Clash 全平台
安装配置大全

01 · 通用准备工作

区分客户端、内核与订阅

Clash 客户端提供配置管理、模式选择、连接日志和系统集成；内核负责解析规则与建立连接；订阅则由配置提供方交付，通常包含节点、策略组和规则。安装客户端不会自动获得可用节点，导入订阅也不代表已经完成系统流量接管。排查时应把这三件事分开，先确认配置能够加载，再确认选中的出站可连接，最后检查应用是否把流量交给客户端。

本站在适用平台首推 Clash Plus，其他客户端按系统和使用习惯选择。mihomo 是 Clash 生态中持续发展的内核之一，但不能据此推断所有客户端都支持同样的字段。移动端的配置解释器、桌面端的内核版本与界面功能可能存在差异。跨设备迁移前，先确认订阅提供方给出的格式，再检查目标客户端是否支持相关协议、规则类型与 DNS 选项。

核对系统架构与安装来源

打开系统的设备信息或关于页面，记录操作系统、处理器架构与剩余空间。桌面设备常见 x64、ARM64，Mac 还需区分 Intel 与 Apple Silicon；Linux 另有软件包格式差异。不要仅凭电脑品牌选择安装包。到客户端下载页查看对应平台入口，系统最低要求以所选客户端的实际发行说明为准，不把其他客户端的要求直接套用过来。

正式安装前退出旧代理程序，记下当前系统代理、DNS 和其他 VPN 的状态。企业设备可能由管理策略固定这些设置，应先确认权限边界。已经存在的配置建议导出到本地私人目录，保留可恢复副本；不要把包含订阅地址的截图、配置或二维码上传到公开讨论区。订阅地址中的访问参数通常具有凭据性质，泄露后应到提供方重新生成。

识别配置来源与接管方式

远程订阅适合后续更新，本地 YAML 适合保留固定配置；Base64 编码的节点列表不一定是完整 Clash 配置。若导入时提示缺少字段，先核对格式，不要随意删除报错行。只有确认来源可信、了解数据处理方式时才使用转换工具。需要比较三种来源时，可阅读订阅 URL、YAML 与 Base64 格式说明。

系统代理只是向应用公布代理地址，不会强制所有进程遵循。TUN 通过虚拟接口和路由处理流量，通常需要额外权限，也更容易与其他 VPN 冲突。首次配置先采用客户端建议的默认方式，验证成功后再扩展。切换方式时一次只改一个项目，保留日志时间点，否则难以区分是节点、解析还是路由发生了变化。

建立可重复的验证基线

准备一个稳定的直连站点和一个明确需要目标出站的站点，分别记录能否解析、能否打开以及日志中的规则命中结果。首次使用规则模式，并在策略组里手动选定一个可用出站，避免自动选择掩盖问题。浏览器缓存、已有长连接和应用独立代理可能影响验证，修改配置后新建连接再观察，不把一次页面刷新当作全部网络都已恢复。

客户端也不会改变目标服务的访问政策。使用前应遵守所在地法律、单位网络要求及服务条款。若准备工作已经完成，只需快速连通，可转到快速上手教程；若正在处理某个平台的权限、后台运行或路由问题，则直接跳到下方对应章节，完成后再按最后一章的顺序验证。

02 · Windows 安装与代理

选择安装包并完成首次运行

先在设置的系统信息中确认系统类型，再进入Windows 下载入口。优先选择 Clash Plus；需要其他界面或工作流时，可依次了解 Clash Verge Rev、FlClash、Clash Nyanpasu。Clash for Windows 已停止维护，仅作为归档选择，不建议为解决新系统兼容问题而反复切换到旧客户端。安装包是否支持当前架构，应以下载卡片说明为准。

安装版按向导选择目录，便携版则解压到当前账户可写的固定目录，避免直接从压缩包中启动。首次运行先保持普通用户权限，确认程序能打开、配置目录能够写入。若系统提示应用来源或安全风险，应核对下载来源和提示详情，不要为了完成安装而关闭整个系统防护。组织管理的电脑需交由管理员判断是否允许部署。

导入订阅与选择出站

在配置、订阅或 Profiles 页面找到远程导入入口，粘贴完整订阅地址并提交。成功后应看到一份可选配置，而不只是输入框里保留了地址。选中该配置，检查策略组是否出现；如果只有空白列表，先看配置加载日志。部分客户端将下载配置与启用配置分为两个动作，更新成功后仍需确认当前激活项，避免一直使用旧文件。

