Clash 全平台安裝與設定指南

通用準備：客戶端、訂閱與設定範圍

先區分客戶端、核心與連線服務

Clash 生態系包含圖形介面客戶端、代理核心與設定格式。圖形介面客戶端負責匯入訂閱、選擇出站並申請系統權限；核心則負責解析設定、比對規則及建立連線。mihomo 是常見的核心，但不代表所有客戶端都支援相同欄位。訂閱中的協定類型、客戶端內建核心的功能，以及設定轉換方式都必須相互配合，尤其要確認較新的傳輸參數與 DNS 欄位。

安裝客戶端不代表已取得可用連線。開始前請準備可信服務提供者提供的訂閱連結，或含有出站設定的本機 YAML 檔案，並確認使用範圍、到期狀態及裝置數量限制。建議先到客戶端下載頁選擇適用於作業系統的 Clash Plus；若需要其他介面或部署方式，再依平台比較 Clash Verge Rev、FlClash 等客戶端。請勿同時啟動多個代理核心。

確認硬體架構並記錄目前網路設定

下載前先確認作業系統、處理器架構及安裝權限。桌面裝置需區分 x64 與 ARM64，macOS 需確認是 Intel 或 Apple Silicon，Android 則應依裝置支援的指令集選擇安裝檔。架構不符通常會導致無法啟動或安裝，與訂閱問題無關。安裝前也請記下現有 VPN、手動代理、公司網路軟體及自訂 DNS 設定，以免新設定覆蓋舊設定後無法還原。

請保留一份目前可用的設定及客戶端覆寫規則。訂閱網址可能含有帳號識別資訊，請勿在截圖、客服工單或公開儲存庫中公開完整網址；匯出的本機 YAML 也可能包含密碼。若要在多台裝置間同步，請將服務提供者維護的訂閱與自行維護的覆寫設定分開。直接修改遠端訂閱產生的檔案，可能在下次更新時被覆蓋；維護方式可參考多裝置設定同步方案。

了解系統代理與 TUN 的流量接管範圍

系統代理會提供本機 HTTP 或 SOCKS 入口，供遵循作業系統代理設定的應用程式使用；但不保證所有遊戲、命令列工具與 UDP 流量都會經過此入口。TUN 則透過虛擬網路介面及路由接管流量，通常需要服務元件或系統授權。兩者用途不同：建議先使用系統代理建立可驗證的基準，再依應用程式需求啟用 TUN，比一次開啟所有選項更容易找出問題。

以下通用欄位適用於常見的 mihomo 設定。混合連接埠可同時接收 HTTP 與 SOCKS 請求；若監聽回送位址，則僅供本機使用。範例未包含出站設定，因此只能用來對照參數，不能據此測試代理出口。若客戶端透過介面產生連接埠或監聽位址，請檢查實際執行中的設定值，而不只查看訂閱檔案。

mixed-port: 7890
allow-lan: false
bind-address: 127.0.0.1
mode: rule
log-level: info
ipv6: false

匯入訂閱後的檢查順序

匯入連結後，先更新訂閱，再將新設定設為目前使用的設定。確認頁面中出現預期的代理群組，開啟選擇群組並指定可用的出站；「自動選擇」群組也必須包含可用項目。訂閱下載成功只代表取得了設定，不能證明出站連線正常。若下載失敗，請檢查系統時間、網址是否完整，以及服務提供者是否要求特定訂閱格式。建議使用客戶端內建的匯入功能，避免任意透過第三方轉換服務。

接著使用規則模式測試一個明確應透過代理的請求，並查看連線記錄中的匹配規則與最終出站。再測試一個應直接連線的請求，確認分流結果符合預期。每次只變更一個項目，並記錄修改前後的結果。瀏覽器能開啟網頁，不代表所有程式都已接管；出口 IP 改變也不能單獨證明 DNS 路徑正確。驗證時應同時檢查請求、規則與 DNS 解析。

