Clash 全平台
安装配置指南

通用准备工作

客户端、内核与订阅

Clash 生态里的客户端负责提供界面、保存配置和调用系统网络能力；内核负责解析配置、匹配规则并建立连接。下载一个客户端，并不等于已经取得可用的代理服务。实际连接还需要有效的节点配置或订阅链接，以及允许使用该服务的网络环境。建议先从客户端下载页选择对应平台的程序，再准备服务商提供的订阅。Windows、macOS、Android 和 iOS 优先查看 Clash Plus；Linux 可先查看 Clash Verge Rev。名称相近的程序不一定使用相同内核，配置是否兼容要看实际支持的协议与字段。

订阅可能是一份完整的 Clash YAML 配置，也可能只包含节点，或需要服务商指定的格式入口。导入前确认链接用途，不要把账户管理页面、付款页面或网页分享地址当成订阅地址。链接通常包含账户识别信息，应当像密码一样保管。排错时只描述返回状态和错误文字，不把完整地址贴到公开讨论区；配置截图也要遮住节点密码、令牌和管理接口密钥。若地址已公开，优先在服务商后台重置，再更新客户端中的旧记录。

系统架构与安装范围

下载前先确认系统架构与安装包类型。Windows 常见的是 x64 与 ARM64；Mac 要区分 Apple Silicon 和 Intel；Android 要核对 ARM64、ARM 或通用包；Linux 还要考虑发行版的软件包格式。处理器架构和系统位数不是仅凭设备外观就能判断的，优先查看系统“关于”或执行系统命令。下载页列出的包才是本站提供的范围，某个客户端没有对应架构入口时，应换用支持该设备的客户端，而不是把其他平台的文件改名后尝试安装。

订阅导入与首次检查

在客户端的配置或订阅页面新增记录，选择通过 URL 导入，粘贴链接后执行下载。成功后先看是否出现配置名称、更新时间以及代理组，再把这份配置设为当前使用项。有些客户端将“添加记录”和“启用配置”分成两步，只完成下载不会改变正在运行的配置。若导入本地文件，保留原始文件作为备份；直接编辑客户端生成的运行配置可能在下次更新时被覆盖，长期修改应使用客户端支持的覆写、合并或脚本机制。

导入失败时先检查设备时间、基础网络和链接是否完整。订阅服务器返回网页时，客户端往往报告解析错误；这与节点连不连接是两件事。不要把所有失败都归因于格式，也不要反复更换内核掩盖账户过期的问题。先确认订阅仍有效，再检查客户端日志中的网络错误或字段提示。需要代理才能更新订阅的环境，应先使用已有可用配置建立连接；首次安装没有连接条件时，可按服务商允许的方式下载配置文件后本地导入。

代理组、模式与验证顺序

首次连接推荐规则模式，并在配置提供的选择组里手动选一个可用节点。全局模式可以作为短时对照，但会改变原本直连的请求路径；直连模式则不会使用代理节点。延迟测试只反映测试地址的连接情况，不代表所有网站都能正常访问，也不代表实际下载速度。先打开一个熟悉的网站，再查看连接记录中的规则和出口；确认请求经过目标代理组后，才考虑换地区、协议或测试地址。节点选择的具体取舍可参阅延迟、倍率、地区与协议对照。

Windows 安装配置

下载、安装与迁移

进入Windows 下载区，先查看 Clash Plus，再根据需要比较 Clash Verge Rev、FlClash 和 Clash Nyanpasu。下载前在“设置 → 系统 → 关于”核对系统类型，并按下载页实际提供的安装包选择。安装时注意目标目录和权限提示，完成后从开始菜单启动。便携包则应解压到稳定的本地目录，不要直接在压缩文件预览里运行，也不要放在会被自动清理的临时目录。安全软件出现提示时先确认文件来源与具体行为，不建议直接关闭整个防护系统。

Clash for Windows 已停止维护，归档包更适合了解旧环境，不宜作为新设备的默认选择。迁移到维护中的客户端时，先备份订阅地址、规则修改和代理组选择，再退出旧程序并关闭其系统代理。不同客户端的数据库与界面配置未必相通，可靠的迁移方式通常是重新导入订阅，而不是复制整个程序目录。旧配置若使用特定脚本或字段，应逐项确认新内核是否支持；界面主题、快捷键和启动设置一般需要重新设置。

