Clash 全平台
安装配置大全

通用准备：配置来源与接管方式

先分清客户端、内核和订阅

客户端是操作界面，负责保存配置、启动内核、设置代理和展示连接。内核负责解析协议、匹配规则与转发流量。订阅则是配置来源，可能包含节点、策略组、规则和 DNS 参数。装好客户端并不等于已经获得可用出口；开始前应准备服务提供方交付的有效订阅地址，或一份兼容所选内核的 YAML 文件。

本手册优先以 Clash Plus 作为选型起点。其他界面的按钮名称可能不同，但通常都围绕配置、代理、连接和设置几个入口组织。不要因为某款客户端能导入，就推断另一款也支持全部字段；尤其是协议扩展、规则提供者和脚本相关设置，应对照目标内核的支持范围。出现解析错误时，先读错误中的字段名与行号。

整理订阅与系统信息

订阅地址可能带有访问凭据，应当像账号密码一样保管。不要把完整链接贴到公开论坛、截图或陌生在线转换页面。向他人求助时，仅保留错误类型、客户端名称、系统与网络环境。若链接已泄露，应向提供方申请重置，而不是只删除本地记录；删除记录不能撤回别人已经取得的访问权限。

安装前查看系统版本、处理器架构和剩余存储空间。桌面设备重点区分 x64 与 ARM64，Mac 重点区分 Intel 与 Apple Silicon，安卓设备则确认是否支持 ARM64 安装包。先备份已有配置和自定义规则，再切换客户端。测试期间退出其他代理或 VPN 软件，避免两个程序争抢系统代理、虚拟网卡或 DNS 设置。

选择一种流量接管方式

系统代理和 TUN 是接管方式，规则、全局和直连是路由决策模式，两者不在同一层。开启 TUN 后仍然可以使用规则模式，规则命中的直连流量也可能先经过内核再直接发出。排错时要分别确认“应用是否进入客户端”和“进入之后走哪个出口”，不要只凭开关名称判断连接已经受到代理。

建立最小可用配置

第一次连接只做四件事：导入订阅、选中配置、选择一个可用节点、启动服务。桌面端先试系统代理，移动端确认 VPN 授权。暂时保留订阅自带 DNS 和规则，不同时添加覆写、应用排除和局域网共享。成功后记下所用网络、节点和接管方式，后续每次只改变一个设置，才能知道是哪一步产生影响。

验证时访问一个日常直连站点，再访问一个按规则应走代理的站点，并在连接记录里核对策略。网页能打开只能说明这次请求成功，不能证明所有应用、全部域名或 UDP 流量都可用。记录应只保留必要信息；日志可能出现域名、订阅地址和本地路径，分享前需要逐项遮盖敏感部分。

Windows：安装与系统代理

选择安装包并完成首次启动

前往Windows 下载区，先查看 Clash Plus；也可按使用习惯选择 Clash Verge Rev、FlClash 或 Clash Nyanpasu。Clash for Windows 已停止维护，归档入口更适合迁移旧配置时参考，不宜作为新装设备的默认选择。不要把旧客户端目录直接覆盖到另一款程序中，配置文件和界面数据库并不一定兼容。

在系统设置的“系统 → 系统信息”查看系统类型，选择下载页实际提供的对应包。安装前退出已有代理进程，运行安装程序并按提示选择目录。首次打开若系统要求允许网络访问，先核对程序来源与文件位置，再按实际需要授权。程序窗口关闭后可能仍在通知区域运行，排查端口占用时应从托盘菜单完整退出。

导入订阅并选中配置

进入配置或订阅页面，选择新增远程配置，粘贴服务提供的订阅链接。等待下载和解析完成，确认出现配置名称后，再点击启用或选中。部分界面中“已添加”只表示保存到列表，并不代表当前内核已经加载。回到代理页面应能看到策略组；若列表为空，先检查当前配置是否选对，以及订阅返回的是否为 Clash 格式。

打开策略组，选择一个实际节点作为初次测试出口。自动选择组可能依赖连通性检测，刚导入时结果尚未完成，不必立即判定节点全部失效。更新订阅前先保存自定义规则，远程配置文件可能在下次更新时被替换。需要长期保留的本地设置，应使用客户端提供的覆写或扩展入口，而不是直接修改缓存文件。

先启用系统代理，再核对监听端口

启动内核后打开“系统代理”。这一步一般会把 Windows 的代理地址设置为回环地址及客户端端口。浏览器重新建立连接后再测试，旧标签页可能继续复用原连接。如果浏览器扩展还设有独立代理，先关闭扩展的代理控制，避免实际请求绕到另一处；应用自己填写的代理通常也不会自动跟随系统开关。