Windows：安裝、系統代理與 TUN 服務

選擇安裝檔並完成首次啟動

在 Windows 設定的系統資訊中查看系統類型，並依下載頁列出的架構與系統需求選擇安裝檔。建議優先選擇 Clash Plus，也可依使用習慣選擇 Clash Verge Rev、FlClash 或 Clash Nyanpasu。Clash for Windows 已停止維護，可用於辨識舊設定及遷移；舊教學中的選單位置不一定適用於目前的客戶端。安裝新客戶端前，請先結束舊客戶端並關閉其系統代理。

若安裝程式要求提升權限，請先確認檔案來源與要求的操作。一般圖形介面和需要管理員權限的背景服務是不同元件，不必每次啟動介面都以管理員身分執行。首次開啟後，請確認核心是否正常啟動。若視窗能正常顯示，但設定、記錄等頁面持續顯示連線失敗，應先檢查本機核心程序與控制連線，不要立即重灌系統或反覆更換訂閱。

匯入設定並建立系統代理基準

前往訂閱或設定頁面，貼上完整連結並下載。為設定取一個容易辨識的名稱，更新後選取該設定，讓它成為目前使用的設定。接著在出站頁面開啟選擇群組，指定實際節點，再回到設定中啟用系統代理。若瀏覽器自行設定了固定代理或安裝了代理切換擴充功能，請暫時改為使用系統設定，否則客戶端的系統代理選項可能無法影響該瀏覽器。

測試時先維持規則模式。開啟連線記錄，查看目標網域、匹配規則與出站路徑，不要只看系統匣圖示。若要驗證本機 HTTP 入口，可在 PowerShell 中明確執行以下命令；此處使用 curl.exe，避免不同 PowerShell 環境對短命令的解讀有所差異。請求成功只代表指定入口可用，不表示其他應用程式會自動遵循系統代理。

curl.exe --proxy http://127.0.0.1:7890 --head https://example.com
Get-NetTCPConnection -LocalPort 7890 -State Listen

依需求安裝 TUN 服務

若目標應用程式忽略系統代理，或需要接管更多網路流量，再前往 TUN 設定。部分客戶端必須先安裝服務元件才能開啟 TUN；服務安裝、服務執行與啟用 TUN 是三個不同狀態。完成授權後，請檢查虛擬網卡、路由及記錄中的初始化資訊。若啟用失敗，先恢復系統代理基準並查看具體錯誤，再處理權限、驅動程式或服務狀態，不要連續重複點擊安裝按鈕。

TUN 可能與其他 VPN、虛擬機器網路、容器網路及企業安全軟體爭用路由。疑難排解時，請暫時只保留一個流量接管工具，並記錄停用的軟體。使用遠端桌面或公司管理裝置時，不宜直接修改預設路由，以免中斷管理連線。若公司政策限制安裝服務，請遵循裝置管理規定，不要把關閉所有安全軟體功能當成通用解法。

排查連接埠占用、代理殘留與權限問題

若記錄顯示連接埠遭占用，先使用上方的監聽查詢確認程序識別碼，再確認該程序屬於哪個程式。請勿直接結束不明的系統程序。可以關閉重複執行的客戶端，或在客戶端設定中改用閒置連接埠；更改連接埠後，瀏覽器、終端機與程式碼編輯器中的手動代理也必須同步更新。若設定檔中的值與介面覆寫不同，請以核心實際監聽的結果為準。

結束客戶端後，瀏覽器無法連線，常見原因是系統仍保留指向本機連接埠的手動代理，但核心已停止。請開啟 Windows 網路設定中的代理頁面，確認手動代理是否仍啟用，並依原本的網路環境還原設定。若只有單一應用程式異常，先檢查該程式自身的代理設定、背景程序與快取連線；不要因為單一應用程式失敗，就判定整個 TUN 或訂閱無法使用。

