클라이언트
클라이언트는 구독 가져오기, 모드 전환, 로그 확인, 시스템 통합 기능을 제공하는 앱입니다. 메뉴 막대 도구나 데스크톱 제어판 등이 이에 해당합니다. 일반적으로 프록시 커널을 호출해 연결을 처리하지만, 인터페이스에서 제공하는 기능이 커널의 기능과 항상 일치하는 것은 아닙니다. 설정을 찾을 때는 먼저 클라이언트 이름을 확인하고, 프로토콜 호환성을 점검할 때는 사용 중인 커널과 버전을 확인하세요.
CORE / CLIENT
커널과 클라이언트
인터페이스는 관리하고 커널은 실행합니다. 구독과 로컬 변경 사항이 합쳐져 최종 설정을 구성합니다.
mihomo 커널
mihomo는 Clash Meta 생태계에서 파생된 오픈 소스 프록시 커널로, 프로토콜 연결, DNS 처리, 규칙 매칭, 아웃바운드 선택 등을 담당합니다. 여러 클라이언트가 같은 커널을 사용하더라도 관리 인터페이스는 서로 다를 수 있습니다. 새 기능을 설정하기 전에 현재 커널이 해당 필드를 지원하는지 확인하세요. 클라이언트 이름만으로 지원 여부를 판단하면 안 됩니다.
YAML 설정
YAML은 들여쓰기로 데이터 계층을 표현합니다. Clash 설정의 포트, 노드, 정책 그룹, 규칙도 보통 이 형식의 파일에 작성합니다. 들여쓰기에는 공백을 사용하며 목록 항목 앞의 하이픈도 문법상 의미가 있습니다. 파일이 파싱된다는 것은 형식이 기본적으로 올바르다는 뜻일 뿐입니다. 존재하지 않는 정책 그룹을 참조하거나 포트가 충돌하면 설정을 불러오거나 실행하는 데 문제가 생길 수 있습니다.
구독
구독은 원격 주소에서 노드나 전체 설정을 가져오고 클라이언트에서 정기적으로 업데이트하는 방식입니다. URL 구독, 로컬 YAML, Base64 노드 문자열은 서로 다른 입력 형식이므로 모두 같은 메뉴에서 바로 사용할 수 있다고 가정하면 안 됩니다. 구독 주소에는 계정 액세스 토큰이 포함될 수 있으므로 화면 캡처나 로그를 공유하기 전에 가리세요. 예시용 가짜 주소 https://example.com/sub?token=xxxx는 연결에 사용할 수 없습니다.
설정 오버라이드
설정 오버라이드는 구독 내용에 로컬 변경 사항을 적용하는 방식으로, DNS나 포트를 조정하거나 규칙을 추가할 때 자주 사용합니다. 클라이언트에 따라 병합, 교체, 스크립트 처리 방식이 다르므로 같은 이름의 설정이 동일한 순서로 적용된다고 볼 수 없습니다. 구독에서 생성된 파일을 직접 편집하면 다음 업데이트 때 변경 사항이 덮어써질 수 있습니다. 먼저 클라이언트에서 변경 사항을 보존하는 설정 위치를 확인한 뒤 최종 적용 구성을 점검하세요.
PROTOCOL / OUTBOUND
노드와 프록시 프로토콜
노드는 연결 대상을 지정하고 프로토콜은 통신 방식을 정합니다. 가져오기에 성공해도 인증 및 전송 설정이 올바르게 일치한다는 뜻은 아닙니다.
노드
노드는 프록시 아웃바운드 연결을 위한 설정 항목으로, 보통 서버 주소와 포트, 프로토콜, 인증 정보를 포함하며 전송 계층과 TLS 설정이 들어갈 수도 있습니다. 이름은 식별을 위한 표시일 뿐 지역 정보가 실제 위치를 증명하지 않으며, 목록에 표시된다고 현재 사용할 수 있다는 뜻도 아닙니다. 연결에 실패하면 아웃바운드 모드만 반복해서 바꾸기보다 실제 선택된 노드와 로그를 확인하세요.