导入订阅与系统代理

在配置页添加订阅、执行更新并启用后，进入代理页选择规则模式和可用节点。随后在设置或主页开启系统代理，并核对客户端显示的监听端口。Windows 的系统代理主要影响遵循系统代理设置的程序，不会自动接管所有网络流量。浏览器里若安装了独立代理扩展，它可能覆盖系统设置；排错时先让浏览器使用系统代理，避免两个配置来源同时生效。其他 VPN、加速器或旧客户端也可能反复改写代理地址，应先退出再验证。

可在 Windows 的网络与 Internet 设置中检查手动代理地址是否指向本机，以及端口是否与客户端一致。若地址为本机但程序已退出，浏览器会尝试连接一个不存在的服务，看起来就像网络完全断开。此时先关闭系统代理恢复基础网络，再重新启动客户端。不要把浏览器能打开网页当成配置必然正确：请求可能走了直连，也可能命中了缓存。打开客户端连接列表，观察新请求对应的规则与策略，能更明确地判断实际路径。

TUN、服务模式与权限

需要处理不遵循系统代理的软件时，可以在客户端支持的情况下启用 TUN。它通过虚拟网卡和路由接管流量，权限要求通常高于普通系统代理。有些客户端需要先安装辅助服务，有些需要管理员授权；具体以当前界面的提示为准。开启后检查日志是否报告网卡创建、路由添加或 DNS 设置失败。持续用管理员身份运行整个界面不一定是最佳办法，若客户端提供服务模式，应按其说明配置服务，再检查服务是否正常启动。

TUN 与其他 VPN 同时运行时可能争用默认路由，企业安全软件也可能限制虚拟网卡。测试前记录原有 VPN 和网络设置，然后暂时只保留一个流量接管工具。若开启 TUN 后断网，先关闭 TUN，确认系统代理是否仍能工作，再分别检查权限、路由与 DNS。能用系统代理但不能用 TUN，通常不必重新购买订阅或反复重装客户端；这说明节点链路可能正常，问题更接近本机接管层。

UWP 回环与命令行代理

部分运行在 Windows 应用容器中的程序不能直接访问本机代理端口，表现为浏览器可用而某个商店应用失败。先确认该应用是否属于受限制的应用容器，再考虑客户端提供的回环豁免工具。不要一次给所有应用放开访问，应只为明确需要的应用配置。TUN 是另一种处理思路，但需要客户端和系统环境支持，也仍要检查路由。普通桌面软件、浏览器扩展冲突与应用容器限制不是同一种问题，不能只看到“商店下载的程序”就认定必须豁免。

命令行工具也不一定读取 Windows 系统代理。可以先用显式参数测试本机 HTTP 代理，下面的端口必须替换为客户端实际显示的端口。使用 curl.exe 可以避免某些 PowerShell 环境里同名别名造成混淆。若显式代理成功而普通调用失败，就应查看该工具支持的环境变量或配置，而不是继续修改订阅。

curl.exe --proxy http://127.0.0.1:7890 --head https://example.com

开机自启与退出恢复

完成手动连接后再启用开机自启，并分别确认“启动客户端”“启动内核”和“恢复系统代理”的实际含义。登录启动不一定等于系统服务启动，辅助服务也不一定替你选择配置。重启后检查托盘图标、当前配置和代理开关，再做一次请求验证。退出程序前可先关闭系统代理和 TUN，尤其是迁移或卸载时；如果卸载后仍无法联网，优先检查残留系统代理与 VPN 路由，而不是立即重置全部网络设置。

macOS 安装配置

芯片选择与首次启动

打开“关于本机”查看芯片或处理器信息，再进入macOS 下载区选择安装包。Clash Plus 为首推入口，Clash Verge Rev 和 FlClash 可作为其他选择；ClashX Meta 已停止维护，使用归档环境时需留意兼容性。Apple Silicon 与 Intel 安装包不能仅按文件大小判断。系统是否允许通过兼容层运行其他架构程序，要看应用自身要求；已有原生包时优先使用对应架构。安装前退出旧客户端，避免两个菜单栏程序同时监听端口或设置代理。

常见安装方式是打开磁盘映像，把应用拖入“应用程序”后启动。不要长期从映像内运行，否则卸载映像、重启或更新时容易找不到程序。首次打开遇到安全提示，先确认下载来源，再按系统“隐私与安全性”中允许的操作处理。不要为单个应用关闭系统整体安全机制。若提示应用损坏，也应先重新下载并核对系统兼容要求，而不是立即执行网上的批量解除限制命令；这类命令可能影响超出预期的文件范围。