下面的混合端口示例可同时接受 HTTP 与 SOCKS 代理连接。它只说明本地监听方式，不包含节点，不能单独作为完整订阅使用。端口应以客户端当前运行配置为准；若界面使用其他数值，不要为了套用示例而修改订阅。回环监听只供本机连接，适合先验证基本链路。

mixed-port: 7890
allow-lan: false
bind-address: 127.0.0.1
mode: rule
log-level: info

确认端口后，可在 PowerShell 用下面的命令单独测试 HTTP 代理入口。命令显式指定代理，因而不依赖系统代理开关。若它成功而浏览器失败，优先检查浏览器或系统设置；若提示无法连接本地端口，先检查内核和监听地址，不要急着更换节点。请求成功仍需结合连接记录确认实际出口。

curl.exe --proxy http://127.0.0.1:7890 --head https://example.com

TUN、服务权限与退出恢复

需要接管不遵循系统代理的应用时，再考虑 TUN。不同客户端可能要求安装服务组件或以管理员权限完成初始化，应按该客户端的提示操作。开启后观察虚拟网卡与连接记录；若整个系统突然无法解析域名，先关闭 TUN 恢复基线，再检查 DNS、路由冲突和安全软件拦截，不要同时改动多套网络参数。

日常使用不需要把 Windows 防火墙整体关闭。若安全软件拦截，应只为确认来源的程序和必要网络范围添加规则。电脑从休眠恢复、切换 Wi-Fi 或接入公司 VPN 后，已有路由可能失效，可先停止再启动内核。长期需要自动启动时，先确认手动启动稳定，再配置随系统启动与自动启用代理，避免开机即进入故障状态。

退出客户端前关闭系统代理；如果程序异常结束，在 Windows 设置的“网络和 Internet → 代理”检查手动代理是否残留。程序已经停止而系统仍指向本地端口，会让遵循代理的应用无法联网。局域网共享还涉及监听地址和入站规则，可继续查阅混合端口与局域网共享说明，不要仅打开一个允许局域网开关就结束配置。

macOS：芯片架构与网络权限

按芯片选择客户端

打开苹果菜单的“关于本机”，查看显示的是芯片还是 Intel 处理器，再进入macOS 下载区选择相应安装包。优先考虑 Clash Plus，也可选择 Clash Verge Rev 或 FlClash。ClashX Meta 已停止维护，迁移时应先备份订阅与规则，不要把旧程序能启动等同于它适合继续处理新的配置格式。

下载磁盘映像后打开，把应用拖入“应用程序”目录，再从该目录启动。不要长期直接运行磁盘映像里的副本，否则更新、权限和开机启动可能指向不同位置。若系统阻止打开，先确认下载来源，再到“系统设置 → 隐私与安全性”查看具体提示；不要使用来源不明的命令批量关闭系统安全机制。

导入远程配置并确认加载

打开配置页面，新增远程订阅，填写名称并粘贴链接。保存后等待解析结束，再将其设为当前配置。若需要从文件导入，可通过文件选择器打开 YAML，但要确认客户端是复制文件还是持续引用原路径。把文件留在临时下载目录后又清理目录，可能导致后续重载失败；建议将需长期引用的文件放在稳定位置。

检查策略组是否出现，并手动选择一个测试节点。看到配置更新成功，只能证明订阅请求和解析完成，不能证明节点的网络连接成功。先查看节点是否可用，再启用流量接管。若订阅在浏览器能访问而客户端失败，检查两者是否走了不同代理路径，以及系统时间是否正确，不要在公开页面展示完整订阅地址。

理解当前网络服务的系统代理

启用客户端的系统代理后，macOS 通常会修改活动网络服务上的 HTTP、HTTPS 或 SOCKS 代理设置。Wi-Fi 与有线网络可能对应不同服务，切换网络后应重新确认。某些终端工具只读取环境变量，另一些应用有自己的代理设置，因此浏览器正常、终端失败并不矛盾，先确定目标应用使用哪一种入口。

