Clash Meta全平台安裝與設定

# 第 01 章 · preparation

通用準備事項與設定要點

分清用戶端、核心與訂閱

Clash Meta 是沿用於生態系中的名稱，相關核心目前通常稱為 mihomo。用戶端負責呈現設定、管理節點、申請系統權限及啟動核心；核心負責代理協定、DNS 與規則比對；訂閱則提供節點或完整設定。安裝用戶端不代表已有可用的連線出口，仍須準備有權使用的訂閱或自行架設節點。訂閱是否有效、支援哪些協定及裝置數量限制，應以提供者的說明為準，不能只憑用戶端安裝成功就下定論。

桌面與行動平台可先選用 Clash Plus；Linux 則可從 Clash Verge Rev 或 FlClash 開始。完整下載入口請見下載中心。選擇前請確認作業系統、處理器架構與安裝方式，不要只看套件名稱中的平台字樣。桌面 GUI 適合互動操作；mihomo 核心套件則適合需要自行管理設定、程序與服務的使用者。不同 GUI 的訂閱管理方式不盡相同，下文說明的是操作目的，不代表每個介面都有同名按鈕。

準備相容設定與可復原環境

先確認取得的是 Clash YAML 設定、節點清單，還是其他軟體使用的設定格式。完整設定通常包含代理、策略組與規則；只有節點的檔案還需要搭配策略組與規則。Base64 編碼的節點連結不能直接當成完整 Clash 設定，sing-box 的 JSON 也不能只改副檔名後匯入。格式判斷與本機轉換方式請參閱訂閱格式對照筆記。轉換前先保留原始檔案，也不要將含有存取憑證的連結提交給不可信任的服務。

首次設定前，先關閉其他代理用戶端，記下原有系統代理與 VPN 狀態。若裝置由公司或學校管理，先確認是否允許變更代理、安裝網路延伸功能或新增路由。檢查系統時間、訂閱帳號狀態，以及目前網路能否連上訂閱網址。匯入時為設定取個容易辨識的名稱，再明確選取為使用中的設定；清單中看得到檔案，不代表執行中的核心已切換至該檔案。

先建立基本連線，再擴大接管範圍

建議依序匯入設定、選擇規則模式、在目標策略組中選取節點，再開啟系統代理並用瀏覽器測試。規則模式決定進入核心的流量如何分流；系統代理則決定會遵循系統設定的應用如何進入核心。TUN 透過虛擬網卡擴大接管範圍，需要額外權限，也可能影響路由與 DNS。先確認基本連線正常，再啟用 TUN，才不會把節點、權限與路由問題混在一起。

以下僅示意設定欄位，不含節點，無法單獨建立代理連線。連接埠數值應與目前用戶端一致；若用戶端會管理這些欄位，請優先使用它提供的設定或覆寫功能，不要同時修改執行期間產生的檔案。先維持本機監聽較為穩妥；需要分享給區域網路時，再檢查驗證機制與防火牆。

mixed-port: 7890
allow-lan: false
bind-address: 127.0.0.1
mode: rule
log-level: info

# 第 02 章 · windows

Windows 安裝與流量接管

選擇安裝套件並完成首次啟動

從Windows 下載入口選擇 Clash Plus；需要其他介面與操作方式時，可依序查看 Clash Verge Rev、FlClash、Clash Nyanpasu。Clash for Windows 已停止維護，僅作為封存的舊版用戶端，不建議新裝置使用。請在系統設定的「關於」頁面確認處理器類型，再核對下載項目支援的範圍。不要混淆 ARM 裝置與常見的 x64 安裝套件，也不要只憑檔案能否開啟來判斷架構是否相符。

執行安裝程式時，先閱讀系統提示並確認檔案來源，再繼續操作。若使用解壓後執行的發行版本，請先解壓縮至固定資料夾，不要直接從壓縮檔預覽視窗啟動。首次啟動後，確認系統匣圖示與主畫面都能開啟，並檢查記錄是否有設定解析或連接埠繫結錯誤。安裝權限與日常執行權限是兩回事：只有安裝服務、虛擬網卡或其他明確要求提高權限的步驟，才需要授予相應權限；一般系統代理測試不必一直以系統管理員身分執行。

