Clash 全平台
安裝設定指南

分清用戶端介面與代理核心

Clash 生態系中的用戶端通常負責管理訂閱、選擇代理群組、顯示記錄及設定系統網路；核心則負責讀取設定、建立連線並套用規則。mihomo 是可獨立執行的代理核心，並不等同於某個圖形化用戶端。即使兩個用戶端使用同類核心，設定合併方式、權限服務和更新機制仍可能不同。排錯時應一併記錄用戶端名稱、核心資訊、作業系統架構與流量接管模式，避免只用「Clash 出錯」概括問題。

桌面與行動平台建議先前往安裝檔下載頁，選擇相符的用戶端。Windows、macOS、Android 和 iOS 優先推薦 Clash Plus；Linux 可先考慮 Clash Verge Rev。若需相容舊環境，再依系統需求選擇其他用戶端。Clash for Windows 和 ClashX Meta 都是已停止維護的封存專案，不建議作為新系統的長期預設選擇。選擇時應一併評估圖形介面、設定相容性與系統權限支援，不能只因名稱相近就直接替換。

準備訂閱前，先確認設定格式

訂閱網址是取得設定的入口，不是代理節點本身。匯入前請確認提供者支援目標用戶端，或能輸出 Clash／mihomo 可讀取的 YAML。只有節點連結的文字，與包含代理群組、規則和 DNS 的完整設定，並非同一種檔案。首次匯入後，應能看到可選擇的設定和代理群組；若只顯示匯入成功，卻沒有節點，請檢查回應內容、訂閱狀態和格式，而不是反覆切換系統代理。訂閱請求失敗也可能只是下載入口暫時無法連線。

訂閱連結通常含有存取憑證，請勿貼到公開轉換網站、問題截圖或公開儲存庫。若確實需要轉換訂閱，建議使用可自行控管資料處理環境的方式，並確認轉換結果是否保留規則和代理群組。設定備份也應視為敏感資料，只存放在受控位置。修改前先匯出目前可用的設定，記下原有代理連接埠、DNS 設定及代理群組選擇；還原時，這些資訊比一張連線成功的截圖更有用。

先使用系統代理，再評估是否需要 TUN

系統代理會讓遵循該設定的應用程式將流量送至本機代理連接埠；它通常不會接管所有應用程式，也不等於整台裝置都透過隧道連線。TUN 透過虛擬網路介面搭配路由接管流量，但涵蓋範圍仍會受路由排除、應用程式行為和權限影響。初次部署建議先確認一般代理鏈路正常，再啟用 TUN。若訂閱本身無法使用，卻同時調整虛擬網卡和 DNS，只會增加變數，讓問題更難追查。

規則模式、全域模式和直連模式決定核心如何選擇出口；系統代理和 TUN 則決定應用程式流量如何進入核心，兩者屬於不同層次。規則模式會依序比對設定中的規則；全域模式適合短時間測試出口是否可用，而直連模式也不一定會停用虛擬介面。每次修改前後都記下目前模式，一次只改一項再測試。若裝置已安裝公司 VPN、其他代理用戶端或網路過濾工具，請先確認是否可暫停，避免路由衝突或本機連接埠互相占用。

建立可重複的測試基準

開始前請檢查系統時間、一般直連網路和剩餘磁碟空間，確認設定可以儲存、應用程式可以啟動。準備一個可正常存取的 HTTPS 網頁，以及一項實際需要代理的服務，分別記錄開啟前後的結果。瀏覽器能開啟網頁，不代表終端機、遊戲或更新服務也已接管；延遲測試有結果，也不代表帳戶登入和大型檔案傳輸正常。每次測試至少確認請求是否出現在連線清單、符合哪條規則，以及最後使用哪個出口；必要時再查看記錄中的錯誤。

選擇安裝檔並建立單一用戶端環境

先在系統設定的「系統資訊」查看處理器和系統類型，再前往Windows 安裝檔區選擇版本。優先推薦 Clash Plus，也可依需求考慮 Clash Verge Rev、FlClash 或 Clash Nyanpasu；Clash for Windows 僅作為封存版本供選用。安裝檔的位元數與瀏覽器位元數並非同一回事。ARM 裝置還須確認用戶端、核心和服務元件是否支援目前環境；應用程式能透過模擬執行，不代表虛擬網卡元件也能正常運作。