可以用下列只读命令查看系统当前代理状态，重点观察是否启用以及地址和端口是否对应客户端。它展示的是系统配置，不保证每个应用都会遵循这些配置。若发现地址属于已退出的旧客户端，先在当前客户端关闭再重新启用系统代理；仍未恢复时，到对应网络服务的代理设置中逐项检查。

scutil --proxy

为某个终端请求临时指定代理，比直接修改全局 shell 配置更便于排错。以下命令只影响这一次调用，使用前把端口与实际运行值核对。若平时在 shell 启动文件中配置了代理变量，也要检查残留变量；关闭图形客户端不会自动删除这些变量，它们可能继续让工具连接到已经停止的本地端口。

curl --proxy http://127.0.0.1:7890 --head https://example.com

处理 TUN 权限与网络切换

使用 TUN 时，客户端可能要求安装辅助服务、授权创建网络接口或确认系统扩展。按当前程序提示逐步完成，不要反复安装其他客户端的服务组件来替代。授权后若没有流量，先查看日志是否提示权限、接口或路由创建失败；这些错误发生在节点连接之前，更换订阅通常不能解决。

同时运行企业 VPN、其他网络过滤工具或虚拟机网络时，可能出现路由优先级与 DNS 冲突。先保留一个接管工具验证，再逐个恢复其他组件，确认问题从哪一步出现。对公司管理设备，应遵循已有网络策略，不能通过删除受管理配置来强行开启 TUN。代理设置也不会自动覆盖系统的所有安全与访问限制。

Mac 从睡眠恢复或从有线切换到无线后，先用停止、启动恢复客户端连接，再确认当前网络服务代理。卸载前关闭系统代理和 TUN，并按客户端说明移除辅助服务。只把应用拖进废纸篓，可能留下仍指向本地端口的设置；若卸载后浏览器无法联网，应先检查系统代理残留，而不是重置全部网络配置。

Android：VPN 授权与应用分流

安装包、更新与配置迁移

进入Android 下载区，首选查看 Clash Plus，也可选择 Clash Meta for Android、FlClash 或 Surfboard。Surfboard 使用的配置体系与 Clash YAML 不完全相同，不能把同一份 YAML 在所有客户端中直接通用。若服务方只提供 Clash 订阅，先选择明确支持该格式的客户端，避免在安装后才发现配置不匹配。

安装 APK 时，系统可能要求允许当前浏览器或文件管理器安装应用。核对文件来源后，仅向实际使用的安装来源授予权限。若提示与已安装应用冲突，检查包名、签名与来源，先备份配置再决定迁移；不要立即卸载仍可工作的应用。不同签名的安装包通常无法直接覆盖，清除数据也不会改变签名不一致的问题。

从 URL 导入并启动 VPN 服务

在 Clash for Android 风格界面中，打开“配置 → 新配置 → 从 URL 导入”，填写便于识别的名称并粘贴订阅链接。保存后等待更新完成，再返回配置列表选中该条目。从文件导入时，使用系统文件选择器选取 YAML；仅把文件下载到手机不会自动让客户端加载它，必须完成导入和选择。

回到首页，点击启动。首次运行会出现 Android 的 VPN 连接请求，核对应用名称后确认。系统状态栏出现 VPN 标识，说明 VPN 接口已建立，但不代表远端节点一定可用。接着进入代理页面，确认当前为规则模式，选中测试节点，再打开浏览器并查看连接记录，完成从入口到出口的整条验证。

安卓通常只能由一个普通应用占用当前用户的 VPN 服务。若启动时另一款 VPN 被断开，这是系统资源限制，不一定是客户端错误。基于本地 VPN 的过滤工具也可能发生冲突。工作资料与个人资料的网络策略可能分别受管理，某个资料空间中的应用不一定受另一个空间的客户端控制，需要按设备管理范围检查。

访问控制决定哪些应用进入代理

打开设置中的访问控制或应用分流，先看当前使用的是“仅代理选中应用”还是“绕过选中应用”。两者选择同一应用会产生相反效果。第一次排错建议暂时恢复全部应用进入 VPN 的基线，再逐项排除。若浏览器正常而某个应用完全没有连接记录，先检查应用列表和所属资料空间，不要直接把原因归为节点失效。

“绕过私有网络”通常影响局域网地址的路由，有助于访问路由器、打印机或本地设备，但仍应结合配置规则判断。它不等于允许其他设备使用手机代理。“允许应用绕过”则是系统 VPN 层面的另一种行为，具体作用取决于客户端实现。修改前先了解开关说明，避免把不同层级的绕过设置混为一谈。

DNS 劫持与后台运行

DNS 劫持通常用于把进入 VPN 的 DNS 请求交给内核处理，但不能保证接管应用自行建立的加密 DNS 连接。若浏览器启用了安全 DNS，或系统设置了私人 DNS，解析路径可能与预期不同。排错时先记录原设置，再临时恢复为系统默认进行对照，不要同时更换节点、DNS 模式与规则，否则无法判断有效改动。