匯入訂閱並確認使用中的設定

前往設定或訂閱頁面，使用網址匯入功能貼上完整訂閱網址，開始下載並等待解析完成。若匯入本機 YAML，請確認副檔名沒有因系統隱藏而變成雙重副檔名。選取剛匯入的設定，再到代理頁面確認預期的策略組是否出現。訂閱更新成功但節點清單沒有變化時，先確認目前使用中的設定、訂閱是否到期，以及提供者回傳的內容；不要立刻重裝軟體，重裝無法修正伺服器回傳錯誤頁面的問題。

在規則模式下，找出規則實際引用的策略組，並手動選取可用節點。有些策略組會再套用另一個策略組，最終出口取決於最後一層的選擇，而非頁面上最醒目的節點名稱。使用用戶端提供的延遲測試後，選取測試結果有效的候選節點，再進行實際連線。測試失敗只代表該次測試請求未完成，不能據此認定所有協定或目標都無法連線。

驗證系統代理並逐步啟用 TUN

開啟系統代理後，前往 Windows 網路設定，確認代理伺服器位址指向本機監聽位址，連接埠也與用戶端一致。一般瀏覽器通常會讀取系統代理，但終端機、遊戲與部分下載工具可能自行管理網路。開啟一個分流結果明確的網站，同時查看用戶端的連線面板；若沒有出現對應連線，應先檢查應用程式的流量入口，而非調整規則順序。瀏覽器擴充功能也可能覆寫系統設定，測試時可先排除這項影響。

只有需要接管不遵循系統代理的應用程式時，才啟用 TUN。若用戶端要求安裝服務或授予權限，完成後請檢查記錄中的虛擬網卡建立、路由新增與 DNS 接管結果。公司 VPN、虛擬機網卡及安全軟體可能影響預設路由；啟用後若所有網路都中斷，應先關閉 TUN、恢復原本環境，再逐項排查。一開始不必同時啟用系統代理與 TUN，分開測試更容易找出變動的流量入口。

Test-NetConnection -ComputerName 127.0.0.1 -Port 7890
curl.exe --proxy http://127.0.0.1:7890 --head https://example.com

以上 PowerShell 範例假設混合連接埠為 7890，請依實際設定調整。連接埠測試成功只代表 TCP 監聽可連線；後續請求仍須經過節點、DNS、目標網站與規則。使用 curl.exe 可明確呼叫命令列程式，避免部分 PowerShell 環境中同名別名造成參數差異。此測試會明確指定代理，不依賴應用程式是否讀取系統代理，適合用來區分本機監聽問題與系統設定問題。

結束程式、休眠與連接埠衝突

結束程式前，先關閉系統代理並確認系統設定已還原，再關閉用戶端。若程式異常結束後瀏覽器無法連線，請檢查是否殘留指向本機的代理位址；先還原系統代理即可，不必刪除所有網路設定。從休眠狀態喚醒後若節點連線失效，先重新建立連線或重啟核心，再判斷是否需要更新訂閱。遇到連接埠被占用時，找出目前監聽的程序，不要一直更換連接埠來掩蓋重複啟動的問題。首次連線的驗證方式請參閱節點選擇與代理生效檢查。

# 第 03 章 · macos

macOS 權限與網路服務

依處理器選擇用戶端

開啟「關於這台 Mac」確認使用 Apple Silicon 或 Intel 處理器，再前往macOS 下載入口選擇相應安裝套件。可先選用 Clash Plus，也可使用 Clash Verge Rev 或 FlClash；ClashX Meta 則保留為已停止維護的封存選項。請一併閱讀下載頁提供的架構選項與系統需求，不要只憑用戶端名稱判斷是否相容。透過轉譯執行與原生執行可能有不同限制，建議優先選擇符合裝置架構的版本。

