内核与客户端
内核负责实际处理网络连接，GUI 客户端负责把内核能力整理为可操作的界面。理解两者的分工，有助于判断问题来自配置、内核还是客户端外层功能。
- mihomo
-
mihomo 是由 Clash Meta 延续发展而来的代理内核，负责建立协议连接、处理 DNS、匹配规则并转发流量。多数图形客户端只是调用内核能力，再提供配置管理、系统代理和日志界面。
排查问题时应先区分客户端界面设置与内核配置。日志中出现的规则命中、DNS 查询和连接错误，通常由内核直接产生。
- Clash Meta
-
Clash Meta 是 Clash 内核生态中的扩展实现，加入了更多代理协议、规则能力和网络处理选项。相关文档中的 Meta 字段，通常指向这套扩展语法或兼容能力。
当前资料中可能同时看到 Clash Meta 与 mihomo 两个名称。阅读旧配置时需要结合字段和内核版本判断，不应只按名称推断功能是否可用。
- GUI 客户端
-
GUI 客户端是带图形界面的桌面或移动应用，常见功能包括订阅更新、策略切换、系统代理、TUN 开关和日志查看。客户端本身与代理内核可以分别更新，两者版本并不一定同步。
某个设置未出现在界面中，不代表内核不支持。部分高级字段需要通过覆写或直接编辑 YAML 配置启用。
- YAML
-
YAML 是 Clash 配置常用的数据格式，通过缩进表达字段层级。它对空格、冒号位置和列表符号较敏感，Tab 制表符、层级错位或遗漏空格都可能导致解析失败。
修改配置时应保持同一层级的缩进一致。包含特殊符号的字符串可以使用引号包裹，避免内容被误判为布尔值、数字或注释。
- 配置文件
-
配置文件保存端口、运行模式、DNS、节点、策略组和规则表等设置，是内核启动时读取的主要输入。订阅生成的内容也会以配置文件形式载入客户端。
一份配置能被下载，不等于能够被内核正确解析。出现载入失败时，应先检查 YAML 语法，再检查字段是否受当前内核支持。
代理协议
协议决定客户端如何与代理服务器建立连接。系统代理入口使用的 HTTP、SOCKS5，与节点使用的 Shadowsocks、Trojan 属于不同层面的概念。
- HTTP 代理
-
HTTP 代理接口接收支持代理设置的应用请求，常用于浏览器、下载工具和开发工具。HTTPS 网站通常通过 CONNECT 方法建立隧道，代理并不等于把目标网站改成普通 HTTP。
Clash 配置中的 HTTP 端口属于本地监听入口。它与远端节点采用什么协议没有直接对应关系。
- SOCKS5
-
SOCKS5 是较通用的代理协议，可承载多种上层连接，并允许应用选择在本地或代理端解析域名。许多命令行工具和开发软件支持直接填写 SOCKS5 地址。
使用
socks5h一类写法时，域名通常交给代理端处理；普通socks5的解析行为则取决于应用实现。 - Shadowsocks
-
Shadowsocks 是基于加密传输的代理协议。节点定义通常包含服务器地址、端口、密码和加密方式，任意一项不匹配都会导致连接失败。
配置中的加密方法必须与服务端一致。名称相近的算法也不能互换，复制节点参数时应保留原始拼写。
- Trojan
-
Trojan 使用 TLS 建立加密连接，节点配置通常涉及服务器、端口、密码和证书域名。启用证书验证时，域名与证书不匹配会直接造成握手失败。
sni用于指定 TLS 握手中的服务器名称。它可能与连接地址不同，但应与服务端部署和证书配置保持一致。
规则与分流
规则从上到下匹配连接，命中后把流量交给策略组、节点或内置动作。顺序、目标名称和规则数据是否更新，都会影响最终出口。
- 规则分流
-
规则分流是按照域名、IP、端口、进程或规则集合判断连接去向的过程。规则一般从上到下检查，首条命中的结果决定该连接使用哪个策略。
把宽泛规则放在前面，可能让后面的精确规则永远无法命中。修改规则表时，需要同时检查顺序和目标策略名称。
- Rule Provider
-
Rule Provider 用于从独立文件或远程地址载入规则集合。主配置只需引用集合名称，规则内容可以按设定的时间间隔单独更新。
规则集需要声明正确的行为类型和数据格式。下载失败、路径错误或格式不匹配时，对应的规则引用可能无法正常工作。
- 策略组
-
策略组把多个节点或其他策略组合成一个逻辑入口。规则通常指向策略组，再由用户选择、自动测速、故障切换或负载分配决定具体出口。
策略组可以继续引用其他策略组，但名称必须完全一致。循环引用或引用不存在的名称会造成配置错误。
- DIRECT
-
DIRECT 是内置的直连策略，表示连接不经过代理节点，由当前设备直接访问目标地址。局域网地址、设备服务和适合本地出口的连接常使用该策略。
直连仍会受到本机路由、防火墙和 DNS 结果影响。命中 DIRECT 只能说明代理内核选择了直连，不代表目标一定可达。