安裝前請先關閉其他代理用戶端的系統代理，再從系統匣選單結束程式，避免舊程序繼續占用監聽連接埠。依安裝精靈選擇目錄，首次啟動時留意安全軟體和系統授權提示。若安裝遭到阻擋，請確認具體攔截原因與檔案來源，不要直接關閉所有防護。企業管理裝置可能會限制網路服務或虛擬介面卡的安裝，請先確認組織政策，不應透過修改安全設定繞過限制。

匯入訂閱並確認本機連接埠

在設定管理介面選擇從 URL 匯入，貼上訂閱網址並更新，接著明確切換至這份設定。有些用戶端會將「新增訂閱」和「設為目前設定」分成兩個步驟；只完成新增，不會讓執行中的核心自動使用新檔案。開啟代理群組，確認至少有一個可選出口，並查看設定載入記錄。若出現不支援欄位的提示，請確認訂閱格式是否符合目標核心；不要把解析錯誤誤認為防火牆阻擋連線。

啟用系統代理前，先查看用戶端實際監聽的 HTTP 或混合代理連接埠。以下範例使用混合連接埠 7890；只有用戶端確實在該連接埠監聽時才能照用，否則請替換為實際數值。在 PowerShell 中明確呼叫 curl.exe，可避免與同名命令別名混淆。明確指定代理的測試只會驗證該命令的請求路徑，不會自動變更其他程式的網路設定。

curl.exe --proxy http://127.0.0.1:7890 --head https://example.com/

確認明確指定代理可正常使用後，再開啟系統代理，以瀏覽器開啟測試網頁，並在連線清單核對程序、規則和出口。Windows 的使用者代理設定、WinHTTP 設定與應用程式內建代理不一定會同步；終端機服務或背景工作也可能完全不讀取目前使用者的設定。不要只為了讓一個程式使用代理，就直接修改整台裝置的服務代理；先確認該程式是否有獨立代理參數，或評估是否確實需要 TUN 接管。

視需要啟用服務模式與 TUN

TUN 通常需要安裝或啟動用戶端提供的權限服務，授權提示應與目前使用的用戶端相符。完成授權後先檢查服務狀態，再開啟 TUN，確認虛擬介面和路由是否建立。不要長期以系統管理員身分執行所有圖形介面程式，來取代正確設定服務。若啟動失敗，應分別處理記錄中的權限不足、建立介面失敗和新增路由失敗等問題；先停用其他隧道工具，再透過用戶端提供的修復功能重新安裝服務。

Windows 防火牆允許的網路設定檔，會影響本機與區域網路的連線行為。若只供本機使用，不必開啟「允許區域網路連線」，也不應對所有網路開放整個輸入連線範圍。若要讓其他裝置使用，請個別限制監聽位址、驗證方式和防火牆來源。UWP 應用程式使用本機代理時可能受迴路限制影響；確認該應用確實受限後，再使用用戶端提供的迴路豁免功能，避免對所有應用程式擴大權限。

休眠、結束程式與遷移後的檢查

從睡眠狀態喚醒或切換無線網路後，先確認用戶端仍有核心程序、訂閱已正常載入，再重新啟動流量接管功能。若結束用戶端後無法上網，請檢查系統設定中的手動代理是否仍指向已關閉的本機連接埠；關閉殘留代理後再測試直連。這和訂閱失效是不同問題。遷移至新用戶端前，先在舊用戶端關閉系統代理和 TUN，再退出程式並匯入備份；確認新用戶端可獨立運作後，才清理舊設定。Windows 防火牆、連接埠占用和授權問題的更多排查步驟，請參閱Windows 安裝排錯文章。

分辨 Apple Silicon 與 Intel

在「關於這台 Mac」查看晶片資訊，再選擇對應的安裝檔。Apple Silicon 通常使用 ARM64，Intel 則使用 x64；若提供通用安裝檔，請以發行說明列出的支援範圍為準。macOS 下載區優先推薦 Clash Plus，也提供 Clash Verge Rev 與 FlClash；ClashX Meta 則是已停止維護的封存專案。不要因為舊用戶端仍可啟動，就認定它適用於新版系統的網路延伸功能、安全機制與權限流程；長期使用建議選擇仍在維護的方案。

