基础概念
订阅Subscription
订阅是通过一个地址获取并更新节点或配置内容的方式，不是代理连接本身。返回内容可能是完整 YAML，也可能只有节点集合，导入前要确认客户端支持的格式。更新成功后，还需启用配置并选择策略；订阅地址常含访问凭据，不宜公开分享或上传截图。
查看订阅导入教程 →概念速查 / 25 个常用术语
Clash 术语表
基础概念
导入的是配置，连接用的是节点，接管范围还要看系统设置。
基础概念
节点Proxy node
节点是一组连接远端代理服务的参数，通常包含服务器地址、端口、协议和认证信息。界面中的名字只是标签，不能单靠名字判断实际出口位置或可用性。选择节点后仍需有流量进入内核，并由规则或策略指向它，连接才会使用这条路径。
基础概念
延迟Latency
延迟表示一次指定探测花费的时间，具体可能包含连接建立、TLS 握手和请求响应，不一定等同于系统 ping 的结果。测试地址、缓存和当时网络都会影响数值。它适合辅助比较同一条件下的连接表现，不能直接换算成下载速度；超时也应结合日志进一步判断。
基础概念
系统代理System proxy
系统代理是操作系统提供给应用读取的代理地址设置，常指向本机客户端的监听端口。浏览器等应用可能遵循它，部分游戏、命令行程序或自带网络栈的应用则可能忽略它。开关显示开启，只能说明相关设置已调整；判断实际是否接管，还应查看对应连接与日志。
基础概念
混合端口mixed-port
混合端口让同一个本地监听端口同时接受 HTTP 与 SOCKS5 代理连接，例如 mixed-port: 7890。这里的数字是可配置的本地端口，不是远端节点端口，也不代表速度档位。应用填写的端口必须与实际监听一致；启动失败时，应先检查端口是否被其他进程占用。
代理协议
协议决定连接方式，认证、传输与 TLS 参数仍需分别匹配。
代理协议
HTTP 代理HTTP proxy
HTTP 代理接收应用发来的代理请求；访问 HTTPS 网站时，应用通常通过 CONNECT 建立隧道，再与网站进行 TLS 通信。代理类型写着 HTTP，不表示只能访问 HTTP 网站，也不表示应用到代理这一段已经加密。手动填写代理时，要区分代理协议类型与目标网站的协议。
代理协议
SOCKS5SOCKS version 5
SOCKS5 是通用代理协议，可以转发 TCP，并在双方实现支持时通过相应机制转发 UDP。域名由本地解析还是交给代理解析，取决于应用的实现和设置，不能仅凭 SOCKS5 名称判断。它本身不负责加密；应用支持 TCP 代理，也不代表它一定支持 UDP 代理。
代理协议
ShadowsocksSS
Shadowsocks 是一种代理协议，客户端与服务端需要使用一致的加密方法及对应凭据。导入节点后若连接失败，应核对地址、端口、加密方法和认证信息，而不是只修改节点名称。不同协议扩展或插件还有额外要求，不能把任意一份 Shadowsocks 参数直接套进所有客户端。
代理协议
TrojanTLS-based proxy protocol
Trojan 通常借助 TLS 承载代理通信，除地址、端口和认证信息外，还需要正确的 TLS 参数。服务器名称可能参与证书验证与握手，连接地址和验证名称不一定是同一个值。出现证书错误时，应检查系统时间、名称和服务端配置，不要把跳过证书验证作为常规修复步骤。
代理协议
VLESSVLESS protocol
VLESS 是一种代理协议，实际部署常与 TLS、REALITY 或不同传输方式组合。仅知道协议名无法复原节点，还需要认证标识、传输类型及对应安全参数。客户端能显示导入结果，也不代表所带内核支持全部组合；排查时应以服务端要求和实际内核能力为准。
规则与分流
先看连接命中了哪条规则，再看规则指向哪个策略。
规则与分流
规则分流Rule-based routing
规则分流按域名、IP 或其他条件决定连接去向，通常从规则列表顶部开始匹配，命中后交给相应策略。例如 DOMAIN-SUFFIX,example.com,DIRECT 将匹配的域名交给直连策略。规则越靠前优先级通常越高，因此新增一条正确规则，也可能被前面的宽泛规则提前截获。
规则与分流
策略组proxy-groups
策略组用来组织节点或其他策略，常见类型包括手动选择的 select、按探测结果选择的 url-test 和故障切换的 fallback。规则指向组名后，再由组类型及当前状态决定实际出口。组名与节点名需要准确对应；组内选择改变后，已有长连接未必立即切换。
规则与分流
规则模式与全局模式Rule / Global
规则模式按配置中的规则决定每条连接的去向，全局模式通常把已进入内核的连接交给全局策略处理。全局模式改变的是分流方式，不会自动让所有应用遵循系统代理，也不等同于开启 TUN。日常可先使用规则模式；临时切换全局有助于区分规则问题与节点问题，但不能替代完整排查。