若安裝套件是磁碟映像檔，請依安裝畫面指示將應用程式拖移至「應用程式」資料夾，再從固定位置啟動，避免長期從暫時掛載的位置執行。處理系統安全提示時，應確認來源與應用程式簽章資訊；若來源不明、檔案損毀或提示與預期不符，請返回下載入口核對，不要直接關閉系統安全機制。首次啟動後先查看選單列圖示與記錄，確認應用程式和核心都正常運作，再處理系統代理或網路延伸功能的授權。

匯入設定與本機覆寫

在設定管理頁面匯入訂閱，等待下載與解析完成後，將其設為使用中的設定。開啟代理頁面檢查策略組、節點與規則是否齊全；若只看到訂閱名稱，卻沒有代理項目，請檢查訂閱格式與回應內容。macOS 應用程式的設定資料通常位於使用者目錄中的應用程式資料位置，實際路徑由用戶端決定。使用用戶端提供的「開啟設定資料夾」或類似功能，比照著其他軟體猜測路徑更可靠。

更新訂閱會以遠端設定內容取代目前內容，手動修改下載的檔案很容易在下次更新時被覆蓋。若要新增個人規則、修改 DNS 或調整連接埠，請優先使用用戶端支援的覆寫、合併或擴充設定功能，並確認產生的結果。不同用戶端對陣列採取取代或附加的方式可能不同，尤其要確認自訂規則確實排在兜底規則之前。修改前請保留可還原的本機副本，但不要將含有憑證的備份同步至公開的儲存庫。

檢查目前網路服務的代理設定

開啟系統代理後，前往系統網路設定，查看目前使用的 Wi-Fi 或有線網路服務中的代理選項。不同網路服務可能有各自獨立的設定，從有線網路切換至 Wi-Fi 後，請重新確認目前使用的服務。HTTP、HTTPS 與 SOCKS 的設定方式由用戶端決定，不要照著其他用戶端的截圖逐項填寫。可透過系統指令查看設定是否生效，但指令輸出也可能包含環境資訊，公開前請先去識別化。

scutil --proxy
curl --proxy http://127.0.0.1:7890 --head https://example.com

若明確指定代理的請求可成功，但瀏覽器連線沒有出現在面板中，請優先檢查瀏覽器代理擴充功能、獨立代理設定及目前的網路服務。終端機指令通常不會自動沿用所有圖形介面的系統代理設定，需依個別工具設定代理參數或環境變數。環境變數只會影響讀取它的程序；新開啟的終端機與已執行中的開發工具也可能使用不同環境，因此請在同一個終端機中重複測試。

TUN 授權、網路切換與復原

需要使用 TUN 時，請依用戶端提示授予網路延伸功能或輔助服務所需權限，實際授權方式取決於實作。授權視窗消失不代表流量接管已完成，請查看記錄，確認介面是否建立成功、路由是否安裝，以及 DNS 是否啟動。若同時使用公司 VPN，請留意對方可能強制設定路由與 DNS；這類衝突應依組織網路政策處理，不宜嘗試覆寫管理設定。先分別測試單獨啟用任一工具的結果，再判斷是否能相容使用。

從休眠狀態喚醒、切換熱點或連上需要入口網站認證的網路，都可能改變預設路由。飯店或公共 Wi-Fi 需要網頁認證時，可先暫停流量接管並完成認證，再恢復代理測試。若關閉 TUN 後仍無法連線，請檢查目前網路服務是否殘留系統代理設定，並確認其他 VPN 是否仍在執行。不要同時刪除所有網路服務、重設 DNS 又重裝用戶端；每次只變更一個條件，才能找出是哪一步恢復連線，也能保留後續排查所需的資訊。

# 第 04 章 · android

Android 權限與背景執行

安裝與設定來源

從Android 下載入口開始，建議選用 Clash Plus，也可視需要查看 Clash Meta for Android、FlClash 和 Surfboard。確認裝置支援的處理器架構後再下載安裝套件，不要假設所有 Android 裝置的架構都相同。若系統要求允許目前的瀏覽器或檔案管理員安裝應用程式，只授予本次安裝所需的來源權限，完成後可還原原設定。遇到安裝衝突時，先確認是否已安裝簽章不同的同名應用程式，不要直接刪除舊應用程式的資料。