将出站模式设为规则，在需要代理的策略组内选定一个节点。延迟测试只反映特定探测目标的响应，不等于所有协议和站点都可用。首次验证应同时观察实际访问与连接日志。若订阅下载失败，先用能够直连的网络重试，并检查服务是否到期、地址是否跳转到登录页面，不要把网页内容另存为 YAML 后继续导入。

核对混合端口与系统代理

在设置中查看实际监听端口；常见示例为混合端口 7890，但本机可以使用其他值。混合端口通常同时接受 HTTP 与 SOCKS 请求，系统代理仍需按客户端提供的方式写入。开启系统代理后，到 Windows 的网络和 Internet 设置查看手动代理地址是否指向本机。不要把远程节点服务器地址填成系统代理地址，两者所在层次不同。

Get-NetTCPConnection -State Listen -LocalPort 7890 |
  Select-Object LocalAddress, LocalPort, OwningProcess

以上 PowerShell 命令用于查看端口监听；若没有结果，可能是内核未启动或实际端口不同。若显示其他进程占用，先识别所属程序，再选择退出旧客户端或更换端口，不能直接结束不认识的系统进程。修改端口后，应用内手动代理也要同步调整。只修改配置文件而没有让客户端重新加载，运行中的监听端口可能仍是旧值。

TUN、UWP 与防火墙边界

浏览器正常但某些应用不走代理时，先确认这些应用是否遵循系统设置。需要 TUN 时，按客户端提示安装服务或授予管理员权限，再开启虚拟接口。服务安装与日常以管理员身份运行不是同一件事；已经安装服务的客户端未必需要每次提权。开启后检查路由和日志，若网络中断，应先关闭 TUN 恢复基线，而不是继续叠加其他加速或 VPN 软件。

部分 UWP 应用受到回环访问限制，即使本地代理正常也可能无法连接。优先使用客户端提供的回环管理入口，仅为确有需要的应用设置例外。不要对所有应用批量解除限制，也不要把回环问题误判为规则错误。相关操作受系统策略约束，企业设备上的权限失败不宜用反复提权绕过，可先在普通浏览器确认相同目标是否可访问。

防火墙询问网络访问权限时，应按实际用途选择网络范围。仅本机使用无需为所有公共网络开放入站；局域网共享需要另外确认监听地址、认证与可信网段。睡眠唤醒或异常退出后，若客户端已关闭但系统代理仍指向本机端口，应在系统设置关闭残留代理，再重启客户端。完成后用规则日志复查，更多首次检查项见混合端口、模式与系统代理核对清单。

03 · macOS 安装与授权

区分处理器并放入应用程序

在苹果菜单的关于本机中查看芯片信息。Apple Silicon 与 Intel 使用不同构建时，选择匹配的安装包，再到macOS 下载入口下载。优先选择 Clash Plus，也可按需求了解 Clash Verge Rev 和 FlClash。ClashX Meta 已停止维护，归档包的系统适配与功能支持不能等同于仍在更新的客户端，不应仅凭名称相近就忽略维护状态。

下载磁盘映像后打开，将应用拖入应用程序目录，再从该目录启动，而不是一直在磁盘映像内运行。这样可减少路径变化带来的更新和权限问题。首次启动若被系统拦截，先核对来源，再查看隐私与安全性中的具体说明。不要使用批量移除安全属性的命令处理所有应用，也不要关闭系统整体保护机制来绕过单个软件的启动提示。

理解扩展、辅助服务与钥匙串

macOS 客户端可能通过系统代理、特权辅助服务或网络扩展集成网络，不同实现并不会弹出完全相同的授权窗口。只按当前客户端实际出现的请求操作：如果请求添加 VPN 配置或网络扩展，应确认发起应用名称；如果需要辅助服务密码，则核对对话框来源。没有出现某一种弹窗并不代表安装缺失，不要为凑齐步骤寻找并不存在的开关。

某些授权需要在系统设置中明确允许，再返回客户端重试；系统也可能要求重新启动。此时先保存工作，完成提示动作后检查扩展状态。钥匙串弹窗通常与保存或读取凭据有关，输入的是系统指定钥匙串的密码，不是订阅服务密码。若拒绝后功能不正常，应查看应用提示和钥匙串访问权限，而不是直接删除全部钥匙串项目。