升級前請備份訂閱清單、覆寫檔案及必要設定；升級後重新確認服務狀態與開機啟動行為。裝置從睡眠喚醒或切換無線網路後若連線中斷，先重新連線客戶端並檢查路由變化，再判斷是否需要重新啟動服務。更完整的安裝流程與常見錯誤可參考Windows 安裝 Clash Verge Rev 完整流程，不要將其中的介面名稱直接套用到其他客戶端。

macOS：晶片架構、網路授權與代理還原

依晶片選擇並安裝客戶端

開啟「關於這台 Mac」查看晶片或處理器資訊，再前往macOS 下載區選擇相符的安裝檔。建議優先使用 Clash Plus，也可選擇 Clash Verge Rev 或 FlClash。ClashX Meta 已停止維護，遷移舊設定時需要另外確認核心欄位。請勿只憑安裝檔圖示或檔案大小判斷架構；即使能透過轉譯啟動，也不代表這是最適合該裝置的安裝版本。

依安裝檔說明將應用程式移至「應用程式」資料夾，再從固定位置啟動，避免長期從磁碟映像檔或暫存下載資料夾執行。系統提示來源或權限問題時，請確認下載來源與應用程式資訊，並依系統提供的正常授權流程處理。不要將移除整個系統安全機制當成安裝步驟。首次啟動後，先確認選單列入口、設定頁面與記錄頁面都能正常開啟，再匯入訂閱。

匯入訂閱並確認使用中的網路服務

在客戶端的設定管理頁面新增遠端訂閱，更新後設為目前使用的設定，並在代理群組中選擇出站。若同一客戶端保留多份設定，名稱應清楚區分服務來源與用途。匯入完成後先不要啟用 TUN，先開啟系統代理，再用瀏覽器測試。設定下載失敗時，請檢查連結、系統時間與目前網路連線；訂閱網址能在瀏覽器顯示文字，不代表客戶端格式一定相容。

macOS 的代理設定會依網路服務而異。無線網路、有線網路或其他網路介面可能各自儲存設定，切換介面後應重新確認。若客戶端顯示系統代理已開啟，但請求沒有出現在連線記錄中，先確認目前使用的網路服務，以及應用程式是否採用系統代理。瀏覽器擴充功能、開發工具與命令列環境可能各自保有代理設定，不能只看選單列狀態就判斷所有請求的路徑。

scutil --proxy
curl --proxy http://127.0.0.1:7890 --head https://example.com
lsof -nP -iTCP:7890 -sTCP:LISTEN

上述命令分別用來查看目前的代理資訊、明確測試本機 HTTP 入口，以及查詢監聽程序。終端機通常不會自動沿用圖形介面的系統代理，因此瀏覽器成功、終端機失敗並不矛盾。若要為特定命令指定代理，建議優先使用程式本身的代理參數；若使用環境變數，請注意它只會影響目前終端機及其子程序，不能視為全系統開關。

TUN 授權與背景元件

若需要接管不遵循系統代理的應用程式，再使用客戶端提供的 TUN 功能。不同客戶端可能透過特權輔助元件、背景服務或系統網路功能實作，權限提示也不盡相同。請逐項閱讀系統提示並確認申請權限的程式；授權後查看客戶端是否明確顯示初始化成功。若背景元件尚未獲准執行，反覆切換出站通常無法解決問題，應先處理服務或網路授權狀態。

若已安裝 VPN、內容過濾器、虛擬化網路或企業管理設定，TUN 可能與其路由規則衝突。先記錄目前狀態，再逐一停用非必要的流量接管元件進行比較。連線公司遠端辦公網路時，尤其要確認內部網域與私有網段的存取需求；若將所有流量直接改走代理，可能導致內部資源無法連線。需要保留的路由與 DNS 策略應透過明確規則維護，不要依賴偶然的啟動順序。

睡眠喚醒、鑰匙圈與解除安裝注意事項

闔上螢幕後喚醒、切換無線網路或連接擴充基座，都會改變網路介面狀態。喚醒後無法連線時，先確認目前設定仍已啟用、代理仍在監聽，再重新連線。若只有網域無法連線，但直接連線位址正常，應優先檢查 DNS 解析路徑，不要立即同時變更多項 DNS 設定。客戶端儲存訂閱憑據或系統授權的位置可能不同，換機前請使用客戶端支援的匯出方式，並妥善保管檔案。