Shadowsocks
Shadowsocks는 암호화 프록시 프로토콜이며 설정에는 보통 type: ss로 표시됩니다. 암호화 방식과 비밀번호, 사용하는 경우 플러그인 설정을 서버와 일치시켜야 하며 임의의 값으로 바꾸면 안 됩니다. 연결을 설정할 수 없다면 서버 접근 불가, 인증 불일치, 플러그인 설정 오류를 구분해 확인하세요. 모든 문제를 노드 지연 탓으로 돌려서는 안 됩니다.
VMess
VMess는 사용자 식별 정보로 인증하며 WebSocket 등 다양한 전송 방식과 함께 사용할 수 있습니다. 노드에 포함된 UUID, 전송 경로, 호스트 이름, TLS 옵션은 각각 다른 역할을 하므로 하나라도 빠지면 연결되지 않을 수 있습니다. 인증이나 핸드셰이크 문제를 확인할 때는 기기 시간이 정확한지 점검하고 서버에서 제공한 전체 매개변수를 하나씩 대조하세요.
VLESS
VLESS는 가벼운 프록시 프로토콜로, 자체적으로 암호화를 제공하지 않으며 TLS나 REALITY 같은 보안 기능과 함께 사용하는 경우가 많습니다. UUID, 전송 방식, 보안 옵션, 사용되는 경우 흐름 제어 필드를 서버 설정과 각각 일치시켜야 합니다. VMess 노드의 유형만 VLESS로 바꾼다고 변환되는 것은 아니며, 프로토콜 이름만으로 연결 전체의 보안성을 판단할 수도 없습니다.
Trojan
Trojan은 일반적으로 TLS를 통해 통신하고 비밀번호로 프록시 연결을 인증합니다. 서버 주소와 인증 비밀번호, 인증서 검증에 사용할 호스트 이름이 올바르게 일치해야 합니다. 비밀번호가 맞더라도 인증서 오류는 해결되지 않습니다. 핸드셰이크에 실패하면 인증서 유효 기간과 기기 시간, 호스트 이름을 확인하고 인증서 검증을 끄는 방법을 일반적인 해결책으로 사용하지 마세요.
RULE / POLICY
규칙과 라우팅
연결은 먼저 규칙과 매칭된 다음 해당 아웃바운드 또는 정책 그룹으로 전달됩니다. 규칙 순서도 설정의 일부입니다.
규칙 기반 라우팅
규칙 기반 라우팅은 규칙 모드에서 도메인, 대상 IP 등의 조건에 따라 연결 경로를 선택하는 방식입니다. 규칙은 보통 위에서 아래로 확인하며 처음 일치한 규칙의 정책을 사용합니다. 예를 들어 DOMAIN-SUFFIX,apple.com,DIRECT는 해당 도메인 접미사를 직접 연결하도록 지정합니다. 마지막의 MATCH는 앞서 일치하지 않은 연결을 처리합니다. 문제를 확인할 때는 매칭된 규칙과 최종 아웃바운드를 함께 살펴보세요.
정책 그룹
정책 그룹은 여러 노드나 아웃바운드 정책을 묶어 규칙에서 한꺼번에 참조할 수 있게 합니다. select는 수동 선택, url-test는 지정 주소의 테스트 결과에 따른 선택, fallback은 후보 순서에 따른 사용 가능 노드 전환에 중점을 둡니다. 그룹이 다른 그룹을 참조할 수도 있으므로 그룹 이름만 확인하지 말고 최종적으로 어떤 노드가 선택됐는지 살펴보세요.
직접 연결 정책
DIRECT는 내장 아웃바운드 정책으로, 원격 프록시 노드를 거치지 않고 로컬에서 사용할 수 있는 네트워크로 대상에 직접 연결합니다. 직접 연결 트래픽도 로컬 라우팅, DNS, 방화벽, 네트워크 환경의 영향을 받습니다. TUN을 사용하면 연결이 먼저 커널에 들어온 다음 규칙에 따라 직접 연결될 수도 있으므로, 직접 연결이 클라이언트 처리를 완전히 우회한다는 뜻은 아닙니다.
