0.0/8,DIRECT,no-resolve
  - IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
  - MATCH,DIRECT

需要远程代理时，应在完整配置中定义实际出站或代理组，再让规则引用其准确名称。示例中的私有地址规则只覆盖列出的网段，不是全部局域网环境的通用答案。YAML 使用空格缩进，列表前的短横线和字段层级有意义；不要混用制表符。改动后先做配置检查，再重新加载，检查失败就恢复上一份可用副本。

系统代理、TUN、DNS 与测速怎样区分？

系统代理适合遵循系统设置的应用；TUN 扩大流量接管范围，但带来路由、权限与 DNS 配合问题。二者不要求在所有平台同时开启。Fake-IP 是一种 DNS 映射与连接还原机制，不是代理模式，也不是加速开关。遇到局域网域名、硬编码 IP 或特殊应用兼容问题时，应根据解析与连接记录调整，而不是看到术语就一律关闭。

浏览器的加密 DNS、操作系统解析器与客户端 DNS 可能分别参与请求。只修改系统 DNS，不一定改变浏览器的解析路径；规则按域名匹配，也不保证客户端总能取得域名。先确认请求携带的是域名还是 IP，再看使用的解析与嗅探机制。没有证据时不要盲目叠加 DNS 劫持、嗅探和多组备用解析器。

节点延迟测试只反映特定请求在特定时刻的结果，不等于下载带宽或所有网站的体验。测试超时也可能与测速地址、证书、DNS 或连接复用有关。实际选择应结合常用站点、稳定性与业务请求，原理可见节点延迟与实际网速的差异。更换出站后重新建立连接，旧连接未必立即迁移。

订阅更新、局域网共享与恢复检查

自动更新会重新取得订阅内容，可能重置直接写入生成文件的规则。长期修改应放在客户端支持的持久扩展中，并确认合并后的顺序。订阅转换会让转换服务接触配置内容，使用前应理解其处理范围；能直接使用兼容订阅时，不必增加转换环节。所谓免费节点也需要核对来源、有效性和使用条件，客户端无法替来源作保证。

需要重新走一次最短配置流程，可返回快速上手教程；需要更换客户端，则到下载页按平台选择。保留一份已验证的配置与对应设置记录，比同时尝试多套参数更容易维持可恢复的网络环境。