客户端
客户端是提供订阅导入、模式切换、日志查看和系统集成入口的应用，例如菜单栏工具或桌面控制面板。它通常调用代理内核处理连接，但界面功能不等于内核能力。查找设置时先确认客户端名称；排查协议兼容问题时，再确认它使用的内核及版本。
CORE / CLIENT
内核与客户端
界面负责管理，内核负责执行；订阅和本地修改共同形成最终配置。
mihomo 内核
mihomo 是源于 Clash Meta 生态的开源代理内核，承担协议连接、DNS 处理、规则匹配和出站选择等工作。多个客户端可以使用同一内核，却提供不同的管理界面。配置某项新功能前，需要确认当前内核支持相应字段，不能只凭客户端名称判断。
YAML 配置
YAML 用缩进表达数据层级，Clash 配置中的端口、节点、策略组和规则通常都写在这种文件里。缩进应使用空格，列表项前的短横线也有语法含义。文件能被解析只说明格式基本正确；引用了不存在的策略组、使用了冲突端口，仍会导致加载或运行失败。
订阅
订阅通过一个远程地址获取节点或完整配置，并可由客户端定期更新。URL 订阅、本地 YAML 和 Base64 节点串是不同来源形式，不能假定都能在同一入口直接使用。订阅地址可能包含账户访问令牌，分享截图或日志前应遮盖；教学假值 https://example.com/sub?token=xxxx 不能用于连接。
配置覆写
配置覆写是在订阅内容之上应用本地修改的方式，常用于调整 DNS、端口或附加规则。不同客户端可能采用合并、替换或脚本处理，不能假定同名设置会按同一顺序生效。直接编辑订阅生成的文件可能被下次更新覆盖，应先了解客户端的持久化入口，再检查最终生效配置。
PROTOCOL / OUTBOUND
节点与代理协议
节点描述连接目标，协议规定通信方式；导入成功不代表认证和传输参数已经匹配。
节点
节点是一个代理出站的配置项，通常包含服务器地址、端口、协议及认证参数，也可能包含传输层和 TLS 设置。名称只是便于识别的标签，地区文字不能证明真实位置，显示在列表中也不代表当前可用。连接失败时，应查看实际选中的节点与日志，而不是只反复切换出站模式。
Shadowsocks
Shadowsocks 是一种加密代理协议，在配置中通常写作 type: ss。加密方法、密码和可能使用的插件参数必须与服务端一致，不能用任意方法替换原值。遇到无法建立连接时，还应区分服务端不可达、认证不匹配和插件配置错误，而不是把它们都归因于节点延迟。
VMess
VMess 使用用户标识进行认证，可以搭配 WebSocket 等不同传输方式。节点中出现的 UUID、传输路径、主机名与 TLS 选项分别负责不同环节，漏掉其中一项也可能无法连接。排查认证和握手问题时，还应确认设备时间准确，并按服务端提供的完整参数逐项核对。
VLESS
VLESS 是一种轻量代理协议，协议本身不提供加密，常与 TLS 或 REALITY 等安全机制配合使用。UUID、传输方式、安全选项和可能存在的流控字段需要分别匹配服务端。只把 VMess 节点的类型改为 VLESS 不会完成转换，也不能用协议名称判断整条连接的安全属性。
Trojan
Trojan 通常基于 TLS 传输，并使用密码认证代理连接。服务器地址、认证密码及用于证书验证的主机名需要正确对应；密码正确并不能绕过证书错误。遇到握手失败时，应核对证书有效期、设备时间和主机名，不应把关闭证书验证作为常规解决办法。
RULE / POLICY
规则与分流
连接先匹配规则，再进入对应出站或策略组；规则顺序是配置的一部分。
规则分流
规则分流是在规则模式下，根据域名、目标 IP 或其他条件选择连接去向。规则通常从上到下检查，首条命中后就使用对应策略，例如 DOMAIN-SUFFIX,apple.com,DIRECT 指定该域名后缀直连。末尾的 MATCH 可接住未命中的连接；排查时应同时查看命中规则与最终出站。
策略组
策略组把多个节点或出站策略组织起来，供规则统一引用。select 侧重手动选择，url-test 根据指定地址的测试结果选择，fallback 常按候选顺序执行可用性切换。组中还可能引用其他组，因此看到某个组名时，应继续确认它最终选中了哪个节点。
直连策略