開啟磁碟映像檔後，依提示將應用程式移至「應用程式」資料夾，再從該處啟動，避免長期直接從掛載的映像檔執行。若首次啟動遭系統阻擋，先確認來源和系統提示，再透過系統設定中針對該應用程式的正常確認流程處理。請勿執行批次移除安全標記或關閉系統防護的命令。若涉及網路延伸功能、背景輔助元件或系統權限，請核對申請者名稱與用途；單純匯入訂閱不需要授予與網路無關的廣泛權限。

載入設定並確認目前使用的網路服務

透過用戶端的設定入口匯入訂閱，更新完成後設為目前設定，再從代理群組選擇出口。先執行一次明確指定代理的請求，再啟用系統代理。macOS 的代理設定會套用至網路服務；無線網路、有線網卡和 USB 網卡可能各自保留不同設定。接上擴充基座或切換網路後，請檢查目前使用中的網路服務，不要只查看上次修改過的無線網路代理頁面。網路服務名稱可由使用者重新命名，因此不能假定命令範例中的名稱一定存在。

可先用以下命令列出網路服務，再查詢常見無線網路服務的 HTTP 和 HTTPS 代理設定。若清單中的服務名稱不是 Wi-Fi，請改用實際名稱。查詢結果只能說明系統記錄的代理設定，無法證明連接埠正在監聽，也不能確認目標應用程式是否遵循該設定。代理位址應與用戶端顯示的內容一致；本機用途通常指向迴環位址，不應誤填訂閱伺服器或節點伺服器的位址。

networksetup -listallnetworkservices
networksetup -getwebproxy "Wi-Fi"
networksetup -getsecurewebproxy "Wi-Fi"

TUN 權限與多個隧道的關係

用戶端的 TUN 實作可能仰賴輔助服務、虛擬介面或網路延伸功能，所需授權步驟並不完全相同。請依目前用戶端的提示安裝元件，再到系統設定完成相關確認。啟用後，查看記錄是否顯示介面就緒和路由已建立，不要只依據選單列圖示判斷。若每次啟動都重複要求授權，請確認元件是否安裝在預期位置、是否受管理政策阻擋，以及應用程式是否仍從暫存資料夾執行。

公司 VPN、其他網路過濾軟體和現有隧道，可能會與 TUN 同時修改預設路由和 DNS。若部分網域無法存取，請在允許的情況下先停用其他隧道，再以單一用戶端環境測試。不要直接刪除不熟悉的虛擬介面或系統網路設定檔，它們可能屬於組織管理軟體。若必須同時使用，請明確規劃各個目的網段由哪條隧道處理，並確認解析內部網域所需的 DNS 仍可連線，避免代理接管後無法存取內部服務。

終端機代理、憑證與睡眠喚醒

終端機程式通常不會因選單列顯示系統代理已啟用，就自動使用該代理。可使用命令本身的代理參數，或在目前終端機工作階段設定代理環境變數；測試結束後請儘快移除，避免關閉用戶端後命令仍連向本機已關閉的連接埠。HTTP、HTTPS 和 SOCKS 的參數意義各不相同，遠端解析與本機解析也可能有所差異。排查時先使用一種明確的代理協定，不要同時疊加環境變數、應用程式設定和 TUN，以免難以判斷實際連線路徑。

HTTPS 憑證錯誤不應透過關閉憑證驗證來處理。請先檢查系統時間、目標網站，以及網路是否有憑證替換政策，並確認用戶端設定未意外啟用流量解密功能。一般代理連線不需要為每個網站安裝根憑證。若睡眠喚醒後只能存取部分位址，先重新連線網路並重啟流量接管，再檢查 DNS 和路由；若關閉用戶端後問題仍在，回到目前使用的網路服務檢查殘留代理。更新前保留訂閱和覆寫設定，但不要將舊輔助元件檔案手動複製到新的安裝目錄。

安裝符合裝置架構的用戶端

前往Android 下載區選擇用戶端，優先推薦 Clash Plus；也可依設定相容性考慮 Clash Meta for Android、FlClash 或 Surfboard。多數較新的裝置採用 ARM64，但仍應以裝置實際支援的應用程式架構為準；晶片是 64 位元，不一定能推斷所有軟體環境。若安裝時提示與現有應用程式衝突，先確認套件名稱、簽章來源和安裝管道；保留可還原的設定後再決定是否解除安裝。不同簽章的安裝檔不能直接覆蓋。

