先理解：Clash 和 VPN 不是同一种东西
很多新手会把“打开 Clash”和“连接 VPN”视为同一件事，因为两者都可能改变网络流量的出口，让部分网站或应用通过另一条线路访问。但从技术定位来看，Clash 通常是一个本地代理客户端与流量转发工具，而 VPN 是一种建立加密隧道的网络技术，也常被用来指提供 VPN 服务的客户端应用。两者可以解决部分相似的问题，却不处在完全相同的层级。
Clash 客户端一般在本机启动 mihomo 等代理内核，监听 127.0.0.1:7890 一类的 HTTP、HTTPS 或 SOCKS 混合端口。浏览器、系统代理或 TUN 虚拟网卡把流量交给本地内核后，内核再根据配置中的节点、策略组和规则决定如何连接远端。Clash 本身通常不提供远端线路，订阅服务或用户配置才会提供节点信息。
VPN 则更强调“隧道”。VPN 客户端通常使用 WireGuard、OpenVPN、IKEv2/IPsec 等协议，与远端 VPN 网关建立加密连接，并在系统中创建虚拟网络接口。系统路由可以把全部流量或指定网段送入这条隧道。用户购买的商业 VPN 服务，往往把客户端、服务器、账户认证和线路管理打包在一起，因此安装后登录账号即可使用。
| 对比项目 | Clash 类工具 | VPN 客户端或 VPN 服务 |
|---|---|---|
| 主要定位 | 本地代理管理、规则分流与多节点调度 | 建立加密隧道并接入远端 VPN 网关 |
| 远端线路来源 | 通常来自订阅、手写配置或独立节点 | 通常由 VPN 服务商提供并统一管理 |
| 流量选择 | 可按域名、IP、进程或规则选择不同出口 | 常见是全局隧道，也可能支持分应用或分流 |
| 本地接入方式 | 系统代理、HTTP/SOCKS 端口或 TUN | 虚拟网卡、系统路由和 VPN 网络扩展 |
| 配置复杂度 | 需要理解订阅、策略组、规则和 DNS 等概念 | 通常以账号、服务器和协议预设为主 |
工作方式差异：端口代理、规则分流与虚拟网卡
Clash 的系统代理模式
Clash 最容易理解的运行方式是系统代理。启动内核后，客户端会在本机监听一个代理端口，例如：
mixed-port: 7890
allow-lan: false
mode: rule
log-level: info
external-controller: 127.0.0.1:9090开启系统代理后，支持 HTTP 或 SOCKS 代理的软件会把请求交给 127.0.0.1:7890。内核随后按照 rules 从上到下匹配目标域名、IP 地址或网络类型，再交给“直连”“代理”或某个策略组处理。外部控制端口 9090 主要供客户端读取状态、切换策略和查看连接，不是给浏览器填写的代理端口。
这种模式的优点是影响范围清晰，关闭系统代理后，未接入代理的软件通常会恢复直连。浏览器、开发工具和支持系统代理的桌面应用适合从这里开始。缺点是部分游戏、命令行程序、商店应用或自行管理网络连接的软件可能完全不读取系统代理，因此它们不会自动经过 Clash。
Clash 的 TUN 与 VPN 虚拟接口
TUN 模式会创建一个虚拟网络接口，并通过系统路由接管更多 IP 流量。对于不支持 HTTP 或 SOCKS 代理的程序，TUN 可以把连接先交给 mihomo，再由内核依据规则转发。Windows、macOS、Android 和 Linux 对 TUN 的权限、驱动或网络扩展要求不同，首次启用时可能需要管理员授权、VPN 配置批准或系统扩展许可。
TUN 与传统 VPN 在表现上很接近：都可能改变系统路由，也都需要操作系统层面的网络权限。但它们的目标不完全相同。Clash 的 TUN 通常是为了把系统流量接入本地规则引擎，节点仍由配置文件定义；商业 VPN 的虚拟网卡通常直接连接服务商的 VPN 网关，并由服务端分配隧道地址和路由。
- 系统代理：配置简单，适合浏览器和明确支持代理的软件。
- TUN 模式：覆盖范围更广，适合不读取系统代理的程序，但需要处理权限、DNS 和路由。
- VPN 隧道：由 VPN 协议和远端网关提供网络连接，常见于企业内网、远程办公和公共 Wi-Fi 安全接入。
规则模式和全局模式有什么不同
Clash 的核心优势之一是规则分流。规则模式下，可以让国内常用服务直连，将特定域名或网段交给代理组，再把广告、局域网和不需要转发的地址排除。全局模式则通常把所有已进入 Clash 的连接交给同一个代理策略；直连模式则不使用远端代理，但仍可能保留本地 DNS 或规则处理。
需要注意的是，“规则模式”并不代表所有应用都已经被接管。它只决定进入内核后的连接如何处理。如果某个程序没有读取系统代理，也没有经过 TUN，它的流量不会出现在 Clash 的连接列表中。排查时应先确认应用是否进入内核，再检查规则命中结果，不能只看当前模式按钮。
订阅、节点与客户端：新手最容易混淆的三件事
订阅链接到底是什么
订阅链接通常是服务端生成的一种配置入口，里面可能包含代理节点、策略组、规则、DNS 设置和自动更新信息。它本质上是一段需要定期下载的配置数据，不是安装包，也不是一个独立的 VPN 协议。FlClash 导入订阅后，客户端会下载并保存配置，再交给内核解析。
同一个订阅在不同客户端中的结果可能不同。若配置包含 rule-providers、tun、sniffer、Hysteria2、TUIC 或其他 mihomo 扩展字段，采用经典 Clash 内核的客户端可能无法完整识别。使用 FlClash 时，应在客户端信息页确认实际运行的内核，并优先选择明确支持 Clash Meta 或 mihomo 的配置格式。
节点不是 VPN 服务本身