연결 거부 정책
REJECT는 규칙과 일치하는 연결을 거부하며, 명확히 차단해야 하는 대상에 사용할 수 있습니다. 페이지 본문은 열리지만 이미지나 로그인, API 요청이 실패한다면 필요한 도메인이 잘못 차단됐을 수 있습니다. 연결 기록에서 대상과 일치한 규칙을 확인하고 규칙 범위를 조정하세요. 모든 거부 규칙을 바로 삭제하는 것은 피해야 합니다.
IP 지역 매칭
GeoIP는 데이터베이스의 IP 주소 위치 정보를 바탕으로 지역을 매칭합니다. 예를 들어 GEOIP,CN,DIRECT를 사용할 수 있습니다. 실시간 위치 확인 기능이 아니며 도메인 소속 기관을 기준으로 분류하는 방식도 아닙니다. CDN 주소 변경과 데이터 업데이트가 결과에 영향을 줍니다. 도메인 연결은 IP 매칭 전에 조회가 필요할 수 있으며, 규칙의 no-resolve는 해당 규칙을 위해 별도의 조회를 수행하지 않도록 합니다.
DNS / NETWORK STACK
DNS와 네트워크 스택
이름 조회 경로와 반환 주소, 트래픽 처리 방식은 서로 연결되어 있습니다. 지연 시간 테스트는 지정된 조건에서의 결과만 보여줍니다.
DNS
DNS는 도메인을 IP 주소 등의 레코드로 조회하며, 많은 네트워크 연결을 시작하기 위한 선행 단계입니다. 운영체제와 브라우저, 프록시 커널은 각각 캐시를 보유하거나 서로 다른 조회 서비스를 사용할 수 있습니다. 커널의 DNS 설정을 바꿔도 앱이 새 경로를 즉시 사용하는 것은 아닙니다. 조회 문제가 생기면 먼저 요청을 누가 시작해 어디로 보내는지 확인한 다음 관련 캐시를 삭제할지 판단하세요.
가상 주소 모드
Fake-IP는 앱에 가상 주소를 반환하고 커널에 주소와 도메인의 매핑을 저장합니다. 자주 사용되는 가상 주소 대역은 198.18.0.0/16입니다. 앱이 해당 주소에 연결하고 트래픽이 커널에 전달되면 커널이 도메인을 복원해 라우팅할 수 있습니다. 트래픽이 올바른 경로로 처리되어야 하며, 호환성 문제가 있다면 필요에 따라 fake-ip-filter를 설정하세요. 제외 범위를 무작정 넓히는 것은 바람직하지 않습니다.
실제 주소 모드
Redir-Host는 가상 주소가 아닌 실제 조회 주소를 앱에 반환하므로 실제 IP 결과가 필요한 일부 상황에 적합합니다. 관련 도메인 규칙을 매칭하려면 커널이 조회 기록이나 스니핑 등의 방법으로 도메인을 파악해야 합니다. 이 모드로 전환해도 DNS가 반드시 프록시를 통과하는 것은 아니며, 앱에 실제 IP가 표시된다는 이유만으로 라우팅이 올바르다고 판단할 수 없습니다.
DNS 누수
DNS 누수는 조회 요청이 예상 경로를 벗어나 예상하지 못한 조회 대상으로 전달되는 현상입니다. 문제가 되는지는 원래 의도한 개인정보 보호 및 라우팅 목표에 따라 달라집니다. 브라우저의 암호화 DNS, IPv6 설정, 트래픽이 처리되지 않는 앱으로 인해 별도의 경로가 생길 수도 있습니다. 테스트 결과는 라우팅 설계와 함께 해석해야 하며, 직접 연결 도메인이 로컬 DNS를 사용하는 것만으로 반드시 누수라고 할 수는 없습니다.