配置启用与网络服务代理

在配置页导入订阅后，选中当前配置，再从代理页选择规则模式和节点。开启系统代理后，核对当前使用的网络服务：Wi-Fi、有线网卡、扩展坞接口和其他网络位置可能各有代理设置。某些客户端会代为设置当前服务，但切换网络后仍应检查是否保持一致。浏览器能够访问、终端却失败时，先分别看它们是否读取系统代理，不要把两个应用的结果当成同一条网络路径。

在系统设置的网络详情中检查网页代理、安全网页代理或 SOCKS 代理是否与客户端的监听能力一致。若使用混合端口，它可以接收 HTTP 与 SOCKS5 请求，但两种协议仍需在正确的系统字段中填写。地址通常为本机回环地址，不应填订阅服务器地址；订阅地址负责取得配置，并不是本地代理服务的监听位置。切换客户端后尤其要重新核对端口，旧软件的默认值不能直接当作新软件的设置。

辅助服务与 TUN 接管

TUN 或增强接管通常需要额外网络权限，有些客户端会安装辅助服务。授权前看清正在请求权限的程序，并确认它来自刚安装的客户端。授权后若开关立即回到关闭状态，查看日志里的服务连接、网卡创建和路由信息。菜单栏显示正在运行，不代表辅助服务一定可用；更新、迁移应用位置或恢复备份后，服务与主程序之间也可能出现不一致。应优先使用客户端提供的服务检查与修复入口。

公司设备上的管理策略可能限制代理、网络扩展或辅助服务，这类限制不能靠反复点击开关解决。应在设备管理允许的范围内使用客户端。其他 VPN、虚拟机软件和容器网络也会添加路由，TUN 启用后如果只有部分网段异常，先观察受影响的目标地址与现有路由。不要直接清空系统全部路由；先退出其他网络接管程序做对照，能保留问题的证据，也方便恢复原来的工作环境。

终端、DNS 与网络切换

终端工具往往需要显式代理。下面的命令仅用于核对本机监听与请求链路，端口以客户端为准；第二条读取当前系统代理信息，不会修改设置。若请求成功，下一步再按具体工具支持的方式配置代理。把变量写进 shell 配置会影响之后的终端会话，因此应先在当前窗口临时测试，确认退出客户端时如何清除，避免开发工具一直连接到已关闭的本地端口。

curl --proxy http://127.0.0.1:7890 --head https://example.com
scutil --proxy

切换 Wi-Fi、连接手机热点或从睡眠恢复后，客户端可能需要重新建立连接。先检查本机基础网络，再看内核与代理开关；若只有域名访问失败，查看 DNS 日志与当前网络的解析设置。酒店或公共网络可能要求先完成网页认证，此时可临时关闭代理进入认证页，认证完成后再恢复。不要因为某个网络里的认证页打不开就长期修改所有网络的 DNS，这会把局部问题扩散到其他环境。

登录启动、迁移与卸载

需要登录启动时，在客户端设置与系统登录项中核对实际状态。关闭窗口可能只是隐藏界面，真正退出通常要通过菜单栏操作；判断是否仍在代理，应看内核和监听状态，而不是桌面上有没有窗口。迁移到其他客户端前备份订阅与本地规则，并关闭旧程序的系统代理。卸载时按客户端提供的方式移除辅助服务，之后检查当前网络服务中是否仍保存本机代理。只有仍存在具体残留时才处理对应项目，不必为一次软件迁移重建整个网络环境。

Android 安装配置

安装包架构与客户端选择

从Android 下载区先查看 Clash Plus，再按配置需求选择 Clash Meta for Android、FlClash 或 Surfboard。ARM64 适合相应的六十四位环境，ARM 包用于对应环境，通用包则在客户端提供时供不确定架构的设备选择。硬件支持六十四位并不必然说明系统允许安装所有 ARM64 应用，老设备或特殊系统还要核对实际运行环境。出现“无法安装”时先看系统兼容性、剩余空间和签名冲突，不要反复把同一个包重新命名后安装。