订阅导入与菜单栏操作

进入客户端的配置管理页面，添加远程订阅并启用下载后的配置。若提供本地 YAML，可通过导入文件或打开配置目录的入口添加，注意文件扩展名不要变成双重后缀。配置加载成功后检查策略组，再从菜单栏选择规则模式和目标出站。菜单栏图标存在只说明前端正在运行，还需确认内核状态、当前配置和系统代理是否已经生效。

首次验证先使用系统代理，打开一个新浏览器窗口访问测试目标，同时查看连接命中的规则。部分命令行工具不读取图形系统的代理设置，终端访问失败不能直接推导为客户端失效。可为单次命令明确指定代理，验证本地入口是否可达；下面使用的端口必须替换为客户端实际端口，命令不会永久改写终端环境。

curl -I --proxy http://127.0.0.1:7890 https://example.com

TUN 与网络位置变化

应用不遵循系统代理时，再考虑客户端支持的 TUN 或网络扩展接管方式。启用前退出其他 VPN，确认所需授权已经通过。虚拟接口建立后，仍需检查 DNS 与出站路由；只看到连接标志，不代表所有流量都经由预期策略。公司内网、打印机和本地开发服务应单独测试，必要时按实际网段配置直连，不要直接复制来源不明的大段路由排除表。

从 Wi-Fi 切换到有线网络、连接热点或睡眠唤醒后，系统代理所属的网络服务可能变化。若浏览器突然不能访问，先检查当前网络能否直连，再核对客户端监听和代理开关。长期同时使用多个代理工具时，后启动的程序可能覆盖前一个程序写入的设置。只保留一个负责接管系统网络的客户端，其他工具先关闭接管功能再逐项验证。

退出前先关闭系统代理或断开隧道，避免异常退出留下指向本机的代理地址。准备卸载时，优先通过应用内入口移除它安装的辅助服务，并在系统设置中检查相关 VPN 或扩展。不要按其他客户端的路径手工删除文件；相同类型的软件可能使用不同标识。需要处理拒绝授权后的恢复流程，可继续阅读macOS 扩展与钥匙串授权说明，按实际弹窗逐项对应。

04 · Android 安装与后台运行

选择架构与安装权限

进入Android 下载入口，优先选择 Clash Plus，其后可了解 Clash Meta for Android、FlClash 和 Surfboard。多数较新的设备使用 ARM64，但旧设备或特殊系统仍需确认处理器与应用支持情况；通用包是否提供以下载页面为准。Surfboard 有自己的配置体系，不能假设任意 Clash YAML 都可直接导入，应向配置提供方索取目标客户端支持的格式。

安装 APK 时，系统可能要求允许当前浏览器或文件管理器安装未知应用。这项授权针对具体来源应用，安装完成后可按需要关闭。若提示解析失败，优先检查下载是否完成、系统要求和架构是否匹配。更新时出现签名冲突通常意味着安装来源或构建不同，不应立即卸载；先导出配置，确认账户资料与本地设置可以恢复，再决定如何迁移。

导入配置并批准 VPN 请求

打开订阅管理，新增远程地址并等待下载完成，然后选中该配置。若使用本地文件，需要通过系统文件选择器授予读取权限；文件位于其他应用私有目录时，可能无法直接访问，可先保存到自己能管理的目录。订阅列表中出现名称并不代表内容有效，继续检查节点或策略组是否加载，报错时先查看下载响应和配置解析日志。

点击启动后，Android 通常会显示 VPN 连接请求。确认发起程序是刚安装的客户端，再批准接管。这里的 VPN 指系统提供的本地流量接管接口，不代表设备自动获得了某个远程 VPN 服务器；最终出站仍由配置里的节点与规则决定。成功后一般可在系统状态栏或 VPN 设置中看到运行状态，但图标本身不能证明目标网站已经连通。

应用分流、规则模式与 DNS

移动端常有应用访问控制，可指定哪些应用进入隧道。先辨认列表采用包含模式还是排除模式，两者含义相反：前者只接管勾选应用，后者让勾选应用绕过。设置后应重新建立连接，部分应用还需要彻底退出再启动。若某个应用没有出现在连接日志里，先检查应用过滤，而不是直接改节点或关闭所有分流规则。

应用进入隧道后，通常还会继续按域名、地址或规则集决定出站。应用过滤与规则分流属于不同层次，不能把放行某应用理解成其全部连接必然直连。涉及本地设备发现、投屏或家庭服务时，还需核对局域网绕过与 DNS。Android 的私人 DNS 及应用内安全 DNS 可能改变解析路径，排错时记录原设置，临时对照测试后再决定是否调整。