노드 지연 시간
노드 지연 시간은 보통 클라이언트가 지정 주소에 연결을 테스트해 기록한 시간이며, ICMP Ping과 같다고 볼 수는 없습니다. 도메인 조회, 연결 설정, 암호화 핸드셰이크, 서버 응답 시간이 포함될 수 있으므로 다운로드 대역폭으로 환산할 수 없습니다. 결과를 비교할 때는 테스트 주소와 조건을 동일하게 유지하세요. 테스트 시간 초과도 실제 접속 상태와 로그를 함께 확인해야 합니다.
SYSTEM / PERMISSION
시스템 통합과 권한
시스템 프록시는 앱 계층의 진입점이고 TUN은 네트워크 인터페이스를 통해 트래픽을 처리합니다. 필요한 권한은 클라이언트 구현에 따라 달라집니다.
시스템 프록시
시스템 프록시는 운영체제에 로컬 프록시 주소와 포트를 등록해 해당 설정을 따르는 앱에서 사용하도록 합니다. 일부 터미널 도구와 게임, 자체 네트워크 요청 기능을 구현한 프로그램은 시스템 설정을 따르지 않을 수 있으므로, 스위치를 켰다고 모든 연결이 처리되는 것은 아닙니다. 클라이언트를 종료한 뒤 네트워크에 연결할 수 없다면 시스템 프록시가 더 이상 수신하지 않는 포트를 가리키고 있지 않은지 확인하세요.
TUN 모드
TUN은 가상 네트워크 인터페이스와 라우팅으로 네트워크 패킷을 처리하며, 시스템 프록시를 따르지 않는 일부 연결도 다룰 수 있습니다. 보통 추가 권한이나 백그라운드 서비스가 필요합니다. TUN은 전역 프록시 모드와 같지 않으며, 커널에 들어온 트래픽도 규칙에 따라 직접 연결하거나 프록시를 사용할 수 있습니다. 다른 VPN이나 가상 네트워크 어댑터와 함께 실행할 때는 라우팅과 DNS 충돌에 유의하고 실제 연결 경로를 확인하세요.
혼합 포트
mixed-port는 HTTP 프록시와 SOCKS 프록시 연결을 모두 받을 수 있는 로컬 수신 포트입니다. 7890은 자주 쓰이는 예시일 뿐 고정값은 아닙니다. 앱에 입력한 주소와 포트는 현재 수신 설정과 일치해야 합니다. 다른 기기에서 접속할 수 있는지는 수신 주소, allow-lan, 방화벽 설정에 따라 달라집니다. 포트만 바꾼다고 LAN 접속이 자동으로 허용되지는 않습니다.
UWP 루프백
Windows의 일부 샌드박스 앱은 네트워크 격리 제한으로 로컬 루프백 주소의 프록시 서비스에 접근하지 못할 수 있습니다. 브라우저는 되지만 특정 앱만 연결되지 않는 증상이 나타날 수 있습니다. 루프백 예외는 특정 앱이 이 로컬 연결을 사용할 수 있도록 허용하는 설정입니다. 먼저 해당 앱이 실제로 이 제한을 받는지 확인한 다음 클라이언트에서 제공하는 도구로 해당 앱만 설정하세요. 이 문제를 해결하려고 시스템 보호 기능 전체를 끌 필요는 없습니다.
시스템 확장과 권한
클라이언트는 가상 인터페이스, 프록시 트래픽 처리, 백그라운드 서비스를 위해 시스템 권한을 요청할 수 있지만 모든 클라이언트에 같은 권한이 필요한 것은 아닙니다. macOS의 네트워크 확장, 시스템 확장, 키체인 안내는 서로 다른 기능과 관련되어 있어 하나의 설정으로 볼 수 없습니다. 팝업에 표시된 앱 이름과 작업 목적을 확인하세요. 권한을 거부한 경우 해당 설정 메뉴에서 필요한 권한만 복원하고, 일반적인 연결 실패만으로 모든 권한을 허용하지 마세요.