1. 先分清 VPN 已啟動與出口可用

「已連線」只表示用戶端的本機服務或 VPN 通道已啟動，不代表節點、DNS 和分流規則都正常運作。先停止 Clash，確認手機本身可以上網；再啟動服務，依序檢查「流量接管 → 規則比對 → 連線至節點 → 解析並連線至目標」。每次只調整一項，才知道恢復正常的原因。

  1. 停止用戶端服務後，用瀏覽器開啟平常可以直接連線的網站。若仍無法瀏覽，請先處理 Wi-Fi、行動數據、帳單欠費或公共網路登入問題。
  2. 分別透過 Wi-Fi 和行動數據測試。若只有其中一種網路無法使用，優先檢查該網路的驗證、DNS、路由限制及節點連接埠是否可連。
  3. 啟動 Clash，以同一個瀏覽器開啟同一個網址。記下問題是發生在所有網站、只有代理網站，還是特定應用程式。
  4. 記下測試時間、目前使用的設定檔、模式和選取的節點，再查看該時段的記錄。

2. 檢查 Android VPN 權限與連線衝突

在 Clash for Android 中選取設定檔後，返回主畫面啟動服務。首次啟動時，Android 會跳出 VPN 連線要求，請確認授權。通知列的 VPN 圖示可供參考，但仍應前往系統的 VPN 頁面，確認目前是哪個應用程式建立連線。

系統設定要檢查哪些項目

  • 原生 Android 通常可在「設定」→「網路和網際網路」→「VPN」找到相關項目。各廠牌的選單可能不同，也可以直接在設定中搜尋「VPN」。確認目前啟用的是正在排查的用戶端。
  • 同一個 Android 使用者或工作設定檔中，通常一次只能有一個應用程式使用 VPN 介面。請先停止其他 VPN、使用本機 VPN 的過濾工具及封包擷取工具，再重新啟動 Clash。
  • 開啟對應 VPN 的設定，檢查「一律開啟 VPN」和「封鎖未使用 VPN 的連線」。排查期間可暫時關閉後者，避免用戶端停止後網路仍遭系統封鎖；測試完再視需要恢復設定。
  • 若使用工作設定檔或應用程式分身，請確認出問題的瀏覽器和 Clash 位於同一個設定檔中。個人設定檔的 VPN 不一定會接管工作設定檔的流量。

若系統授權視窗一直沒有出現，先停止服務再重新啟動，並查看系統 VPN 清單是否留有其他作用中的連線。反覆點選連線按鈕，無法解決 VPN 介面被其他應用程式占用的問題。

3. 確認設定檔、代理模式與策略群組

前往「設定檔」，確認目前啟用的是剛更新且能正常載入的設定檔。訂閱更新成功不代表每個節點都能使用；匯入後也不一定會自動切換到新設定檔。返回主畫面核對設定檔名稱，再開啟「代理」查看目前的模式和策略群組。

模式用途與檢查重點
規則 / Rule依規則順序選擇出口。確認目標網域符合哪個策略群組，以及該群組實際選用的節點。
全域 / Global暫時將流量交由全域策略處理。請確認全域策略選取的是可用代理，而不是 DIRECT 或失效節點。
直連 / Direct不經代理直接連線至目標。可用來比對本機網路狀況，但不能據此判斷代理節點是否可用。

先在「代理」中手動選取一個節點，避免測試期間自動選擇群組不斷更換出口。若全域模式可用、規則模式失敗，應優先檢查規則和策略群組，不要立刻重新安裝用戶端。若兩種模式都無法使用，再檢查節點、DNS 和 VPN 流量接管。

確認策略群組的最終出口

設定檔中的群組名稱只是標籤。例如某個選擇群組指向另一個自動選擇群組，最後由後者決定節點。展開相關策略，逐層確認最終出口，並留意是否誤選了 DIRECT、REJECT 或無法使用的節點。切換節點後請建立新連線；舊網頁連線未必會立即改用新的出口。