解除安裝前，先關閉系統代理與 TUN，再結束客戶端；若客戶端提供背景服務的解除安裝選項，請依照說明操作。直接將應用程式拖入垃圾桶，不一定會撤銷已寫入的網路代理設定或背景元件。刪除後若網路異常，請回到目前網路服務的代理設定檢查本機位址，並還原安裝前記錄的設定。保留診斷記錄時，請移除訂閱連結與出站憑據，不要公開整個設定目錄。

Android：安裝來源、VPN 接管與背景執行

選擇適合的架構並完成安裝授權

前往Android 下載區選擇客戶端，建議優先使用 Clash Plus；其他選擇包括 Clash Meta for Android、FlClash 和 Surfboard。各客戶端支援的設定範圍並不完全相同，尤其不能預設面向特定核心的完整 YAML 格式通用。請先確認服務提供者支援的客戶端與訂閱類型，再決定要安裝哪一款，以免安裝後才發現協定或規則格式無法解析。

安裝檔必須符合裝置架構。較新的手機通常採用 ARM64，但仍應以裝置實際支援情況為準；舊裝置可能需要其他版本。若系統要求允許目前使用的檔案管理員或瀏覽器安裝應用程式，請只授予實際使用來源必要的權限，安裝完成後即可撤銷。遇到「應用程式未安裝」時，請檢查系統需求、剩餘儲存空間、架構與現有應用程式的簽章，不要把所有安裝錯誤都歸咎於網路。

匯入訂閱並選取正確的設定

開啟訂閱或設定頁面，新增遠端設定並貼上連結。下載完成後，請確認該設定已被選取，而不只是出現在清單中。前往代理群組選擇實際出站，再回到首頁啟動連線。部分客戶端將更新訂閱與切換目前設定分成兩個操作；更新另一份設定不會自動切換正在使用的設定。疑難排解時應同時確認設定名稱與最近一次更新結果。

若匯入後清單為空或出現欄位錯誤，請確認服務提供者指定的格式、訂閱是否到期，以及客戶端實際支援的協定。不要為了讓設定「能儲存」而任意刪除無法辨識的欄位，這些欄位可能會影響傳輸方式或驗證流程。Surfboard 等客戶端應使用其支援的設定格式；若服務提供者提供多種訂閱入口，選擇相符格式比反覆匯入錯誤設定更有效。

了解 Android 的 VPN 連線方式

Android 客戶端通常透過系統 VPN 功能接管應用程式流量，首次連線時會出現系統確認畫面。確認內容表示允許建立本機 VPN 介面，不代表所有流量都已命中代理出站，實際路徑仍由規則決定。系統中的 VPN 標示只能反映介面狀態；若要確認流量是否經過選定的出站，還需一併查看客戶端連線記錄、目標網域與出口驗證結果。

系統通常無法讓多個一般 VPN 應用程式同時接管同一使用者的流量。廣告過濾、安全工具、公司 VPN 或其他代理客戶端可能已占用此功能；啟動失敗時，先檢查系統 VPN 頁面並關閉非必要的競爭連線。不要將桌面版「開啟系統代理」的教學直接套用到手機；Android 的單一應用程式分流、VPN 接管與無線網路手動代理是不同層級的設定。

單一應用程式分流、私人 DNS 與電池管理

若啟用了應用程式允許清單，未列入的應用程式可能完全不會進入客戶端；若使用略過清單，列入的應用程式則可能直接連線。測試前先確認清單的運作模式，再檢查目標應用程式是否列在正確一側。瀏覽器正常、另一個應用程式失敗，可能是規則問題，也可能是該應用程式根本未被接管。修改分流清單後，應依客戶端要求重新建立連線，避免沿用舊的介面狀態。

Android 的私人 DNS、瀏覽器安全 DNS 與客戶端 DNS 可能形成多條解析路徑。遇到特定網域無法連線時，請記錄目前設定後逐一比較，不要在同時更改私人 DNS 和切換節點時沒有保留測試結果。部分客戶端可透過 VPN 設定統一處理解析，但實際支援情況取決於實作方式。若要檢查 fake-ip 與 DNS 流向，可繼續閱讀DNS 洩漏檢測與防護。