透過瀏覽器或檔案管理員安裝時，Android 可能會要求允許該來源安裝應用程式。只針對目前使用的來源授權，完成後即可恢復限制。若安裝失敗，請分別檢查系統版本不符、架構不相容、儲存空間不足或簽章衝突；重複下載同一檔案不會改變這些條件。首次啟動先熟悉設定清單、代理群組、記錄和連線開關的位置，不要一開始就啟用開機自動啟動、永久啟用 VPN 和分應用程式清單等所有選項。

匯入訂閱並授權 VPN 連線

在設定頁面新增訂閱 URL，更新後選取該設定，並確認有可用節點和代理群組。Android 的剪貼簿存取、檔案選擇和 QR Code 匯入功能由各用戶端自行實作，入口名稱可能不同。匯入連結後若畫面只顯示設定名稱，請繼續確認內容是否確實下載、是否出現解析錯誤。若行動網路無法取得訂閱、Wi-Fi 卻正常，應先確認請求路徑和提供者限制，不要急著修改應用程式分流清單。

啟動連線時，系統通常會跳出 VPN 連線要求。允許後，用戶端會透過 Android 的 VPN 服務接收裝置流量；這不代表它的每項設定都與桌面版 TUN 完全相同。系統顯示 VPN 圖示，只能證明服務已建立；實際出口仍須查看用戶端規則與連線記錄。一般情況下，同一使用者空間只能有一個作用中的 VPN 服務；若另一個工具也需要 VPN 介面，後啟動的服務可能會取代先啟動的服務，請先決定要保留哪一個。

分應用程式清單與背景執行

分應用程式設定通常有「僅代理所選應用程式」和「略過所選應用程式」兩種模式，修改前務必先確認目前使用哪一種。將瀏覽器加入清單，不一定表示瀏覽器會略過代理，也可能表示只有瀏覽器會被接管。先用一個明確的測試應用程式建立最精簡的清單，儲存後依用戶端要求重新連線，再查看連線記錄。系統元件、工作資料夾和多使用者環境可能不會出現在同一份應用程式清單中，不能只憑套件名稱相似就認定流量接管範圍。

若鎖定螢幕後連線中斷，先檢查電池最佳化、背景活動限制和用戶端通知權限。部分系統的自動啟動管理與標準電池設定分開，請依裝置實際介面處理。只為目前使用的用戶端設定必要的背景執行權限，不必全面放寬所有相關應用程式的限制。用戶端持續顯示通知，也不代表核心一定仍可使用；解鎖後請查看連線時間、記錄和請求是否繼續進入核心，並分辨是程序遭回收，還是網路切換造成重新連線。

私人 DNS、熱點與網路切換

Android 的私人 DNS、瀏覽器安全 DNS 和用戶端 DNS 可能同時存在，不一定使用相同的解析路徑。若出現「連線正常但無法開啟網域」，先記錄目前的私人 DNS 設定，再暫時切換為系統自動模式比較，並檢查用戶端 DNS 記錄。不要直接把關閉某個選項當成長期解法，應找出是哪條解析路徑無法連線或與規則不一致。若涉及公司或學校管理的解析政策，請遵守裝置管理要求。

手機熱點下的其他裝置，通常不能直接視為已透過手機 VPN 連線；熱點流量是否會轉送，取決於系統和用戶端能力，不能只憑手機能使用代理就下結論。從 Wi-Fi 切換至行動網路時，舊連線可能中斷，新的 DNS 和路由也會改變；請重新測試新建立的請求，而不只是重新整理舊頁面。若啟用了永久開啟 VPN 或封鎖非 VPN 連線，當用戶端無法啟動時，系統可能會阻止整台裝置連網。停用或解除安裝前，請先檢查這項系統設定並確認有復原方式。

安裝 Clash Plus 並確認功能入口

iPhone 和 iPad 優先推薦 Clash Plus，可從App Store 的 Clash Plus 頁面安裝，產品官網為 clashplus.io。也可從本站的iOS 安裝入口前往 App Store。安裝前請查看商店頁面的系統需求和裝置相容性，功能名稱及可用設定以實際應用程式介面為準。不要把桌面用戶端的選單截圖當成 iOS 操作指南；兩個平台的權限和網路介面並不相同。

