开始前：准备客户端与兼容订阅
先安装适合当前系统和处理器架构的客户端，并确保设备在关闭代理时能正常连接基础网络。如果还停留在下载阶段，前往Clash 客户端安装包页面选择平台；不同系统的安装权限、服务模式和包格式，集中放在全平台安装配置指南中，本页从客户端能够打开开始。
接着准备服务提供方给出的订阅地址，明确选择 Clash 或 mihomo 兼容格式。购买记录页面、账户登录地址和订阅地址不是一回事。订阅通常会返回一份包含代理、代理组和规则的配置，而不是一个让浏览器登录的网页。只有几个单独的节点分享链接时，需要先确认客户端是否支持直接导入，不能把任意链接都粘进订阅框后期待自动识别。
订阅地址通常携带账户访问凭据，应按密码对待：不要发到公开评论区，不要把包含完整地址的截图提交给陌生人，也不要随意上传到在线转换站。若确实需要订阅转换，先阅读常见问题中的订阅说明，了解配置兼容性与地址暴露风险。操作前还应暂时退出其他代理或 VPN 客户端，减少系统代理、虚拟网卡和 DNS 接管之间的冲突。
第一步：导入订阅并激活配置
打开客户端侧栏的“订阅”或“配置”页面，找到“新增”“导入”或带加号的入口。若同时提供“从 URL 导入”和“从文件导入”，手里是订阅地址就选择 URL；手里是服务提供方导出的 YAML 文件，才选择文件导入。给配置起一个便于辨认的本地名称，然后将完整地址粘贴到订阅输入框，检查开头、结尾是否混入空格或换行，再点击确认。
此时先等导入结果，不要急着打开所有开关。正常情况下，配置列表会新增一项，并显示最近更新结果；部分客户端还会提示代理数量或更新完成。打开这份配置或进入代理页，应该能看到配置定义的代理组及其候选项。如果界面仍是一片空白，先返回配置页检查是否真正导入成功，而不是只保存了一条尚未获取的地址。
导入失败时，查看这一次更新对应的错误信息。超时一般意味着订阅服务暂时不可达或网络路径有问题；401、403 等响应需要回到服务提供方核对地址与访问权限；解析错误则可能是格式不兼容，或服务器返回了登录网页。不要把这些错误都归为“节点坏了”，因为这一步甚至还没进入节点连接阶段。记录错误关键词即可，分享日志前隐藏地址与凭据。
配置出现在列表中以后，还要点击它的“使用”“激活”按钮，或将它选为当前配置。部分客户端通过边框或选中标记表示当前项。若存在多份订阅，确认刚导入的那一份处于选中状态，再切到代理页面检查分组。仅仅下载成功，不代表内核已经加载它；改了半天却始终影响另一份配置，是首次使用时很常见的弯路。
订阅后续可以通过“更新”重新获取，但先保留默认更新行为即可。不要为了改一个分组就直接覆盖远程配置正文，下次更新可能把手动修改一起替换。需要长期追加规则或修改字段时，再到全平台指南查阅覆写与本地配置的处理方式。确认分组已经出现并且没有加载错误后，继续选择运行模式。
第二步：选择规则模式与代理组
进入“代理”页面，找到“规则 / 全局 / 直连”模式切换，首次使用优先选择“规则”。规则模式会按当前配置的规则顺序决定请求走哪个策略，不是所有网站都使用同一条代理连接。全局模式把进入内核的请求交给全局策略处理，直连模式则不使用代理节点转发这些请求。它们控制的是内核如何处理流量，不负责让应用自动把流量交给内核。
接下来展开主要的代理选择组。组名由订阅配置决定，可能是“节点选择”“代理”或其他名称，不必寻找一个所有客户端都固定存在的标签。点击组内的候选节点使其成为当前选择；如果选中的是另一个分组，继续展开，确认最终落到实际节点，而不是误选了 DIRECT。自动选择组则按配置中的检测与选择机制工作，不一定允许直接固定某个成员。
客户端提供连通性测试按钮时，可以先运行一次测试，排除明显不可用的候选项。但测试地址能够响应，只能说明这一条测试路径有结果，不能证明目标网站也一定能打开，更不能只比较数字大小就判断全部体验。先选择一个测试可用的节点，后面再用实际网站请求验证。若全部测试失败，回到第一步检查订阅是否过期、候选项是否完整，再考虑网络环境问题。
遇到“有些网站能打开，有些打不开”，可以短时切到全局模式，并在全局策略里选好节点做对照。如果同一网站在全局正常、规则模式异常，优先检查规则命中和分组选择；如果两种模式都失败，应继续检查节点或连接接管。对照结束后恢复规则模式，不要让一次排查悄悄变成长期配置。
mode: rule上面只有模式字段，用来对应界面中的“规则”，不是可单独运行的完整配置。本教程不要求手动编辑 YAML；先在界面完成选择即可。若对策略组、规则和节点之间的关系仍不清楚，可查阅名词解释后返回当前步骤。此时应当已经具备一份激活配置、一种明确模式，以及一个可用的代理选择。
第三步：开启连接并完成系统授权
桌面端先确认客户端内核处于运行状态，再开启“系统代理”。这通常会把操作系统的 HTTP、HTTPS 代理指向本机监听地址，支持读取系统代理的浏览器和应用才会把请求送进客户端。第一次操作时先不要同时修改浏览器扩展、环境变量和多个网络工具，保持路径简单，出了问题也容易知道是哪一环。