若鎖定螢幕後連線中斷，請檢查系統是否限制客戶端的背景執行、電池使用或自動啟動。不同裝置的選單名稱可能不同，請以該應用程式的電池管理頁面為準，只調整必要權限。啟用「永遠開啟 VPN」或「封鎖未使用 VPN 的連線」前，請先了解其影響：若客戶端未能成功啟動，後者可能讓裝置暫時無法上網。疑難排解時，應先確認介面能穩定建立。

升級前請保留訂閱網址與本機覆寫設定，並確認是否需要匯出應用程式專屬設定。跨客戶端遷移通常無法完整保留單一應用程式清單與電池權限，必須重新確認。解除安裝前請停止連線並檢查系統 VPN 設定；分享故障截圖時，請遮蔽訂閱、出站位址與帳號資訊，連線記錄只截取排查所需的時段。

iOS：Clash Plus、訂閱匯入與網路延伸功能

從 App Store 安裝並確認設定來源

iOS 建議使用 Clash Plus，請透過App Store 的 Clash Plus 頁面安裝；產品資訊可參閱官方網站 clashplus.io。安裝前請查看 App Store 顯示的裝置相容性需求與應用程式說明，並確認符合目前裝置。請勿將桌面平台的可執行檔或 Android 安裝檔當成 iOS 安裝資源。客戶端安裝完成後，仍需自行準備有效訂閱。

訂閱由連線服務提供者管理；從 App Store 安裝應用程式與取得訂閱授權是兩回事。請先確認連結尚未失效、帳號允許目前裝置使用，並符合服務提供者指定的設定格式。訂閱連結通常含有存取憑據，請勿張貼在共用備忘錄、公開截圖或討論區。若要向服務提供者回報匯入錯誤，可提供已遮蔽敏感資訊的錯誤文字與客戶端名稱，不要在公開問題中貼上完整連結。

匯入、更新並設為目前使用的設定

前往客戶端的設定或訂閱管理頁面，新增遠端連結並等候下載完成。若服務提供者提供 QR Code，請先確認其中包含客戶端支援的訂閱網址，而非帳戶登入頁面或一般網頁。匯入後，檢查設定內容與代理群組是否出現，將其設為目前使用的設定，再選擇實際出站。只看到訂閱名稱，不代表已啟用，也不代表代理群組中的項目可用。

訂閱更新失敗時，先檢查裝置時間、目前網路與連結是否完整。複製連結時可能漏掉查詢參數，也可能夾帶空格或換行，請從可信來源重新複製。若舊設定仍可使用，疑難排解時請先保留，不要在沒有備份的情況下全部刪除。使用客戶端的本機規則或覆寫功能時，請確認這些設定是否會在訂閱更新後保留，以免更新後的分流行為與先前不同。

授權 VPN 設定並驗證實際出站

首次啟動連線時，系統可能會要求新增 VPN 設定。請確認要求授權的是目前使用的客戶端，依系統流程授權後，返回應用程式查看連線狀態。iOS 透過網路延伸功能處理流量，不需要尋找 Windows 式的本機系統代理開關。狀態列或控制中心顯示 VPN，只能說明系統連線處於相應狀態；仍需檢查客戶端設定、代理群組與連線記錄，才能確認請求的實際路徑。

先使用規則模式測試一個預期經過代理的請求，再測試一個預期直接連線的請求。某個應用程式的內容能重新整理，可能只是使用快取或仍保留舊連線；測試時應重新發出請求。更改代理群組選擇後，既有連線不一定會立即切換出口；必要時使用客戶端提供的連線管理功能，或重新啟動目標應用程式。不要只根據舊頁面顯示的結果判定設定無效。