4. 分開檢查延遲測試與實際瀏覽

延遲測試只反映節點連線至測試網址的狀況。測得 180 ms，不代表目標網站的 HTTPS 連線、帳號登入或影片請求一定成功；測試逾時，也可能只是測試網址本身無法連線。別把單一數值當成完整的連線狀況判斷。

  1. 手動選取節點 A，執行用戶端的延遲測試，再用瀏覽器的新分頁開啟目標網址。
  2. 切換至節點 B，重複相同操作。盡量選擇不同線路，不要只換同一線路上的節點名稱。
  3. 若所有節點都無法使用，先停止服務，切換 Wi-Fi 與行動數據，再重新啟動並測試。
  4. 檢查手機的「日期和時間」，並啟用自動設定。裝置時間若有明顯誤差，可能導致 TLS 憑證驗證失敗。

記錄中出現 connection refused，通常表示目標或中間設備拒絕連線；i/o timeout 只表示等待逾時，不能直接判定是密碼錯誤。若訂閱更新後才開始出現未知欄位或協定相關錯誤，請確認用戶端核心是否支援該設定。原版 Clash 與 Clash Meta（現稱 mihomo）支援的設定並不完全相同。

5. 排查 DNS 劫持、私人 DNS 與瀏覽器解析

網域無法解析時，VPN 仍可能顯示已連線，節點延遲也可能正常，但網頁還是打不開。先查看記錄中是否出現 lookup、DNS、no such host 或解析逾時，再檢查目前設定檔的 dns 區段。不要一次更換所有 DNS 伺服器。

依解析流程逐項檢查

  1. 在 Android「設定」中搜尋「私人 DNS」。若設定了嚴格模式的提供者主機名稱，先記下原設定，再暫時改為「自動」進行比對。
  2. 檢查瀏覽器內的「使用安全 DNS」設定。瀏覽器可能透過 HTTPS 自行解析，流量不一定會經過一般使用的 53 埠 DNS 劫持。
  3. 核對用戶端的 VPN／DNS 設定和設定檔。不同 Android 用戶端可能由介面控制 DNS 接管，也可能讀取核心的 TUN 設定；不要只根據一段 YAML 就認定設定已生效。
  4. 變更設定後，停止並重新啟動服務，關閉舊分頁再測試。必要時重新啟動瀏覽器，以減少舊連線和應用程式快取造成的干擾。

傳統 DNS 通常使用 UDP 或 TCP 的 53 埠；DNS over HTTPS 通常透過 443 埠傳輸。只劫持 53 埠，不代表所有加密 DNS 都已接管。以下僅示範支援相關欄位的 mihomo TUN 設定中 DNS 劫持項目的格式，並非可直接貼入原版 Android 用戶端的完整設定：

tun:
  enable: true
  dns-hijack:
    - any:53
    - tcp://any:53

還需確認核心版本、路由接管和 dns.enable 等實際設定。Android 用戶端可能透過自身的 VPN 服務接管流量，介面中的 VPN 開關不能直接等同於核心的 tun.enable。

fake-ip 不代表解析失敗

在 fake-ip 模式下，網域可能會取得預設位址池 198.18.0.0/16 中的對應位址，這是正常設計。不能只因位址看起來陌生就判定發生故障。真正要確認的是後續連線是否仍由同一個核心接管。切換 fake-ip 和 redir-host 後，請重新啟動服務及相關應用程式，避免繼續使用舊的映射或解析快取。

若只有特定應用程式異常，可先備份設定檔，再比較不同模式；但不要把切換至 redir-host 當成所有 DNS 故障的通用解法。也不建議直接以網站 IP 取代網域作為唯一測試方式，因為 HTTPS 憑證和虛擬主機通常需要正確的網域名稱。

6. 檢查應用程式存取控制與規則比對

若只有瀏覽器或特定應用程式無法連線，先確認該應用程式是否由 VPN 接管。Clash for Android 可在「設定」→「存取控制」管理適用的應用程式；其他用戶端的選項名稱可能是「依應用程式代理」。先確認目前模式是「僅代理已選取的應用程式」還是「略過已選取的應用程式」；兩種模式下，相同的勾選代表相反的意思。