如果熄屏后断流，先检查电池设置是否限制客户端后台活动，再看厂商是否提供自启动或后台保留选项。设置名称因系统而异，应只调整这款客户端，不必关闭整机节电功能。观察是否仅熄屏后发生、重新打开客户端是否恢复，以及日志中是否有进程重启，这些现象能区分后台被终止与网络切换导致的连接中断。

常开 VPN 与“阻止未通过 VPN 的连接”应在基本连接稳定后再启用。后者会在客户端未运行或正在重连时阻断网络，表现上很像手机完全断网。若开启后无法访问局域网，还应检查系统阻断策略与应用排除是否冲突。需要恢复时先返回 Android 的 VPN 设置调整，再修改客户端内部规则。

手机热点连接的设备并不会因为手机自身开启 VPN 就必然共用代理。热点转发路径、系统权限和代理监听是另外的问题。如果需要共享，按局域网代理方案设置设备地址与端口，并限制可访问范围；完成后关闭不再需要的监听，不要把本机代理端口长期暴露给不可信网络。

iOS：安装、导入与网络扩展

通过商店安装 Clash Plus

iPhone 和 iPad 优先使用 Clash Plus。可从Clash Plus 的 App Store 页面安装，并通过官网 clashplus.io了解产品信息。系统要求以商店当前显示为准；安装按钮是否可用，取决于设备兼容性与账号实际可访问的商店内容，不能只根据设备型号推断。

也可以先打开本站iOS 下载区核对入口。首次启动时，先浏览配置和连接相关页面，确认使用的应用名称。客户端负责载入配置与转发流量，订阅需要另行准备。不要把商店安装完成误当成已有可用节点，也不要将网络权限请求与订阅购买、账号授权混在一起理解。

导入订阅并处理格式差异

在客户端的配置或订阅入口新增远程配置，粘贴服务方提供的地址，等待下载和解析结束。具体按钮随界面更新可能变化，应以新增远程订阅这一操作为准。导入后先确认策略组与节点列表是否出现，再选为当前配置；如果只看见一条空记录，应检查是否下载成功，而不是立即打开系统 VPN 设置反复授权。

手机复制链接时容易把前后空格、说明文字或换行一起带入。先在本地检查内容是否完整，不要上传到第三方工具试错。若链接返回网页登录页、账户提示或普通网页，客户端就无法当作 YAML 使用。服务方同时提供多种格式时，选择明确标注适配当前客户端或其内核的格式，不能仅凭地址后缀判断兼容性。

如果通过文件导入，应在系统文件选择器中选择实际配置文件，并确认文件已经下载到设备，而不是只有云端占位记录。导入后是否保留外部引用，取决于客户端实现。远程规则和节点提供者还可能继续下载其他资源，因此主配置导入成功后，若策略组仍不完整，要检查相关资源的获取状态与网络可达性。

确认 VPN 配置与规则模式

首次启动连接，系统会请求添加 VPN 配置。核对发起应用后按系统提示确认，必要时使用设备验证完成授权。回到客户端启动连接，再在系统设置中核对 VPN 状态。iOS 由网络扩展处理接管，不需要照搬 Windows 的管理员服务安装步骤，也不应寻找一个必须与桌面端同名的 TUN 开关。

初次使用先选择规则模式，并在策略组中明确选择一个节点。全局模式适合短时对照某个问题，不能替代规则排查；如果某个站点只在全局模式可用，说明可能是规则分配、直连路径或策略组选择不同。此时查看该请求命中的规则，比长期保持全局更有助于恢复预期分流。

理解应用范围、DNS 与按需连接

不要假定 iOS 客户端一定提供与 Android 相同的按应用勾选列表。普通设备上的应用级控制能力受系统接口限制，实际可用功能以客户端界面和设备管理状态为准。需要让某类网站直连时，通常先从域名规则与策略组处理；仅依据一个应用名称做判断，可能忽略该应用调用的多个域名和系统服务。

DNS 可能受配置文件、客户端覆写、系统网络设置及其他网络扩展共同影响。部分隐私中继或过滤功能也可能改变观察到的网络路径。排错时先查看现有组件，不必立刻删除所有系统配置。临时只保留当前代理客户端测试，再逐个恢复其他功能，才能确认冲突来自哪一层，并保留恢复原设置的依据。