無線網路、行動網路與其他網路功能

請分別透過無線網路與行動網路驗證連線，以區分本機網路限制與設定錯誤。若只在特定無線網路下失敗，先完成該網路的驗證登入，並確認關閉代理連線後裝置可以正常上網。公共網路可能要求先登入才能存取外部服務；尚未完成驗證時，訂閱更新與出站連線都可能失敗，此時更換多組規則通常無濟於事。

若已使用公司 VPN、隨選連線設定或其他網路延伸功能，請先了解彼此的管理關係，避免多個工具反覆接管連線。受組織管理的裝置可能由政策控制部分網路設定，請遵循管理規定。系統隱私網路功能、瀏覽器設定與客戶端接管也可能影響測試結果；疑難排解時請記錄每項狀態，一次只調整一個因素，測試完成後還原需要保留的隱私與工作設定。

背景限制、更新與網路還原

iOS 的背景執行方式與桌面程序不同。應用程式介面進入背景後，圖形頁面是否持續執行，與網路延伸功能是否維持連線是兩回事。連線反覆中斷時，請查看系統 VPN 狀態、客戶端錯誤記錄、裝置儲存空間與設定規模。若匯入大量重複規則，請勿只因介面卡頓就判定出站故障。切換行動網路後短暫重新連線，也應與持續無法建立通道的情況區分。

升級應用程式或系統前，請保留訂閱來源與重要的本機規則，並確認客戶端支援的備份方式。要還原網路時，先在客戶端停止連線，再到系統設定確認 VPN 狀態；不必一開始就重設裝置的所有網路設定，因為這也會影響現有無線網路等資訊。只有確認客戶端相關連線已結束，仍無法上網時，才繼續檢查網路驗證、裝置政策與電信網路本身。

Linux：發行版、桌面代理與服務部署

區分桌面客戶端與核心部署方式

Linux 桌面環境建議依下載頁選擇 Clash Verge Rev，也可選擇 FlClash；伺服器或路由器使用者則可單獨執行 mihomo 核心。圖形介面客戶端與核心服務是兩種不同的部署方式，請勿在同一連接埠同時啟動。先確認是否需要系統匣介面、桌面系統代理與互動式訂閱管理，再決定使用圖形介面客戶端，或自行維護設定目錄、服務權限與記錄。

安裝前請透過系統資訊確認發行版、處理器架構與套件類型。Debian 系發行版通常使用對應的 DEB 套件；採用 RPM 套件管理的發行版應選擇相符套件，但相依套件與桌面環境支援情況仍應以客戶端說明為準。副檔名相同不代表所有發行版都相容。安裝時若出現相依性錯誤，請透過發行版的套件管理工具排查，不要任意將其他系統的程式庫檔案複製到系統目錄。

uname -m
cat /etc/os-release
ss -lntp 'sport = :7890'

桌面客戶端的訂閱與系統代理

安裝完成後，從桌面正常啟動客戶端，匯入訂閱並設為目前使用的設定，再選擇代理群組出站。開啟系統代理後，請檢查桌面環境本身的網路代理設定。不同桌面環境、沙箱應用程式與瀏覽器讀取系統代理的方式可能不同；終端機程式通常也不會自動使用桌面代理值。因此應先用明確指定代理的請求確認核心可用，再分別檢查目標程式的連線方式，不要把單一程式失敗等同於核心未執行。

以下命令透過環境變數為目前命令指定 HTTP 代理，只會影響該命令及其相關執行環境。若要長期使用，請依程式文件設定，並評估略過代理的位址清單。不要任意將代理寫入所有使用者共用的全域環境檔案，否則核心停止後，套件管理工具或背景工作可能仍嘗試連線到已不存在的本機入口。

HTTPS_PROXY=http://127.0.0.1:7890 curl --head https://example.com

TUN、路由與最小權限原則

Linux TUN 流量接管通常需要建立虛擬網路介面並取得路由權限。若圖形介面客戶端提供服務安裝選項，建議依照其流程設定，避免自行授予整個應用程式目錄過多權限。先確認服務已啟動，再啟用 TUN，並在記錄中檢查介面建立與路由設定結果。一般桌面使用者不應長期以 root 身分執行整個圖形介面，只為解決單一輔助元件的權限問題。