DIRECT 是内置出站策略，表示使用本机可用网络直接连接目标，不经远程代理节点转发。直连流量仍会受到本机路由、DNS、防火墙和网络环境限制。启用 TUN 后，一条连接也可以先进入内核再由规则选择直连，因此直连不等于完全绕过客户端处理。
拒绝策略
REJECT 用于拒绝命中规则的连接，可应用于明确需要阻止的目标。某些页面主体能打开，但图片、登录或接口请求失败，可能是依赖域名被错误拒绝。应在连接记录中找到具体目标和命中项，再调整规则范围，而不是直接删除所有拒绝规则。
IP 归属匹配
GeoIP 根据数据库中的 IP 地址归属信息匹配地区，例如 GEOIP,CN,DIRECT。它并非实时地理定位，也不等同于按域名所属机构分类；CDN 地址变化和数据更新都会影响结果。域名连接可能需要解析后才能做 IP 匹配，而规则中的 no-resolve 可阻止为该项额外触发解析。
DNS / NETWORK STACK
DNS 与网络栈
解析路径、返回地址和流量接管相互关联；延迟测试只反映指定条件下的结果。
DNS
DNS 将域名查询为 IP 地址等记录，是建立许多网络连接的前置步骤。操作系统、浏览器和代理内核可能分别持有缓存，也可能使用不同解析服务。修改内核 DNS 设置后，应用未必立即采用新路径；出现解析异常时，应先确认请求由谁发起、发给谁，再判断是否需要清理对应缓存。
虚拟地址模式
Fake-IP 向应用返回虚拟地址，并在内核中保存地址与域名的映射，常见虚拟地址池使用 198.18.0.0/16。应用向该地址连接且流量进入内核后，内核可恢复域名并进行分流。它依赖正确的接管路径；遇到兼容问题时可按需求配置 fake-ip-filter，不宜盲目扩大排除范围。
真实地址模式
Redir-Host 向应用返回真实解析地址，而不是虚拟地址，适用于需要真实 IP 结果的部分场景。内核仍需通过解析记录、嗅探或其他途径掌握域名，才能完成相关域名规则匹配。切换到此模式不代表 DNS 一定经过代理，也不能只凭应用显示了真实 IP 就判断分流正确。
DNS 泄漏
DNS 泄漏指查询离开预期解析路径，发送给了非预期的解析方，是否构成问题取决于原本的隐私与路由目标。浏览器的加密 DNS、IPv6 配置及未被接管的应用都可能产生另一条路径。测试结果应结合分流设计解读，直连域名使用本地解析不必然属于泄漏。
节点延迟
节点延迟通常是客户端通过指定地址进行连接测试所记录的耗时，未必等同于 ICMP Ping。数值可能包含域名解析、连接建立、加密握手和服务器响应，不能直接换算为下载带宽。比较结果时需保持测试地址和条件一致；测试超时也应结合实际访问与日志判断。
SYSTEM / PERMISSION
系统集成与权限
系统代理是应用层入口，TUN 是网络接口接管；授权范围取决于客户端实现。
系统代理
系统代理向操作系统登记本地代理地址与端口，供遵循该设置的应用使用。部分终端工具、游戏或自行实现网络请求的程序可能不读取系统设置，因此开关开启并不代表所有连接已被接管。退出客户端后若无法访问网络，应核对系统中是否仍保留指向已停止监听端口的代理设置。
TUN 模式
TUN 通过虚拟网络接口和路由接管网络数据包，可覆盖部分不遵循系统代理的连接，通常需要额外权限或后台服务。它不等于全局代理模式，进入内核的流量仍可由规则决定直连或代理。与其他 VPN、虚拟网卡同时运行时，应注意路由和 DNS 冲突，并检查实际连接路径。
混合端口
mixed-port 是可同时接收 HTTP 代理与 SOCKS 代理连接的本地监听入口，7890 是常见示例值而非固定要求。应用里填写的地址和端口必须与当前监听一致。能否从其他设备访问，还取决于监听地址、allow-lan 和防火墙；只改端口不会自动开放局域网访问。
UWP 回环
Windows 的部分沙盒应用受到网络隔离限制，可能无法访问本机回环地址上的代理服务，表现为浏览器可用而特定应用不可用。回环豁免是针对特定应用允许这种本机访问的设置。应先确认应用确实受该限制，再使用客户端提供的工具处理对应应用，不需要为此关闭全部系统防护。
系统扩展与授权
客户端可能为虚拟接口、代理接管或后台服务请求系统授权，但并非每个客户端都需要相同权限。macOS 的网络扩展、系统扩展与钥匙串提示涉及不同能力，不能视作同一个开关。应核对弹窗中的应用名称与操作目的；拒绝后按对应设置入口恢复，不要因一般连接失败就授予所有权限。