电池管理与网络切换

屏幕关闭后断连，优先检查电池优化、后台活动、自启动和通知权限。不同厂商命名各异，应在系统应用详情中查找客户端对应设置，而不是批量放开所有应用。允许后台运行可能增加耗电，建议先确认问题确实与系统回收相关。若只有移动数据断开，继续检查该应用是否被限制后台流量，以及当前套餐或网络是否对连接有额外限制。

Wi-Fi 与移动数据切换会重建底层连接，原有长连接可能失效。恢复网络后先观察客户端是否自动重连，再尝试断开并重新启动 VPN。不要连续快速切换多个模式，否则日志里会混入主动断开与真实故障。若启用了系统的始终开启 VPN 或阻止未使用 VPN 的连接，一旦客户端停止，设备可能按设置拒绝联网；应从系统 VPN 页面理解并管理这项行为。

同一用户环境下通常只能有一个使用系统 VPN 接口的应用生效。本地防火墙、去广告工具或其他 VPN 可能抢占接口，启动前先确认冲突来源。校园或工作设备也可能禁止用户添加 VPN，此时需要遵循管理策略。需要局域网共享时，不能只看手机已经连通，热点流量是否进入隧道取决于系统与客户端能力，不能假定自动支持。

完成设置后，分别验证前台访问、锁屏一段时间后的访问，以及一次网络切换后的访问，并核对日志中的出站。停止使用时从客户端断开，再确认系统 VPN 标志消失。若出现订阅更新成功但策略组未变化，检查当前激活配置和本地覆盖设置；常见原因是更新了另一份订阅，而不是内核没有接收新节点。

05 · iOS 安装与连接配置

通过商店安装 Clash Plus

iPhone 与 iPad 优先使用 Clash Plus。进入iOS 下载入口，或打开其 App Store 页面安装，官网为 clashplus.io。安装前查看商店当前列出的系统兼容要求与应用信息；商店是否允许安装由账户和设备状态决定，不把其他平台的安装包或系统要求用于 iOS。

安装完成后首次打开，先了解订阅、策略与连接页面的位置，再进行导入。不要同时导入多份同名配置，以免后续不知道哪一份正在使用。已有其他代理应用时，先记录其配置和系统 VPN 状态，再停止旧连接。iOS 对应用沙盒与后台网络扩展有独立管理方式，不能按桌面系统的习惯寻找常驻进程、监听服务或驱动安装入口。

添加订阅与本地配置

从配置或订阅入口新增远程地址，粘贴完整链接后保存并更新。使用二维码导入时，注意相机权限和画面中的内容来源，扫码只是输入方式，不代表地址可信。导入本地文件时，通过系统文件选择器选择实际 YAML 文件；如果文件仍存放在云端且尚未下载，先等待文件可用，再重试导入，避免把读取失败误认为语法错误。

导入后确认配置状态正常、策略组和出站条目已经出现，再将它设为当前配置。某些来源只提供节点订阅，客户端可能需要套用自己的规则模板；完整配置则可能自带规则与 DNS。两种方式不能混为一谈，具体以客户端导入提示为准。遇到不支持字段时，应取得兼容配置，不建议通过删减未知字段反复试错，以免改变提供方原本的分流逻辑。

批准 VPN 配置并验证策略

首次连接时，系统可能请求添加 VPN 配置，并通过设备密码或生物识别确认。应核对发起应用后再授权；授权成功只允许应用建立网络隧道，并不保证订阅或节点有效。随后回到客户端启动连接，选择规则模式，在策略组里指定目标出站。用一次新访问配合连接记录确认规则命中，不能只依赖状态栏上的 VPN 标志判断结果。

iOS 的接管通常通过系统网络扩展完成，用户不需要像桌面端那样给所有应用填写本地系统代理地址。客户端是否提供单独的代理入口、局域网设置或其他接管选项，应以实际功能为准。首次使用保持默认配置更容易建立基线；只有在明确遇到应用兼容或局域网访问问题时，再检查绕过设置和 DNS，避免一次修改多个网络选项。