遠端伺服器的自動路由設定尤其需要謹慎。啟用前請保留獨立的管理連線，並確認 SSH、私有網段與本機閘道的連線路徑；否則預設路由變更後，現有管理連線可能中斷。TUN 的自動路由、自動介面辨識與 DNS 劫持應依實際網路拓撲設定，容器、網橋與多網卡環境不能直接照搬單網卡筆記型電腦的設定。路由器部署可參閱旁路由執行 mihomo 核心概覽。

核心設定檢查與服務目錄

選擇直接執行核心時，請先準備包含出站、代理群組與規則的完整設定，再進行語法檢查。以下命令假設 mihomo 已安裝在系統命令路徑中，設定檔位於目前使用者的設定目錄；實際路徑不同時，請依部署目錄調整。檢查通過代表設定可供解析，不代表所有出站都能連線，也不代表規則提供器已成功更新。

mihomo -t -f "$HOME/.config/mihomo/config.yaml"
mihomo -d "$HOME/.config/mihomo"

設定目錄除了主設定檔，也可能包含規則提供器檔案、快取與資料庫。互動式執行與服務執行若使用不同使用者，讀寫權限可能不同，導致手動啟動成功、服務啟動失敗。請明確確認服務執行使用者、工作目錄與設定路徑，並檢查目錄權限。請從與部署方式相符的記錄入口查看記錄，不要讓服務不斷重新啟動，卻始終忽略錯誤輸出。

防火牆、區域網路與升級維護

本機代理可用，但區域網路裝置無法連線時，需分別檢查監聽位址、allow-lan 與防火牆，不能只把連接埠號碼提供給其他裝置。允許區域網路存取會擴大入口的暴露範圍，應限制可信任的網段，必要時設定入口驗證。控制介面與代理入口用途不同，不應將控制介面直接暴露在不可信任的網路中，更不能為了方便遠端管理而關閉所有防火牆規則。

更新客戶端或核心前，請先備份設定與服務定義，確認舊程序已停止後再啟動新程序。桌面工作階段結束時客戶端是否一併停止，與系統服務是否持續執行是兩回事，請依部署需求設定。解除安裝時，先還原桌面代理、停止服務並撤銷額外路由，再刪除程式。若留下環境變數或自動啟動工作，即使檔案已刪除，也可能在下次登入時繼續造成請求失敗。

常見設定問題：連接埠、DNS 與規則疑難排解

先固定測試條件，再修改設定

疑難排解應依序確認「應用程式是否接入、規則交由何者處理、出站是否連通、DNS 解析是否正確」。先固定一個目標應用程式、一個目標網域與一個出站，記錄系統代理或 TUN 狀態，再查看連線記錄。請勿同時更換節點、DNS、連接埠並重裝客戶端；即使網路恢復，也無法確認真正原因，下次故障仍沒有可重複使用的處理流程。

以下列出常用欄位的用途與限制。客戶端可能透過介面覆寫訂閱中的值，因此排查問題時應檢查最終執行的設定。DNS 監聽連接埠與混合代理連接埠用途不同，不能只因數字相近就互換。若要對外開放本機入口，請先確認存取者與網路範圍，不要直接將所有監聽位址改成任意位址。

依照現象選擇排查方向

proxy-groups:
  - name: PROXY
    type: select
    proxies:
      - 訂閱出站
      - DIRECT

rules:
  - DOMAIN-SUFFIX,example.com,PROXY
  - GEOIP,CN,DIRECT
  - MATCH,PROXY

以可還原的方式維護設定

確認問題後，請將必要修改放入客戶端支援的覆寫或合併設定中，不要長期手動修改訂閱下載產生的檔案。保留一份最精簡的可用設定作為基準；新增規則後先進行語法檢查，再驗證代理與直連兩種路徑。尋求協助時，只提供與故障相關且已遮蔽敏感資訊的片段、錯誤行號與重現步驟；完整設定、帳號網址與本機管理金鑰都不應公開附上。