首次開啟後，匯入訂閱連結或本機設定檔。透過系統檔案選擇器匯入時，請確認用戶端確實取得檔案讀取權限，而非只顯示檔名。設定下載完成後，請主動選取該設定，並在代理頁面確認策略組是否出現。若原始設定使用目前用戶端不支援的欄位或協定，可能會解析失敗或缺少部分功能；請以匯入記錄為準，不要因為都支援代理就假設設定完全通用。

VpnService 與流量進入核心的方式

Android 代理用戶端通常透過 VpnService 建立本機 VPN 介面，將裝置流量送入應用程式處理。系統跳出的 VPN 連線授權，是允許應用程式接管網路，並不代表已連上遠端節點；最終出口仍由設定、策略組與規則決定。授權後啟動連線，查看系統 VPN 狀態與用戶端記錄，再開啟測試網站。只看到鑰匙或 VPN 圖示，並不足以證明訂閱、節點和 DNS 都正常。

一般桌面環境中的「系統代理開關」不能直接套用到 Android。Wi-Fi 網路中的手動代理只會影響適用的網路與應用程式，並不等同於透過 VpnService 接管流量。Android 通常也不允許兩個一般 VPN 應用程式同時使用同一個服務位置；另一個 VPN、以 VPN 為基礎的過濾工具或防火牆啟動後，可能會取代目前的用戶端。若連線被取代，請先檢查系統 VPN 設定，避免反覆切換節點卻沒有處理入口衝突。

規則、分應用設定與背景限制

先使用規則模式測試預設設定，再考慮分應用設定。分應用設定決定哪些應用程式進入 VPN；網域規則則決定進入後使用哪個出口，兩者屬於不同層級。若將目標應用程式排除在 VPN 之外，即使新增針對該應用程式存取網域的代理規則也不會生效。修改允許清單或排除清單後，部分用戶端需要重新建立 VPN 介面；請關閉並重新啟動目標應用程式的連線，避免舊連線繼續沿用先前的路徑。

系統省電策略可能在鎖定螢幕後限制用戶端執行。若連線只在背景中斷，請檢查應用程式的電池策略、背景執行、自動啟動及廠商提供的工作鎖定功能，實際設定位置因系統而異。先允許必要的背景活動，再觀察螢幕鎖定一段時間後記錄是否仍持續；不要將所有應用程式都加入豁免清單。廠商設定方式請參閱VpnService 授權與省電白名單。VPN 持續執行會消耗資源，不同裝置的表現也不盡相同。

私人 DNS、網路切換與更新

Android 的私人 DNS、瀏覽器安全 DNS、用戶端 DNS 與行動網路解析可能同時存在。若設定啟用了 DNS 接管，請先維持一條可追蹤的解析路徑，記下私人 DNS 的原始狀態後再進行對照測試。不要看到解析錯誤就同時更換伺服器、Fake-IP 和所有 DNS 開關；先確認請求是否進入核心，再檢查解析錯誤是否只發生於特定網域。IPv6 也應搭配路由接管能力一併檢查，不能只憑網路圖示判斷。

從 Wi-Fi 切換至行動網路後若連線短暫中斷，請先等網路連線建立，再重新連線用戶端，並檢查訂閱網址在該網路是否可存取。熱點分享裝置的流量不一定會經過手機上的 VPN，手機本身連線成功不代表熱點分享也正常。訂閱自動更新也會受到背景限制與網路狀況影響，必要時可在前景手動更新並確認使用中的設定。更新應用程式前請保留必要設定；只有確實需要搬移資料或解決簽章衝突時，才處理舊資料。