处理后台、按需连接与网络变化

返回主屏幕后，前台应用界面与网络扩展并不是同一个运行状态。界面暂时不显示连接记录，不一定说明隧道已经停止；应结合系统 VPN 状态与实际访问判断。相反，主动强制退出应用可能影响恢复流程，不适合作为日常断开方式。需要停止代理时优先使用应用内连接开关，再到系统设置确认相关连接状态已经更新。

如果启用了按需连接，系统可能在满足条件后再次启动 VPN，表现为手动断开后又自动连接。此时应先查看客户端的按需策略和系统 VPN 配置，而不是重复删除应用。公司管理的设备可能限制个人 VPN，组织配置也可能覆盖网络行为。不要删除不认识的设备管理描述文件；先确认其用途，再按管理方要求处理，防止影响工作账户和证书。

从家庭 Wi-Fi 切到移动网络后，现有连接可能需要重建。先确认移动数据允许该应用使用，再查看当前出站是否可达。若仅某个局域网服务无法访问，测试同一网络下的设备地址，并检查是否被规则送到代理。系统的其他隐私网络功能或应用自带安全 DNS 也可能改变观察结果，排查时逐项记录开关，只做临时对照，不直接认定某项功能必须永久关闭。

订阅更新失败时，先看服务状态和响应内容，再在可直连网络下尝试一次手动更新。连接期间能访问网页，不等于订阅下载一定采用同一路径；后台更新也受客户端实现和系统调度影响，不宜假设固定时间必然执行。迁移设备前保留受保护的订阅来源与必要设置，新设备完成一次手动导入和验证后，再决定是否清理旧设备上的配置。

06 · Linux 客户端与内核运行

先区分桌面客户端与命令行内核

Linux 桌面用户优先查看Linux 下载入口中的 Clash Verge Rev 与 FlClash，前者为推荐项。选择软件包时同时核对发行版、处理器架构和包管理器；Debian 系常用 deb，部分发行版使用 rpm，但不能仅凭扩展名判断所有依赖都兼容。服务器和路由器用户再考虑 mihomo 内核，命令行内核不自带桌面订阅管理与系统代理界面。

下载包后通过发行版的软件安装器或包管理器安装，并阅读依赖提示。不要为满足依赖而混用不同发行版的软件源，也不要将不明脚本直接交给高权限 shell 执行。桌面客户端启动后先确认配置目录可写和内核能正常启动；托盘图标未显示可能是桌面环境集成差异，不等于应用已经退出，可从窗口状态和日志继续判断。

导入订阅与设置桌面代理

图形客户端的流程仍是新增订阅、下载配置、启用配置，再选择规则模式与出站。部分桌面环境分别设置 HTTP、HTTPS 和 SOCKS 代理，应按客户端提供的端口与协议填写。混合端口可以接受多种入口，但不能因此把所有协议字段任意互换。浏览器可能使用自己的代理设置，命令行程序也可能只读取环境变量，需要分别验证。

curl -I --proxy http://127.0.0.1:7890 https://example.com
ss -lntp 'sport = :7890'

第一条命令测试明确指定的 HTTP 代理入口，第二条查看本地 TCP 监听。端口需与实际配置一致，进程信息可能受当前权限限制。若代理测试成功而桌面应用失败，应检查桌面代理或应用自己的设置；若本地连接就被拒绝，则先处理内核启动和端口问题。不要在还没有监听服务时反复调整远程节点，因为请求尚未到达出站阶段。

命令行内核的检查与启动

使用 mihomo 时，将可执行文件和私人配置放在明确目录，按实际文件名操作。运行账户应具备读取配置与写入数据目录的权限；配置中含有订阅和节点信息时，避免给其他账户不必要的读取权限。先执行语法检查，再以前台方式启动，观察错误输出。以下命令假设当前目录已有可执行的 mihomo 和完整的 config.yaml。

./mihomo -t -d . -f ./config.yaml
./mihomo -d . -f ./config.yaml

语法检查通过只表示配置能够被解析，不代表节点可达、规则资源齐全或端口没有冲突。前台运行成功后再考虑服务化，避免把启动参数、工作目录和权限问题同时藏进后台。使用 systemd 时，服务中的可执行路径、配置路径和数据目录应写为实际绝对路径，并确认服务账户可读写所需文件；变更服务单元后还需要重新加载管理器配置。

TUN 权限、DNS 与远程恢复

TUN 涉及虚拟接口、路由和网络管理权限，不能只靠把配置里的开关改为开启。应先确认系统提供 TUN 设备，并采用所选客户端推荐的服务或权限方案。容器内运行还涉及设备映射与网络命名空间，宿主机可用不代表容器内可用。不要为了方便给所有程序长期赋予网络管理能力，也不要在不理解用途时直接以最高权限运行整个桌面会话。