首次開啟後，先找到設定管理、連線狀態、代理策略和記錄入口。若系統詢問是否允許存取區域網路或傳送通知，請依實際用途決定；這些授權與建立 VPN 設定是不同事項。匯入訂閱不代表流量已立即接管，允許 VPN 設定也不代表訂閱可用。依照「安裝應用程式、載入設定、允許連線、驗證請求」的順序操作，有助於分辨介面、設定和系統授權問題。

使用用戶端支援的訂閱格式

複製訂閱網址後，貼到應用程式提供的新增設定或匯入入口，執行更新並設為目前設定。設定提供者應明確支援目前用戶端的匯入格式，不要假定所有名為 Clash 的訂閱都具備相同功能。若應用程式支援從檔案匯入，請使用系統檔案選擇器開啟可讀取的檔案，並確認匯入的是實際文字設定，而非網頁或錯誤回應。分享選單中出現應用程式名稱，只代表它提供接收入口，不保證內容一定相容。

匯入成功後，先確認代理群組有可選出口、設定已啟用，再進行首次連線。若更新訂閱時出現驗證失敗，請先檢查連結是否完整、帳戶是否有效，以及提供者是否限制請求；不要一開始就刪除所有本機設定或重新安裝。手動修改過的規則可能在更新後遭到覆蓋，建議優先使用用戶端提供的持續性擴充方式。若應用程式不支援某個 mihomo 欄位，應調整設定輸出或改用支援該功能的用戶端，不要直接複製桌面版 YAML。

允許 VPN 設定並確認實際出口

啟動連線時，iOS 可能會要求允許新增 VPN 設定，並透過裝置驗證確認。授權後回到應用程式查看連線狀態，必要時再到系統設定確認目前使用的 VPN。這裡的隧道是應用程式透過系統網路延伸機制建立，並非把桌面上的「系統代理」開關搬到手機。介面顯示已連線，只代表隧道工作階段已建立；規則是否依預期執行、目標服務是否接受目前出口，仍須透過實際連線和用戶端記錄確認。

測試時先開啟一個可正常存取的 HTTPS 網頁，再檢查目標應用程式，並記錄兩者是否都出現在用戶端連線清單中。若網頁正常、只有單一應用程式異常，請進一步檢查應用程式快取、帳戶限制、UDP 需求和獨立解析行為。不要看到 VPN 標記就認定每個連線都必定經過所選節點；規則可能讓區域網路、特定網域或其他目標直接連線。切換代理策略後，請用新連線測試；既有長連線可能仍沿用原本路徑傳輸。

依需求連線、區域網路與系統服務範圍

若應用程式提供依需求連線功能，請先確認手動連線穩定，再新增觸發條件。頻繁切換多個 VPN 應用程式，可能改變目前作用中的設定；排查時先只保留一個明確的連線來源。無線網路頁面的手動 HTTP 代理只作用於該網路以及遵循該設定的流量，與應用程式隧道並非同一層。兩者同時啟用可能造成重複代理，或指向已失效的區域網路位址；請分別記錄和測試，不要混在一起排查。

若無法存取印表機、家用儲存裝置或其他區域網路裝置，請查看用戶端是否提供略過區域網路的設定，以及系統的本機網路權限是否允許對應應用程式存取。iCloud 私密轉送等系統功能也可能改變部分請求路徑；在可行的情況下，可暫時停用來比較，但請記下原設定以便還原。若使用公司管理裝置或依應用程式設定的 VPN，應由管理員確認政策範圍，不宜直接刪除受管理的描述檔來嘗試恢復一般代理。

切換網路、升級系統或重新啟動裝置後，請再次確認應用程式是否需要手動連線、訂閱能否更新，以及依需求連線條件是否符合目前網路。解除安裝前先中斷連線並處理相關的依需求設定，備份訂閱來源和必要規則；應用程式沙盒中的檔案可能會隨解除安裝而刪除。若關閉 VPN 後網路仍異常，請檢查無線網路手動代理、DNS 和裝置管理政策，不要反覆建立新的 VPN 設定。憑證錯誤也應從系統時間、網站和網路憑證鏈著手排查，不應關閉驗證來掩蓋問題。