# 第 05 章 · ios

iOS 設定匯入與 VPN

取得 Clash Plus 並確認設定支援範圍

從iOS 下載入口前往 Clash Plus 的App Store 頁面；也可在官方網站 clashplus.io 查看應用程式資訊。安裝前請閱讀商店列出的系統需求與功能說明。Clash 設定屬於一種生態系格式，支援匯入不代表每個用戶端都實作了所有 mihomo 欄位；遇到進階 DNS、腳本或特定協定設定時，請先確認目前應用程式的支援範圍，不要照搬桌面設定的所有假設。

iOS 代理應用程式透過系統網路延伸功能接管網路，運作方式不同於直接啟動桌面核心程序。請勿尋找與 Windows 完全相同的服務安裝按鈕，也不要把桌面虛擬網卡設定逐項套用至手機。後續應確認設定能否辨識、VPN 延伸功能是否成功啟動，以及目標連線是否依預期路由。若介面沒有同名開關，請查閱功能說明，不要嘗試匯入來源不明的系統描述檔來補足功能。

訂閱連結、檔案與 QR Code

在設定頁面選擇連結匯入，貼上完整訂閱網址並開始取得。輸入後請檢查協定標頭、路徑與查詢參數是否完整，避免複製到結尾空格或換行。若用戶端支援匯入檔案，可透過系統檔案選擇器或分享功能選取 YAML；雲端檔案尚未下載至本機時，請等檔案可讀取後再操作。匯入完成後將設定設為目前使用項目，並確認策略組中有預期節點，而不只是看到一筆訂閱紀錄。

QR Code 通常只是訂閱網址或節點連結的另一種形式，不會自動解決格式不相容問題。掃描前後都應確認來源，不要將訂閱 QR Code 公開在討論區。若系統分享選單中沒有用戶端入口，可返回應用程式使用其支援的匯入方式，不必反覆嘗試在瀏覽器直接開啟 YAML。訂閱請求若回傳登入頁面或錯誤說明，應用程式可能會顯示解析失敗；此時請先處理訂閱存取權限，再檢查應用程式支援的格式。

VPN 授權與首次驗證

選取使用中的設定與節點後啟動連線，系統可能要求允許新增 VPN 設定，並透過裝置認證確認。此授權用於建立由應用程式管理的 VPN 連線，不代表訂閱已經有效。授權完成後返回應用程式查看啟動結果，再開啟瀏覽器造訪測試目標。若應用程式提供連線或記錄頁面，請觀察目標網域、規則與出口；若沒有足夠細節，可比較明確直連目標與明確代理目標的存取結果，但不要以單一網站連線失敗作為全面判斷。

規則模式適合作為預設測試環境。全域模式通常會將進入應用程式的連線交由全域策略處理，但不能只憑模式名稱就認定所有系統流量都會被接管；實際範圍仍受系統與應用程式實作影響。直連模式也不代表 VPN 已退出，DNS 與路由接管可能仍在運作。若要完全還原原本網路進行對照，請停止應用程式的 VPN 連線，再測試同一個目標，確保兩次測試只改變流量接管狀態。

網路切換、DNS 與維護

其他 VPN 應用程式、受管理裝置的網路政策，以及系統隱私網路功能，都可能改變實際存取路徑。若連線彼此取代，請先查看系統 VPN 清單，確認目前是哪個應用程式處於啟用狀態。不要刪除不屬於目前用戶端的企業設定。公共 Wi-Fi 的入口網站認證也可能要求暫停代理以完成登入；認證後再恢復連線並重新驗證網域解析，不要一直切換節點來繞過尚未完成的網路登入程序。

鎖定螢幕、切換 Wi-Fi 與行動網路後若發生異常，請先在應用程式中重新連線，再確認問題是否只出現在特定網路。低電量、系統背景排程與網路延伸功能狀態可能同時影響連線；前景畫面是否一直開啟並非唯一判斷依據。訂閱更新後請確認目前的策略組選擇是否保留；若節點已刪除或改名，可能需要重新指定原有選擇。完整流程請參閱iOS 取得與設定匯入筆記；排錯時仍應以目前用戶端實際支援的選項為準。