  • 僅代理已選取的應用程式：瀏覽器必須在選取範圍內，否則會透過系統直接連線。
  • 略過已選取的應用程式：勾選的瀏覽器不會使用代理，請確認是否誤選。
  • 封鎖未使用 VPN 的連線：若同時設定應用程式排除規則，被排除的應用程式可能無法上網，請一併檢查系統設定。

接著開啟「記錄」或用戶端提供的連線清單，重新整理無法載入的頁面。若看得到連線及其規則比對結果，表示至少有相關流量進入核心。若完全沒有記錄，先確認記錄層級，再檢查應用程式範圍和 VPN 流量接管，不要先修改節點密碼。

規則通常由上而下比對，第一個符合的規則會決定出口。以下結構表示特定網域直連，其餘流量交由名為 PROXY 的策略處理；實際設定中必須確實有這個策略群組：

rules:
  - DOMAIN-SUFFIX,example.com,DIRECT
  - MATCH,PROXY

若失敗連線符合 REJECT，請檢查上方的封鎖規則；若意外走 DIRECT，則檢查網域規則、規則集和最終的預設規則。網頁還可能載入獨立的圖片、登入和 API 網域，因此「首頁能開、登入失敗」時，應查看失敗請求對應的連線，不能只為首頁網域新增規則。

7. 鎖定螢幕後斷線：檢查省電與背景執行

剛啟動時正常，鎖定螢幕幾分鐘後失敗，解鎖並開啟用戶端又恢復時，優先懷疑背景執行受限。前往 Android「設定」→「應用程式」→對應用戶端→「電池」，依系統提供的選項允許背景執行，或設為「不受限制」。部分廠牌還需在電池管理中允許自動啟動。

  1. 檢查是否允許用戶端使用背景數據；若已開啟數據節省模式，請確認沒有禁止該用戶端在背景連線。
  2. 前往「設定」→「通知」確認通知權限。持續顯示的服務通知有助於觀察執行狀態，但通知仍可見，不代表系統不會結束背景程序。
  3. 先保持螢幕開啟並瀏覽網頁，再鎖定螢幕 5 分鐘後重試，記錄服務通知、VPN 圖示和記錄是否中斷。
  4. 分別測試從 Wi-Fi 切換至行動數據，以及從行動數據切回 Wi-Fi。若只有切換網路後才失敗，先重新連線服務，確認連線是否重新建立。

若調整背景權限後問題消失，再逐項恢復不必要的例外設定，只保留確實影響運作的項目。無須為了代理用戶端關閉整部手機的所有省電功能。

8. 根據測試結果找出下一步，別反覆重裝

測試結果優先檢查
停止 Clash 後仍無法上網系統 VPN 封鎖選項、網路驗證、訊號與基本網路連線。
全域模式可用，規則模式失敗比對到的規則、策略群組的最終選擇，以及規則集是否正常載入。
更換節點後恢復原節點狀態、線路限制、節點參數和伺服器設定。
只有一個應用程式無法使用應用程式存取控制、應用程式內的安全 DNS，以及失敗請求對應的網域。
鎖定螢幕或切換網路後才失敗背景執行權限、系統省電設定，以及網路切換後是否重新連線。

仍無法找出原因時，請保留故障前後約 30 秒的相關記錄，並記下 Android 版本、用戶端版本、核心名稱、網路類型、代理模式和測試結果。提供「規則模式失敗、全域模式成功、行動數據可重現」這類描述，比只說「已連線但無法上網」更容易找出問題。

若最後確認是設定功能與舊版核心不相容，請先備份設定檔，再改用支援相應協定的用戶端。安裝、匯入和首次 VPN 授權的步驟可參考快速入門教學；設定欄位和模式說明則可參閱完整文件。更換用戶端前，請保留已完成的測試結果，避免在新環境中再次盲目排查。