- REJECT
-
REJECT 是拒绝连接的内置动作，常用于阻止特定域名、地址或请求类型。它会在规则层终止匹配流量，而不是选择某个代理节点。
过于宽泛的拒绝规则可能影响网页资源、应用接口或系统服务。排查加载不完整时，可以在日志中确认相关请求是否命中 REJECT。
- GeoIP
-
GeoIP 根据目标 IP 所属地区进行匹配，依赖本地地理数据库。它适合处理已经得到目标 IP 的连接，但结果会受到数据库覆盖范围和更新时间影响。
域名对应的服务器地址可能随地区、网络和 CDN 调度变化。GeoIP 适合作为分流条件之一，不应被理解为永久固定的地址归属。
- GeoSite
-
GeoSite 是按用途、服务或地区整理的域名集合。规则可以引用某个分类批量匹配相关域名，减少逐条维护域名后缀的工作量。
GeoSite 与 GeoIP 的匹配对象不同：前者面向域名，后者面向 IP。数据库过旧时，新域名或分类调整可能无法及时反映。
DNS 与解析
DNS 决定域名如何转换为地址，也会影响规则能否继续使用域名信息。排查解析问题时，需要同时查看增强模式、解析服务器和实际查询出口。
- DNS 泄漏
-
DNS 泄漏指域名查询绕过预期的代理或加密解析路径，被系统默认 DNS、路由器或其他解析服务器处理。它关注的是查询实际发往哪里，而不只是网页连接使用哪个出口。
判断时应结合系统 DNS、浏览器安全 DNS、客户端 DNS 设置和 TUN 接管范围。只修改一个 nameserver，不一定能覆盖所有查询来源。
- Fake-IP
-
Fake-IP 模式由内核先返回保留地址，并维护该地址与原始域名之间的映射。应用随后连接这个地址时，内核可以恢复域名信息并继续执行域名规则。
部分局域网设备、连通性检测和依赖真实地址的服务可能需要加入
fake-ip-filter。例外范围不宜无限扩大，否则会削弱域名映射的效果。 - Redir-Host
-
Redir-Host 模式向应用返回真实解析地址，同时尝试保留域名与连接之间的关联。它与 Fake-IP 的地址返回方式不同，因此兼容表现和规则匹配路径也不同。
遇到依赖真实 IP 的应用时可以比较两种增强模式，但切换后应重新测试 DNS 出口、域名规则和本地服务发现。
- Nameserver
-
Nameserver 是配置中负责常规域名解析的服务器列表，可填写传统 DNS、DoH 或其他受支持的地址。多个服务器的选择方式取决于内核配置和查询结果。
若加密 DNS 地址本身使用域名，内核还需要先解析该服务器域名。相关引导解析设置错误时，可能形成无法完成的依赖链。
- DoH
-
DoH 是 DNS over HTTPS 的缩写，通过 HTTPS 传输 DNS 查询。它可以加密设备到解析服务器之间的查询内容，但不会自动决定后续网站连接走直连还是代理。
浏览器可能启用独立的 DoH 设置，从而绕过系统或客户端 DNS。排查解析路径时，应确认浏览器和操作系统是否存在额外入口。
订阅与配置文件
订阅负责交付可更新的配置内容，节点是其中的连接定义，覆写则用于保留本地调整。测速和 TUN 属于客户端使用阶段常见的辅助能力。
- 订阅
-
订阅是由服务端提供并可定期更新的配置或节点集合。客户端通过订阅地址拉取内容，再将其解析为节点、策略组和规则等可操作项目。
更新订阅可能覆盖此前直接修改的内容。需要长期保留的本地规则或 DNS 设置，更适合放在客户端支持的覆写或合并配置中。
- 节点
-
节点是单个代理服务器的连接定义，通常包含协议、服务器地址、端口和认证参数。节点名称只是显示标签，不能证明线路质量或实际位置。
同一节点可以被多个策略组引用。修改或删除节点名称后，所有引用该名称的策略组也需要同步调整。
- 延迟
-
延迟通常指客户端向指定测试地址发起连接探测后得到的响应耗时。它可以帮助判断节点是否可达并初步比较响应速度，但不等同于下载速度或持续稳定性。
不同客户端使用的测试地址、超时时间和复用方式可能不同，因此数值不适合跨客户端直接比较。偶发结果也应结合多次测试判断。
- TUN 模式
-
TUN 模式通过系统虚拟网络接口接管流量，使不支持手动代理设置的应用也能进入内核的规则处理流程。它通常比仅开启系统代理覆盖更广。
启用 TUN 可能需要系统权限，并可能与其他 VPN、虚拟网卡或安全软件产生路由冲突。出现断网时应检查默认路由、DNS 劫持和其他网络工具的运行状态。
- 覆写
-
覆写是在不直接修改订阅原文的情况下，对配置字段进行补充、替换或删除。常见用途包括固定端口、调整 DNS、增加规则和修改策略组。
不同客户端对覆写、合并和脚本处理的命名及执行顺序可能不同。修改后应查看最终生成的配置，而不能只检查覆写片段本身。