# 第 06 章 · linux

Linux 桌面環境與核心服務

選擇 GUI 或獨立核心

桌面使用者可從Linux 下載入口選擇推薦的 Clash Verge Rev，或使用 FlClash。先確認發行版的套件管理方式、處理器架構、桌面工作階段與安裝套件需求，支援 DEB 不代表支援所有 Linux 環境。若要部署於伺服器或路由器，請查看mihomo 核心區。獨立核心沒有 GUI 代替使用者管理訂閱、系統代理或啟動權限；這些工作都須自行設定，也須清楚掌握設定目錄與執行帳號。

安裝桌面用戶端後，先以一般使用者身分啟動，確認記錄與設定頁面都能正常使用。圖形應用程式所需的系統元件應透過發行版支援的方式安裝，不要從無關網站隨意下載同名共享程式庫。若桌面選單沒有圖示，可先透過安裝套件提供的入口檢查啟動錯誤，再處理桌面整合。伺服器則應先在前景確認核心與設定正常，再註冊開機服務；這樣更容易發現錯誤，也能避免服務重啟掩蓋第一個錯誤原因。

匯入設定、檔案路徑與語法檢查

GUI 使用者可透過設定頁面匯入訂閱並設為使用中的設定；獨立核心使用者應將完整 YAML 放在明確的目錄，並檢查檔案讀取權限。設定含有憑證時，請限制其他本機帳號讀取，備份也應採取相同措施。相對路徑通常取決於核心的工作目錄或設定目錄；找不到規則集、地理資料或本機提供者檔案時，先檢查路徑解析方式，不要把同一份檔案複製到多個目錄碰運氣。

mkdir -p "$HOME/.config/mihomo"
chmod 700 "$HOME/.config/mihomo"
mihomo -t -d "$HOME/.config/mihomo"
mihomo -d "$HOME/.config/mihomo"

這組指令假設已安裝可執行的 mihomo，且已將完整設定儲存為該目錄中的 config.yaml。先執行設定測試，通過後再以前景模式啟動。測試通過只代表設定格式獲得接受，不保證遠端節點可連線，也不保證外部規則資源之後都能更新。遇到權限錯誤時，請檢查目錄擁有者與程序身分，不要將整個設定目錄改成所有使用者皆可寫入。

分開驗證桌面代理與終端機環境

Linux 桌面環境儲存系統代理的方式不一致，各應用程式遵循這些設定的程度也不同。在 GUI 中開啟系統代理後，請檢查目前桌面網路設定，並確認目標應用程式的連線是否出現。命令列工具通常需要明確指定參數或環境變數；瀏覽器能連線、套件管理器卻不能，並不代表節點一定故障。使用暫時性的環境變數進行測試，比立即修改所有 shell 啟動檔案更容易還原；測試完成後再決定是否要永久設定。

curl --proxy http://127.0.0.1:7890 --head https://example.com
export http_proxy=http://127.0.0.1:7890
export https_proxy=http://127.0.0.1:7890
export no_proxy=localhost,127.0.0.1,::1
unset http_proxy https_proxy no_proxy

https_proxy 在此仍指向 HTTP 代理入口；HTTPS 目標會透過此入口建立通道，並不是要求本機代理連接埠本身使用 TLS。不同工具對大小寫變數名稱與排除清單的支援各異；使用提高權限的命令時，也可能不會繼承目前環境。不要只為了讓單一工具生效，就把代理變數寫入所有系統服務；請先確認工具文件與執行使用者，再限制設定範圍。

TUN、服務管理與防火牆

TUN 涉及虛擬網路裝置、路由與 DNS，通常需要相應的網路管理權限。容器還需要宿主機允許存取所需裝置並提供適當權限；容器內設定正確，不代表宿主機流量已被接管。若桌面用戶端提供服務模式，請依其安裝流程操作；使用獨立核心則應先了解權限界線，再透過發行版的服務管理機制設定。不要為了方便而長期以 root 身分執行所有圖形程式。