规则与分流
GeoIPIP geolocation classification
GeoIP 根据数据库中对 IP 的地区分类参与规则匹配，例如按目标地址所属地区选择策略。它不是域名类别表，也不能保证地区判断始终准确，云服务和网络迁移都可能带来偏差。遇到特定网站走错策略时，先确认实际命中规则，再决定调整域名规则还是更新对应数据。
规则与分流
规则集rule-providers / RULE-SET
规则集把一批匹配条件放到独立内容中，通过 rule-providers 引入，再用 RULE-SET 指定处理策略。它便于更新和复用，但需要让内容格式与 behavior 等声明一致。规则集下载成功只是第一步，还要确认它被规则列表引用，并处在合适的匹配顺序中。
DNS 与网络
解析路径、连接路径与流量接管是三个相关但不同的问题。
DNS 与网络
DNSDomain Name System
DNS 用于把域名解析为 IP 等记录，访问网站时通常先发生解析，再建立连接。解析成功不代表目标可达，也不能证明连接已走代理；相反，连接失败也未必是 DNS 的问题。浏览器可能使用自己的加密 DNS，因此修改系统解析设置后，还需检查应用是否实际使用了这条解析路径。
查看 DNS 配置 →DNS 与网络
Fake-IPVirtual address mapping
Fake-IP 模式为查询域名返回虚拟地址，并由内核维护域名与地址之间的映射，后续连接可借此关联回域名。虚拟地址不是网站真实 IP，不能直接用它判断服务器位置。部分应用依赖真实地址或特殊发现机制，可能需要通过过滤配置兼容；开启此模式也不等于所有 DNS 请求都已被接管。
DNS 与网络
DNS 泄漏DNS leak
DNS 泄漏指域名查询没有遵循预期路径，而被交给其他解析服务处理的情况。检测页显示的解析服务地区，不能单独证明泄漏，还应结合预期配置、浏览器加密 DNS、IPv6 与系统路由判断。先明确希望由谁解析、请求应如何到达，再检查实际行为，才能避免只按地区标签下结论。
DNS 与网络
TUN 模式Virtual network interface
TUN 模式通过虚拟网络接口和路由设置，把 IP 数据包引入内核，适合需要接管不遵循系统代理的应用。实际覆盖范围仍由权限、自动路由、排除项及系统网络条件共同决定。首次启用前应保留原网络设置；若出现冲突，先停用其他 VPN 或同类接管工具，再逐项检查。
DNS 与网络
允许局域网allow-lan
allow-lan 控制是否允许同一局域网的其他设备访问本机代理服务，并不会自动给手机或其他电脑配置代理。实际使用还需要合适的监听地址、防火墙规则，以及其他设备正确填写本机局域网地址和端口。只在可信网络中按需开启，避免把代理监听端口直接暴露到公网。
客户端与内核
界面负责操作入口，内核和最终配置决定实际网络行为。
客户端与内核
客户端与内核GUI client / Core
客户端通常负责订阅管理、策略选择和系统集成，内核负责协议连接、规则匹配与 DNS 等网络处理。两个界面相似的客户端，可能内置不同内核或采用不同配置生成方式。反馈问题时应同时说明客户端与内核信息；只升级界面程序，也不一定意味着正在运行的内核已经同步改变。
按平台查看客户端 →客户端与内核
mihomoFormerly Clash.Meta
mihomo 是 Clash 生态中的开源内核，前身名称为 Clash.Meta，负责代理连接、规则分流和 DNS 等能力。它可以被图形客户端集成，也能在服务器或路由器上独立运行。查找字段说明时，应核对实际运行的内核及其版本；其他内核接受的配置，不一定可以直接照搬到当前环境。
客户端与内核
YAMLConfiguration data format
YAML 是 Clash 配置常用的数据表示格式，靠缩进表达层级，靠短横线表示列表项。缩进应使用空格而非制表符，复制片段时也要保留它在原文件中的层级关系。文件能够通过语法解析，只说明格式可读；字段拼写、值的类型与内核是否支持，还需在加载配置后结合提示检查。
查看 YAML 结构 →客户端与内核
配置覆写Override / Merge
配置覆写是在订阅等原始内容之外，通过合并片段或脚本调整最终配置的机制，常用于保留本地 DNS、规则或监听设置。不同客户端对合并顺序和列表追加、替换的处理可能不同。修改后应查看实际生效配置，不要只看原始订阅文件；直接编辑会被更新覆盖的文件，通常难以长期保留改动。
客户端与内核
外部控制接口external-controller
外部控制接口供客户端界面或控制面板读取状态、切换策略，常见本机监听形式为 127.0.0.1:9090。它是管理入口，不是供浏览器上网的混合代理端口，填错用途会导致连接失败。通常保留本机访问范围；确需远程管理时，应配置认证并限制访问来源。