节点是配置中的一条远端连接信息，通常包含服务器地址、端口、协议、认证凭据以及 TLS 或传输参数。节点可以使用 Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 或 WireGuard 等不同协议。节点能否连接，取决于本地网络、服务端配置、账号状态、证书和协议参数是否匹配。
订阅服务则可能负责生成节点、维护服务器、限制流量、管理到期时间和提供转换格式。不同服务商的质量与隐私政策差别很大。Clash 客户端本身无法验证订阅商是否可靠，也不能因为配置能够成功导入，就推断服务商一定安全。
| 看到的内容 | 实际含义 | 新手应检查什么 |
|---|---|---|
| 下载 FlClash | 安装本地客户端 | 平台、CPU 架构、版本来源和权限要求 |
| 导入订阅 URL | 下载远端生成的配置 | 链接有效期、返回格式、更新频率和隐私风险 |
| 选择一个节点 | 选择一条出站连接 | 协议兼容性、延迟、丢包和服务端状态 |
| 打开 TUN | 请求系统级流量接管 | 系统权限、DNS、路由冲突和应用影响范围 |
新手如何选择：按使用场景而不是名称决定
更适合优先考虑 VPN 的场景
- 企业或学校内网接入：需要访问内部文件、数据库、办公系统或私有网段时，应按照管理员提供的 VPN 协议和账户配置操作。
- 公共 Wi-Fi 安全接入：希望把设备到远端网关之间的流量放入统一加密隧道时，WireGuard、OpenVPN 或 IKEv2 等方案更直接。
- 不想维护规则：只需要连接或断开一个远端网络，不需要管理多个节点和复杂分流规则时，VPN 客户端通常更简单。
- 服务商提供完整应用：如果服务商只支持其官方客户端、设备登录和服务端策略，就应按照其文档使用，不要擅自把信息改写成 Clash 配置。
更适合选择 Clash 的场景
- 需要精细分流：希望按域名、IP、规则集或应用需求选择直连与不同代理组。
- 同时管理多条线路：需要在多个节点之间手动切换，或使用
url-test、fallback等策略进行健康检查。 - 已经有 Clash 配置：手中有合法获得的 YAML、节点信息或订阅，并且希望在多个平台统一管理。
- 需要查看连接过程：希望通过日志、连接列表、规则命中信息和延迟测试定位网络问题。
如果只是想让一个浏览器使用代理，可以先使用系统代理模式，不必立即启用 TUN。这样既减少权限申请，也方便判断问题来自订阅、节点、规则还是系统路由。只有确认目标应用不读取系统代理，或者确实需要接管更多流量时，再考虑 TUN。
安装和导入前的准备清单
- 从可信的软件下载入口获取对应平台的客户端，确认 Windows、macOS、Android 或 Linux 版本与系统架构匹配。
- 确认订阅服务明确支持 Clash、Clash Meta 或 mihomo 格式，不要把普通网页账号、单个分享链接或 VPN 登录密码直接当作订阅。
- 准备一份本地备份，记录订阅来源、当前模式、混合端口、常用策略组和自定义规则。
- 首次导入后先检查配置是否成功解析，再选择节点进行延迟测试，不要一开始就打开 TUN。
- 先开启系统代理，访问一个普通网站并观察连接列表，再逐步测试命令行、视频应用或其他特殊程序。
- 确认网络正常后，再根据需要启用 TUN，并记录系统弹出的权限、VPN 配置或网络扩展提示。
默认配置可以从下面的思路开始：mode: rule、allow-lan: false、本地混合端口保持为 7890，外部控制接口仅绑定 127.0.0.1。如果没有局域网共享需求，不要把 allow-lan 改为 true，也不要把控制接口绑定到所有地址。开放本地服务可能让同一网络中的其他设备访问代理或控制接口。
入门排错与安全设置：先缩小变量再修改配置
遇到“客户端已启动但网页打不开”时，可以按固定顺序检查。第一步看内核是否正在运行，以及 127.0.0.1:7890 是否有监听；第二步确认系统代理指向的端口与配置中的 mixed-port 一致；第三步查看连接列表中是否出现目标域名；第四步检查当前策略组是否选中了可用节点；最后再检查 DNS、规则集和 TUN。
- 没有任何连接记录：可能是应用未使用系统代理，也可能是系统代理开关没有生效。
- 连接立即失败：检查节点地址、端口、UUID、密码、TLS 和传输参数是否完整。
- 能连接但域名打不开：重点检查 DNS 解析、规则命中和服务端证书。
- 只有部分网站异常：检查规则顺序、策略组当前选择以及是否存在过期规则集。
- 开启 TUN 后全网异常：先关闭 TUN 恢复系统，再检查默认路由、DNS 劫持、IPv6 和其他 VPN 软件。
mixed-port: 7890
allow-lan: false
mode: rule
log-level: info
external-controller: 127.0.0.1:9090
secret: replace-with-a-long-random-secret控制接口如果设置了密钥，应使用较长且不重复的随机字符串。不要把 external-controller 绑定到公网地址，也不要把带有真实节点密码、订阅令牌和控制密钥的完整配置上传到公开位置。导出诊断信息时，至少检查服务器地址、用户名、UUID、密码、订阅 URL 和证书字段。
还要注意 DNS 与代理的关系。系统代理模式下，某些程序可能仍然使用自己的 DNS；TUN 模式下，内核可能接管更多 DNS 请求，但错误的 fake-ip、IPv6 或 DNS 规则会造成“能打开 IP、打不开域名”的现象。修改 DNS 前先保存原配置，一次只更改一个参数，并在修改后清理浏览器缓存或重新建立连接。