註冊服務時，請明確指定執行檔路徑、設定目錄與執行帳號，並在前景測試完成後再設定自動啟動。排查時先確認是否已有另一個核心占用連接埠，再查看服務記錄中的結束原因。系統防火牆、其他 VPN 與容器網路都可能改變路由；開放混合連接埠不代表外部網路應該能夠存取。預設請維持本機監聽；確實需要分享給區域網路時，還要考量存取範圍、驗證機制、主機防火牆與不可信任網路，避免讓任何來源都能使用代理入口。

# 第 07 章 · configuration-faq

設定常見問題與排查順序

先判斷故障發生在哪個層級

先記錄故障範圍：設定無法匯入、核心無法啟動、所有應用程式都失敗，還是只有單一目標異常。匯入失敗時檢查訂閱回應、檔案格式與解析錯誤；啟動失敗時檢查連接埠、路徑與權限；已有連線但無法存取時，則檢查規則、DNS、節點與目標回應。每次只變更一個變數，並保存測試前後的記錄片段。一次更新訂閱、切換模式、開啟 TUN 又修改 DNS，或許能暫時恢復連線，卻無法找出原因，也讓下次更難重現與處理。

記錄中的逾時不代表同一種問題。可能發生於取得訂閱、DNS 查詢、節點交握或存取目標等階段，應依錯誤前後的目標位址判斷。連線遭拒通常應優先檢查監聽狀態與連接埠；若是憑證錯誤，則先確認時間、目標名稱與網路環境。可暫時提高記錄層級取得更多線索，但診斷完成後應恢復適當層級，避免長期記錄過多網域與連線資訊。公開記錄前務必移除敏感欄位。

規則命中與策略組的實際出口

規則通常依序比對，命中第一條後就會使用指定策略。自訂規則若放在最終的 MATCH 之後，通常不會被執行；引用不存在的策略組也會造成設定錯誤。以下片段假設目前設定已定義名為 PROXY 的策略組，只示範比對關係，不能單獨作為完整訂閱使用。GEOIP 判斷須依賴相應資料與解析條件，不能只憑目標網站名稱推測網域規則與 IP 規則的結果。

rules:
  - DOMAIN-SUFFIX,github.com,PROXY
  - GEOIP,CN,DIRECT
  - MATCH,PROXY

命中代理規則卻仍走直連時，請檢查該策略組是否選到 DIRECT，或其巢狀策略組是否指向其他直連組。切換為全域模式後，也要確認全域策略的選擇，不要假設它會自動使用剛才選取的節點。規則、全域與直連模式的差異請參閱三種代理模式說明。測試新規則前先關閉舊連線再重新存取；既有的長連線可能不會因規則變更而立即切換出口。

Fake-IP、DNS 與 TUN 的關係

Fake-IP 會讓 DNS 回傳用於對應的虛擬位址，核心再利用對應關係還原網域並執行分流。它不是遠端節點位址，也不能直接視為 DNS 遭污染的證據。若應用程式快取了虛擬位址，但用戶端已關閉或流量接管路徑改變，就可能造成解析與路由不一致。請先還原一致的 DNS 與流量接管設定，再重新啟動目標應用程式或清除相關快取；不要將虛擬位址直接寫入長期使用的主機對應。

啟用 TUN 不代表所有 DNS 請求都會依預期處理。應用程式內建的加密 DNS、系統私人 DNS、IPv6 路由與其他 VPN 都會影響連線路徑；只有確認請求與規則後，才能判斷設定是否生效。區域網路裝置名稱、印表機與企業內部網域需要存取本機解析來源；必要時請設定特定的 DNS 策略或排除 Fake-IP，而不是將所有網域都改為直連。名詞說明請參閱DNS 與網路堆疊術語。

保留可復原設定並掌握更新範圍

訂閱自動更新前，先保留本機覆寫規則；更新後檢查策略組名稱、節點選擇與 DNS 產生結果。上游重新命名策略組時，舊覆寫可能會引用不存在的項目。設定能載入但行為改變時，查看最終生效的設定，比只檢查編輯器中的原始檔更有用。用戶端、核心與訂閱分別有獨立的更新流程，不要把其中一層更新成功當成其他層也已更新；排錯記錄應分別註明這三項。