通过安装文件更新应用时，包名与签名必须匹配原应用。来自不同分支或不同签名的包可能无法覆盖安装；卸载前先备份订阅和本地修改，因为应用数据可能随卸载删除。系统要求授权安装来源时，只给实际用于打开安装包的文件管理器或浏览器授权，安装完成后可以收回该权限。不同 Android 品牌的菜单位置有变化，但检查目标始终是来源权限、应用兼容性和已有安装记录，而不是关闭所有安全提示。

订阅、活动配置与规则

进入配置页，使用远程订阅入口添加链接并下载，然后明确选中要运行的配置。下载成功后先打开代理页，看是否出现预期的代理组和节点，再启动连接。Clash Meta for Android 与 FlClash 的入口名称可能不同，操作顺序却类似：取得配置、设为活动项、选择策略、请求系统授权。Surfboard 的配置格式和 Clash YAML 并不等同，使用它时应取得服务商明确支持的格式，不要把不兼容的文件直接导入后再试图靠切换模式修复。

远程更新通常会替换订阅内容，本地改名、规则追加与选中状态是否保留取决于客户端实现。需要长期维护的规则，应放在客户端支持的独立覆写或本地配置里，并在更新后检查实际生效结果。服务商有时会调整代理组名称，旧选择可能因此失效；看到节点仍在列表里，却没有预期出口时，先看当前组引用关系。不要只检查一个节点的测试按钮，还要确认最终规则确实指向该组。

VpnService 授权与接管范围

Android 通常通过系统 VpnService 把流量交给客户端。首次连接会弹出 VPN 连接请求，确认后系统可能显示钥匙或 VPN 状态标识。这表示系统允许建立本地接管通道，不表示代理节点已经连接成功。授权被拒绝时，可再次点击启动并查看系统提示；若设备处于工作资料、受管理模式或已有始终开启的 VPN 策略中，是否允许新连接要由系统策略决定。不要把策略限制误当成订阅格式错误。

同一用户环境通常只能有一个活动的 VpnService 服务，广告过滤器、防火墙或另一款 VPN 可能使用相同入口。测试时先关闭其他相关应用，再启动当前客户端。按应用代理功能如果可用，要仔细区分“仅代理选中应用”和“排除选中应用”；两种列表的语义相反，容易把需要使用代理的程序排除出去。修改列表后有些客户端需要重新连接才会应用，验证时应重新打开目标应用并观察新的连接记录。

后台保活与息屏断连

安装成功且亮屏时可用，息屏一段时间后失效，优先检查电池优化与后台限制。到系统应用信息页允许后台活动，并按品牌系统提供的入口设置电池优化例外、自启动或后台锁定。这些选项不一定全部存在，也不保证任何情况下都能常驻，应以设备实际行为为准。系统通知中的前台服务提示通常与持续运行有关，不建议为了隐藏状态就随意禁用必要通知。后台限制和通知权限是不同设置，排错时分别记录。

可以做一次可重复的测试：连接后记录时间，让屏幕关闭，稍后打开同一个应用查看是否恢复，再查客户端日志是否出现重新启动或网络切换。若进程仍在却只在移动网络下失败，应转而检查流量权限、数据节省与网络条件；若进程消失，则更接近系统回收问题。相关操作可继续参阅VpnService 授权与省电白名单说明，但具体菜单应按当前设备查找。

热点共享、DNS 与断开恢复

手机上的 VPN 状态不等于通过热点连接的其他设备也使用该代理。热点转发的流量可能不进入应用的 VpnService 接管范围，不能仅凭手机自身能访问就判断共享成功。若要让平板接入电脑代理，应按局域网共享方案设置平板的代理地址和端口，并确认电脑允许接入。Android 的私人 DNS、浏览器安全 DNS 与客户端 DNS 也可能形成不同解析路径；只在出现明确域名错误时逐项做对照，不要一次关闭所有解析功能。

退出、卸载或迁移前，先停止当前连接，并检查系统 VPN 页面是否还保留需要处理的配置。保留备份时只保存必要的订阅与本地规则，不要把含账户信息的导出文件留在共享存储或自动公开的目录。完成迁移后重新确认应用代理范围与后台权限，旧客户端的系统权限通常不会自动转移给新客户端。

iOS 安装配置

商店安装与设备兼容

iPhone 和 iPad 可以从iOS 下载区进入 Clash Plus 的商店页面，也可以直接查看Clash Plus App Store 详情。官网为 clashplus.io，需要了解产品入口时可核对该域名。安装前看商店显示的设备与系统兼容性，系统要求以当前商店信息为准，不应沿用其他平台安装包的要求。完成安装后先打开应用，再准备导入订阅；系统中已经有 VPN 配置时，先记下现有用途和连接状态。