依發行版與架構選擇安裝方式

Linux 圖形桌面可優先選擇 Clash Verge Rev，也可使用 FlClash；套件格式請查看Linux 下載區。先執行 uname -m確認架構，再確認發行版使用的套件管理系統；AMD64 和 ARM64 不能混用，DEB 和 RPM 也不能直接互換。桌面套件是否適用於目前系統，還取決於圖形工作階段和執行環境函式庫。安裝程式回報缺少相依套件時，請從發行版可信任的軟體來源安裝，不要下載來源不明的單一共享函式庫來補齊。

安裝完成後先以一般桌面使用者身分啟動，匯入訂閱並選擇目前設定，再確認代理群組和核心記錄。圖形應用程式的安裝權限，不等於執行核心所需的網路權限；不要長期以 root 身分執行整個桌面應用程式。桌面環境的系統代理通常只影響讀取相關設定的應用程式；終端機、容器、套件管理器和系統服務可能另有設定。明確指定代理的測試成功，但軟體更新服務仍無法連線時，應檢查該服務的代理設定入口，不要立刻判定核心失效。

獨立執行 mihomo 的基本檢查

伺服器或路由器使用者可前往核心下載區選擇相符版本。解壓縮後依實際檔名重新命名並授予執行權限，先執行說明命令確認執行檔與平台相容。將設定放在獨立目錄，再使用測試參數檢查；測試時可能需要讀取規則集等資源，請區分網路錯誤和語法錯誤。以下範例假設已將執行檔存為目前目錄中的 mihomo，並將設定存為 config.yaml；這些命令不會自動安裝系統服務。

uname -m
chmod u+x ./mihomo
./mihomo -h
./mihomo -t -f ./config.yaml
./mihomo -f ./config.yaml

以下是只提供本機直連代理的基本設定，可用來檢查連接埠監聽狀態和應用程式代理參數。設定中沒有遠端代理節點，不能用來驗證遠端代理出口。先用這份設定了解本機入口，再載入可信任的訂閱；不要直接在正常運作的訂閱檔案末尾貼上重複的頂層鍵。重複定義相同的鍵可能遭解析器拒絕或覆蓋，導致實際結果與閱讀順序不一致。

mixed-port: 7890
allow-lan: false
bind-address: 127.0.0.1
mode: rule
log-level: info
rules:
  - MATCH,DIRECT

TUN、路由與 DNS 的權限需求

Linux 上的 TUN 需要系統提供相應裝置和必要的網路權限。受限容器、共用主機或精簡系統可能沒有可用的 /dev/net/tun；單靠修改 YAML 無法補足主機環境的功能。若記錄顯示權限不足，先檢查執行身分、服務限制和裝置可見性；不要直接對所有程式擴大權限。授權政策應只涵蓋需要的核心程序，升級後也要確認替換執行檔是否影響既有能力設定。

啟用自動路由前，先記錄預設路由、遠端管理入口和現有防火牆規則。在遠端伺服器上錯誤接管路由可能中斷 SSH，操作前應準備主控台或其他復原管道。DNS 可能由 NetworkManager、systemd-resolved 或其他服務管理；必須確認用戶端的 DNS 監聽連接埠，以及系統請求如何送達該入口。只設定核心 DNS，卻沒有變更系統解析路徑，不代表所有應用程式都已使用它；反過來，也不要覆寫受管理的解析檔案後，期待設定能長期生效。

服務化、容器與區域網路界線

前景執行驗證完成後，再依發行版機制建立背景服務，並明確指定執行檔的絕對路徑、設定路徑、工作目錄和執行使用者。服務使用的相對路徑通常與互動式終端機不同，規則集和快取檔案也需要適當的寫入權限。啟動失敗時請查看服務記錄，不要反覆重新啟動整個系統。停止服務後應確認自動新增的路由和 DNS 設定是否還原，尤其要驗證機器本身仍能解析網域並進行遠端管理。

容器內的迴環位址指向容器本身，不是主機；把主機代理填為 127.0.0.1，通常無法讓橋接網路中的容器存取該代理。需要共用代理時，應明確規劃網路入口、綁定位址和防火牆範圍，並考慮驗證方式；不要只把監聽位址改成所有介面，就將服務暴露到公網。路由器部署還牽涉閘道、DNS 下發和透明代理路徑，不適合直接照搬桌面設定。相關拓撲與適用範圍請參閱OpenWrt 旁路由部署概覽；一般桌面使用者不必為了使用代理而部署旁路由。