按需连接会在满足客户端设定条件时自动启动网络扩展。建议在手动连接稳定、订阅可更新后再启用，并明确哪些网络需要连接。若关闭应用窗口后 VPN 仍保持，这是扩展继续运行的正常可能状态，不等于应用界面失灵。需要真正停止时，应使用客户端连接开关，或在系统 VPN 设置中确认断开。

处理网络切换与配置备份

从 Wi-Fi 切到蜂窝网络时，旧连接可能失效，先等待重新建立，再进行新请求测试。酒店、机场等需要网页认证的 Wi-Fi，应先完成网络登录；代理无法替代该网络的接入认证。若只在某个 Wi-Fi 失败，应对比蜂窝网络结果，再检查本地 DNS、网络限制与节点可达性，不要立即删除全部订阅。

更换设备前记录订阅来源、策略组选择和必要覆写，不能假定所有配置会跟随系统备份完整迁移。导出文件可能含节点认证信息，应存入受保护的位置。若订阅更新后出问题，先检查是否切换到新策略组、远程规则是否加载完成，再决定回退；旧文件是否可用仍取决于服务方是否保留对应节点。

Linux：桌面客户端与内核运行

先区分桌面与服务器场景

Linux 桌面用户可到Linux 下载区，优先查看推荐的 Clash Verge Rev，也可选择 FlClash。服务器、路由器或只需要命令行运行的环境，可查看下载页内核区的 Mihomo。图形客户端通常会管理内核、配置和服务权限；直接运行内核则需要自行安排目录、启动方式、日志与网络接管，维护责任不同。

安装前确认发行版、处理器架构与软件包格式。Debian 系通常使用 deb，RPM 系应选择下载页实际提供的 rpm 包，不能仅改扩展名后安装。桌面图形程序可能依赖显示服务与系统库，不适合直接放到没有图形环境的服务器上运行。遇到缺少共享库提示，应先检查发行版兼容性，不要随机下载库文件覆盖系统目录。

安装后验证普通代理入口

按系统的软件安装器完成安装，再从应用菜单启动。若使用命令行安装软件包，应先阅读包管理器列出的依赖和变更。进入配置页新增远程订阅，更新完成后选为当前配置，再打开策略组选择节点。首次测试先以普通用户启动图形界面，只有服务安装或网络接口创建等明确需要权限的步骤才进行系统授权。

GNOME、KDE 与其他桌面的代理设置入口不同，应用是否读取桌面设置也不同。浏览器可能使用桌面系统代理，终端工具通常需要显式参数或环境变量。不要因为系统代理按钮处于开启状态，就推断包管理器、容器和后台服务都使用它。先用一次显式代理请求确认本地端口可达，再逐个处理应用集成。

curl --proxy http://127.0.0.1:7890 --head https://example.com

若需要当前终端会话中的多个工具使用 HTTP 代理，可以临时设置下面的变量。并非每个工具都遵循这些变量，部分工具也有单独配置；不要在尚未验证时直接写入所有用户的启动文件。使用完通过取消变量恢复，避免客户端关闭后，终端仍向已经停止的监听端口发送请求。

export http_proxy=http://127.0.0.1:7890
export https_proxy=http://127.0.0.1:7890

# 结束本次会话中的代理设置
unset http_proxy https_proxy

直接运行 Mihomo 的目录边界

使用独立内核时，先准备与架构匹配的可执行文件，并把它安装到本机可执行路径。下面的启动命令假定系统已能找到名为 mihomo 的程序，且用户配置目录中已放入完整的 config.yaml。先用测试命令检查配置，再前台启动观察日志；语法通过只证明配置能被读取，不保证节点、DNS 或远程规则资源都可达。

mkdir -p "$HOME/.config/mihomo"
mihomo -t -d "$HOME/.config/mihomo"
mihomo -d "$HOME/.config/mihomo"

目录参数决定配置和部分运行数据的查找位置。通过终端能启动，但改成系统服务后失败，常见原因是运行用户、工作目录、文件权限或环境变量不同。服务环境不会自然继承交互式 shell 的代理变量。先确认服务实际读取的配置路径，再检查它是否能访问订阅、规则文件与日志目录，不要反复复制不同配置覆盖试验。

TUN、DNS 与容器网络

TUN 需要创建虚拟接口和调整路由的权限。图形客户端一般提供服务模式或辅助组件，应优先遵循该客户端的安装流程。独立内核的权限配置则应结合发行版服务管理方式设置，避免长期以不必要的高权限运行整个桌面程序。若提示无法打开 TUN 设备，先检查系统支持和运行权限，这与远端节点是否有效无关。