DNS 可能同时受 NetworkManager、systemd-resolved、桌面设置与客户端影响。先查清谁在管理解析，再决定接管位置，避免手工改动的文件被系统立即覆盖。启用 Fake-IP 后还应核对 DNS 请求是否确实经过内核；只改变增强模式却保留旁路解析，可能让规则观察与实际流量不一致。涉及内网域名时，优先保留相应的本地解析路径。

远程服务器上启用自动路由前，务必保留管理连接和带外恢复方式，明确 SSH、内网与上游节点的绕过范围。错误路由可能把管理会话或代理自身连接送回隧道。完成后同时测试本机代理、目标出站与远程管理链路，再考虑开机启动。服务停止后若仍不能联网，应检查遗留路由、桌面代理及环境变量，确认恢复到安装前状态，而不是只删除可执行文件。

07 · 配置参数与常见问题

先用最小配置理解字段

排错应按配置加载、本地监听、系统接管、DNS、规则、目标出站的顺序进行。每次只改变一个变量，记录时间与结果；否则一次成功也无法判断是哪项修改起效。下面的 YAML 用于说明字段和缩进，只有直连规则，不包含代理节点，也不具备订阅提供方的完整策略。适合在独立测试配置中理解结构，不能直接覆盖正在使用的订阅配置。

mixed-port: 7890
allow-lan: false
mode: rule
log-level: info

dns:
  enable: true
  enhanced-mode: fake-ip
  nameserver:
    - https://dns.alidns.com/dns-query

rules:
  - DOMAIN-SUFFIX,example.com,DIRECT
  - MATCH,DIRECT

YAML 层级使用空格，不混用制表符；同级键保持对齐，列表项前的短横线属于语法。完整代理配置还需要可引用的出站或策略组，规则中的目标名称必须存在且一致。订阅更新可能重新生成整个文件，直接改下载文件容易被覆盖。需要持久修改时，优先使用客户端明确支持的覆写、合并或扩展配置机制，并确认合并后的实际结果。

订阅失败与资源更新失败分开处理

订阅更新失败先检查 URL 是否完整、是否过期、服务器响应是否为有效配置。认证失败应到提供方处理，超时则检查下载路径与网络；返回网页常见于登录、跳转或服务端错误。GeoIP、GeoSite 和规则集更新属于另一类资源请求，订阅成功并不能保证这些资源已下载。应在日志中找到实际失败的资源，再检查路径、权限或网络，不要一律归咎于节点。

DNS、Fake-IP 与规则顺序

域名解析失败时，先区分系统、应用与内核各自使用的解析路径。Fake-IP 会为域名分配用于映射的虚拟地址，看到这类地址不代表真实服务器地址错误；关键在于后续连接是否仍经过能够恢复域名信息的内核。应用绕过隧道却使用虚拟地址时可能失效，应检查接管范围与过滤规则，具体原理见Fake-IP 与 Redir-Host 对比。

规则通常按顺序匹配，使用第一条命中的结果；宽泛规则放得太早，会遮住后面的精细规则。最后的 MATCH 是兜底，不宜在不了解前置规则时直接修改。站点可能同时连接多个域名，主页面成功而资源失败时，应逐条观察对应连接。GeoIP 依赖地址信息，某些规则选项还影响是否触发解析，不能只根据规则文字判断所有流量都会按地域正确分流。

延迟、超时与恢复顺序

节点延迟测试成功不保证实际目标可用，失败也可能是探测地址不通。出现超时时，区分连接本地端口失败、连接远程节点失败、远端访问目标失败三种位置；查看同一时间的日志，再用另一条已知可用出站对照。临时提高日志详细程度可以补充线索，定位后恢复正常级别，分享前删除地址、账户和访问记录等敏感信息，更多例子见运行日志报错说明。

若所有应用都失败，先处理监听和接管；只有单个应用失败，检查独立代理、回环、应用过滤和缓存；仅某个站点失败，再检查规则与目标出站。恢复后保留一份可用设置记录，包含实际端口、当前配置名称和必要授权，不记录真实订阅凭据。其他短问题可到常见问题查阅，术语含义可在术语表对照，避免把同名开关在不同平台上的行为视为完全相同。