先分層排查，再修改設定

排錯時依序檢查「設定載入、核心監聽、流量接管、規則比對、出口連線、目標回應」。設定解析失敗時，切換系統代理或 TUN 無法修復 YAML；核心沒有監聽時，即使瀏覽器代理設定正確也無法連線；請求尚未進入核心時，更換節點通常無濟於事。先找出最早失敗的環節，保留記錄中的具體錯誤、發生時間和操作步驟，再一次修改一個變數。向他人求助前，請隱藏訂閱憑證、節點驗證資訊和存取記錄中的敏感內容。

若匯入時顯示成功但無法使用，請確認目前生效的是哪份設定，以及用戶端啟動時是否會合併覆寫內容。YAML 縮排必須使用空格，不要使用定位字元；清單層級、冒號後的空格和字串引號都可能影響解析。尤其要確認規則引用的代理群組名稱確實存在且完全相同。訂閱提供者更新群組名稱後，舊的自訂規則可能仍指向已刪除的群組；這時應修正規則目標，而不是更改系統 DNS。

規則依序比對，兜底規則放在最後

mihomo 一般會由上而下比對規則，並採用第一條符合的規則。網域規則適合依服務分流；IP 網段規則適用於明確的網路範圍；MATCH則會接收前面沒有比對到的連線。以下範例只使用內建的直連和拒絕策略，用來示範規則順序，並非完整訂閱。no-resolve可避免為了這條 IP 規則主動解析網域，不代表關閉所有 DNS。已有訂閱時，請透過用戶端的擴充入口插入規則，並確認位置在訂閱兜底規則之前。

rules:
  - DOMAIN-SUFFIX,example.com,DIRECT
  - IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
  - IP-CIDR,10.0.0.0/8,DIRECT,no-resolve
  - DOMAIN-SUFFIX,invalid,REJECT
  - MATCH,DIRECT

修改後請用新連線驗證，檢查實際命中的規則，不要只確認規則檔案中是否包含目標網域。應用程式可能連線至多個網域、使用快取位址或重複利用既有連線，因此載入單一頁面時可能出現多條不同策略的記錄。若需要代理，應將規則目標設為設定中確實存在的代理群組，不要任意貼上群組名稱。更多規則類型、排序和覆蓋關係，請參閱自訂規則語法與優先順序。

檢查 DNS 設定時，也要確認請求路徑

DNS 負責將網域名稱轉換為位址，規則和路由則決定後續連線從哪裡送出。Fake-IP 模式會使用合成位址維持網域對應；Redir-Host 通常會向應用程式回傳實際解析結果，兩者不能只用速度好壞來比較。啟用 Fake-IP 後，若少數區域網路服務或裝置出現異常，請先檢查例外網域和實際接管路徑，不要任意擴大例外範圍。判斷 DNS 是否外洩也應查看請求實際送往何處，不能只憑檢測頁面顯示的解析服務名稱下結論。

瀏覽器內建加密 DNS、Android 私人 DNS、系統解析器和核心解析器可能同時運作。排查時先選定一條明確路徑測試，再逐項恢復其他設定。加密解析位址本身也需要可連線的路徑；錯誤的代理依賴可能形成啟動循環：連線節點需要先解析網域，解析請求卻又被送往尚未建立的節點。若規則依賴 GeoIP 或 GeoSite，還要確認資料庫已成功下載，且欄位符合目前核心版本；相關方式請參閱GeoIP 與 GeoSite 更新說明。

分別檢查延遲、頻寬與連線穩定度

節點延遲測試主要反映特定條件下，向指定測試位址發出請求所需的時間，並非實際下載頻寬。低延遲節點仍可能因壅塞、出口限制或目標服務政策而表現不佳。測試時記錄目標、時段、網路類型和出口，先比較條件相同的結果；不要連續切換多項設定後只保留一個結論。握手和 URL Test 的詳細說明，請參閱延遲測試與實際網速的差異；其他個別問題可查閱常見問題。

還原順序應與部署順序相反：先關閉 TUN 或應用程式隧道，再關閉系統代理，最後結束核心，並確認系統解析和預設路由已恢復預期狀態。保留最後一份可用設定和修改記錄，下次遇到問題時先回到這個基準。若只有單一目標服務異常，而其他代理請求和直連都正常，請檢查目標服務的帳戶、憑證、地區和協定需求，不要用重新安裝用戶端取代問題排查。首次部署的主要步驟仍可回到快速入門指南逐步確認。