Linux 的 DNS 可能由 NetworkManager、systemd-resolved 或其他组件管理。配置里的 DNS 监听端口，不会自动让所有程序都向它查询；还需要正确的系统解析链路或 TUN 劫持设置。修改解析配置前查看当前管理者，避免手动改写的文件被网络服务重新生成。优先使用客户端支持的集成方式，并为恢复原设置保留记录。

容器中的回环地址指向容器本身，不是宿主机。宿主机运行代理后，在容器内填写 127.0.0.1 往往连接不到它。若确需跨网络命名空间访问，应设计可达地址、监听范围与访问限制；不要为方便直接把代理和控制接口同时暴露在全部网卡上。后台服务也有各自的环境配置，应按服务单独验证，不能沿用桌面测试结论。

完成前台验证后再设置开机启动，检查重启后的服务状态与日志。停止服务时同步恢复系统代理、路由和 DNS，确认直连网络仍正常。服务器若通过远程终端维护，在改默认路由前保留现有会话与恢复手段，避免把管理连接一并切断。普通桌面用户通常不必手工维护整套内核服务，图形客户端更适合持续使用。

配置常见问题：按链路定位故障

订阅失败先区分下载与解析

“更新失败”可能发生在请求地址、建立连接、接收内容或解析 YAML 的不同阶段。先看错误是超时、证书异常、权限拒绝，还是字段和语法错误。网络错误先检查当前网络、系统时间和请求路径；解析错误则检查返回内容及兼容格式。更换 DNS 不会修复缺失缩进，重写 YAML 也不能让过期链接重新有效。

同一链接在浏览器和客户端表现不同，可能因为浏览器使用了既有代理、保存的登录状态或不同请求信息。不要仅以浏览器能打开就判断客户端有问题。若更新依赖当前代理，而当前配置已经不可用，可能形成无法自我恢复的循环，应按客户端支持的下载路径设置处理。具体分支见订阅失效与解析失败自查。

规则顺序与覆写范围

规则通常按顺序匹配，命中后使用对应策略，末尾的 MATCH 负责接住尚未命中的连接。下面是片段，不是完整可运行订阅；其中 PROXY 必须替换为配置中实际存在的策略组名称。若组名不一致，可能导致配置加载失败。域名规则需要可用的域名信息，直接使用 IP 的连接不一定会按预期命中域名条目。

rules:
  - DOMAIN-SUFFIX,example.com,DIRECT
  - IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
  - MATCH,PROXY

客户端覆写可能替换整段，也可能合并字段，不能只看 YAML 层级就猜测合并方式。远程规则、自定义规则和界面设置叠加后，应查看最终运行配置或连接中的实际命中结果。更新订阅后自定义内容消失，多半是修改了受远程更新管理的文件；长期规则应放进客户端明确支持的本地扩展入口，并备份原内容。

DNS、Fake-IP 与端口分别排查

Fake-IP 会给部分域名分配用于映射的虚拟地址，后续连接再由内核关联到域名；它不是节点的真实地址。出现应用兼容问题时，可先确认 DNS 请求是否进入内核，再检查应用是否缓存旧结果。不要直接把缓存中的虚拟地址写入长期 IP 规则。切换 DNS 模式后应重新发起连接，必要时清理应用解析缓存再对照。

nameserver、fallback 与过滤条件的效果取决于完整 DNS 配置，不能把多个公共解析地址随意堆进去就当作优化。尤其要避免上游 DNS 的访问本身依赖尚未解析出的代理服务器域名，形成解析循环。需要逐项理解时，阅读DNS 字段与劫持链路说明，先保留一份能工作的配置再试验。

局域网共享与控制接口

混合端口接受应用代理流量，控制接口用于管理内核，两者用途不同。给另一台设备共享代理时，需要让代理监听在可达地址、开启相应局域网访问，并配置防火墙范围；不需要因此开放控制接口。对端填写的是运行客户端设备的局域网地址，而不是对端自己的回环地址。共享完成后检查网络是否可信，并及时关闭不再使用的入口。

保留最少信息，完成一次可复现排查

测试时记下系统、客户端、接管方式、失败应用和发生时间，然后只改一个条件。节点检测成功不代表所有协议、站点和 UDP 都可用；网页打开也不代表后台应用同样正常。把连接是否进入、规则是否正确、出口是否成功依次确认，再决定该改哪一层，能避免在无关设置之间来回切换。