如果系统代理显示已开启，但浏览器完全无法加载页面，查看客户端设置中的监听端口，再对照系统网络代理中的地址与端口。常见本机地址为 127.0.0.1，端口应以当前配置为准，不要因为教程里经常出现 7890 就直接覆盖现有值。客户端没有成功监听、端口被其他程序占用，或者系统仍指向上一款客户端，都会造成请求送到一个没人接收的位置。
Android 和 iOS 通常是在主界面点击“连接”或启动按钮，随后由系统弹出 VPN 配置或连接授权。确认发起授权的是当前使用的客户端，再按系统提示允许；授权后回到客户端观察是否显示已连接，系统也可能出现 VPN 状态标记。这里的 VPN 是系统提供的流量接管接口，不代表所有标有 VPN 的应用都使用相同协议或相同服务器。
如果设备已经运行另一个 VPN、企业网络隧道或同类代理工具，先确认是否允许同时使用。移动系统通常会限制多个 VPN 服务并行工作，后启动的服务可能替换前一个。若当前网络受单位或学校管理，不要擅自修改管理策略；先确认网络使用要求，再继续测试。连接按钮反复弹回关闭状态时，查看授权是否完成、后台运行是否受限，以及客户端是否报配置加载错误。
TUN 用于接管更多不遵循系统代理的应用流量，但首次跑通浏览器通常不必先开启它。需要 TUN 时，桌面客户端可能要求安装服务、授予管理员权限或允许虚拟网络设备。应按当前客户端文档完成授权，不要把系统代理与 TUN 当成必须同时点亮的两个进度灯。若开启后基础网络也出现问题，先关闭 TUN，回到系统代理路径确认配置可用，再到全平台指南处理路由、DNS 和权限细节。
第四步：验证请求、规则与实际出口
连接状态只是起点，最终要看真实请求。先在浏览器打开一个基础网络下就能访问的网站，确认没有把原本正常的网络破坏；再新开标签页访问希望通过代理连接的目标网站。为避免旧页面和已有长连接干扰，可使用新的隐私窗口或彻底刷新页面。目标网站能打开后，再进入客户端的“连接”或“日志”页面，不要仅凭开关颜色判断成功。
在连接列表中按目标域名查找刚产生的请求，观察命中的规则、所用策略组和最终节点。如果请求应当代理，却显示 DIRECT，回到第二步核对模式与分组；如果完全找不到请求，则检查浏览器是否读取系统代理、是否有代理扩展覆盖设置，以及当前窗口是否仍复用旧连接。连接列表有时只保留活动请求，页面加载完成后条目消失不一定是故障，可以在刷新时同步观察。
接着使用可信的出口 IP 查询服务，对比关闭和开启代理时的结果。规则模式下，查询站本身也可能命中直连，因此“地址没有变化”不自动等于代理失败；需要结合该请求的命中记录判断。确需做明确对照时，可以短时使用已选好节点的全局模式重新查询，再恢复规则模式。出口变化也只证明这一次请求的路径发生变化，不能推导为设备内所有应用都已被接管。
如果需要更精确地区分“内核能代理”和“浏览器已接管”，桌面端可以用终端对本机 HTTP 代理发起一次显式请求。下面的命令仅适用于当前 HTTP 或 mixed 监听端口确实为 7890 的情况；若端口不同，请先替换。示例域名用于测试 HTTP 响应，并不用于判断某个地区的可达性。
curl -I --proxy http://127.0.0.1:7890 https://example.comWindows 上若终端把 curl 识别成其他命令，可使用 curl.exe。收到 HTTP 响应说明该请求通过指定本机代理获得了响应，但仍需结合日志判断最终走直连还是节点。连接被拒绝时，先检查端口和内核运行状态；长时间超时则查看节点和目标站路径。这个测试不会自动改变系统代理，也不能代替浏览器测试，两条路径要分开理解。
最后再观察一次解析表现。网站能打开并不能单独证明 DNS 接管符合预期，DNS 检测页展示的解析器位置也不能直接当作泄漏定论。首次上手先保留可工作的配置；如果出现域名无法解析、只有部分站点异常，或确实需要检查 Clash DNS 泄漏，前往常见问题按现象排查，DNS 字段与网络栈概念则查阅名词解释。不要在尚未确认请求进入内核前，一次性更换全部 DNS 参数。
完成后：记录配置与安全退出
当目标网站可访问、连接记录与预期策略一致，并且基础网络仍然正常，首次配置就完成了。记录当前配置名称、运行模式以及代理组选择即可，不需要保存含完整订阅地址的截图。接下来再逐个测试日常应用：浏览器成功而某个程序失败，通常应先检查该程序的代理支持，而不是立刻更换整份订阅。
准备停止使用时，桌面端先关闭系统代理或通过客户端的正常退出入口恢复设置，再退出进程；移动端点击断开连接，确认系统 VPN 状态随之结束。若客户端异常退出后浏览器打不开页面，检查系统代理是否仍指向本机已停止的端口。恢复正常网络比连续重装更直接，配置文件也不必因此全部删除。
以后每次排查都沿用同一条顺序：订阅是否成功加载、模式与策略组是否正确、应用请求是否进入内核、规则与出口是否符合预期。只改一个变量，测试一次，再决定下一步。平台安装、TUN 和长期覆写配置继续阅读全平台指南；具体错误现象到常见问题检索。先保住一条可重复验证的连接路径，再增加复杂度。