本页讨论的是设备上的客户端与系统连接设置，代理服务仍需有效配置。商店安装成功、应用可以打开和节点可以连接是三个不同的检查点。若应用打不开，先查设备存储、系统兼容与安装状态；若应用能打开而订阅下载失败，查链接与网络；若订阅已有节点而连接失败，再查授权与节点链路。按这个顺序定位，能避免把一个安装问题扩大为账户或网络的全面重配。

订阅导入、更新与选择

在 Clash Plus 中找到配置或订阅入口，按当前界面提供的方式添加远程链接。粘贴前确认复制的是完整订阅地址，而不是消息里的说明文字；完成下载后查看配置是否被启用，并核对代理组是否出现。若界面支持文件导入，可以使用服务商提供的兼容配置文件。链接返回格式必须与当前客户端支持的格式一致，不能因为名称里都有 Clash 就认定任何订阅都能使用，尤其是使用了较新协议或内核专用字段的配置。

更新订阅前，记录自己选中的代理组与必要的本地设置。配置更新可能带来节点更名、分组调整或规则变化，更新后应检查是否仍选择了原本想用的出口。订阅里有多个选择组时，应看最终请求匹配哪个组，而不是只在首页选一个看起来延迟较低的节点。自动选择组也可能依照测试目标重新选择出口，如果需要固定地区或固定连接行为，应使用配置提供的手动选择组，并确认该组被规则实际引用。

VPN 授权与连接状态

首次启动连接时，应用可能请求添加 VPN 配置，系统会要求确认或设备认证。完成授权后回到应用继续连接，并查看系统设置中的 VPN 状态。这个系统入口是接管流量的权限，不是向代理服务商提交账户密码的步骤。若授权弹窗没有出现或连接立即断开，先查看系统是否已有其他活动 VPN、管理策略或待确认的配置，再检查应用内错误信息。重复导入同一订阅通常不能解决系统权限问题。

iOS 上的连接路径与桌面系统代理不同，通常依赖系统允许的网络扩展。下文所说的桌面 TUN 开关、服务安装与命令行环境变量，不应直接照搬到手机。应用若提供按需连接、规则或其他网络选项，要按当前功能说明配置；启用之前先了解它在 Wi-Fi、蜂窝网络和设备锁定时的行为。已有企业 VPN 或受管理配置的设备，应遵守设备管理要求，不要为了让两个接管工具同时运行而删除工作所需配置。

Wi-Fi、蜂窝网络与域名排错

首次验证时可以先使用稳定的 Wi-Fi，选择规则模式和一个可用节点，再打开目标网站并查看连接记录。之后切换到蜂窝网络做同样的测试。如果只有一个网络下失败，先看该网络的基础可达性与应用蜂窝数据权限；如果两个网络都失败而其他设备用同一节点正常，再查当前设备的配置与授权。网络切换会中断已有连接，短时重连与持续无法联网应分开记录，不能仅凭切换瞬间的失败就认定订阅过期。

公共 Wi-Fi 常带认证门户，应先完成基础网络认证，再开启代理。如果认证页面在代理开启后打不开，可以暂停连接处理认证，然后恢复。域名解析问题则应查看客户端是否报告 DNS 错误，以及相关隐私或网络功能是否影响了请求路径。不要把“某一个网站打不开”直接等同于系统 DNS 故障：它可能命中了直连规则，也可能拒绝当前出口。对照规则模式与短时全局模式的结果，并看连接日志，通常比反复更换系统设置更有信息量。

后台连接与家庭设备共享

关闭应用界面不一定停止已经建立的网络扩展，真正断开应使用连接开关或系统 VPN 页面核对。强制结束应用后连接是否保留，要看当前实现与系统状态，不能用界面是否在后台来判断全部流量。长时间未使用后恢复时，先看 VPN 状态，再检查订阅是否仍有效。应用更新或系统更新后如果连接异常，可先断开再重新连接，并保留具体错误文字；只有出现明确配置或授权问题时才处理对应项。

需要让 iPhone 或 iPad 使用电脑上的代理时，可在可信局域网的 Wi-Fi 详情中设置手动 HTTP 代理，填写电脑的局域网地址与实际监听端口。这个方式只影响遵循该 Wi-Fi 代理设置的请求，不等同于手机客户端的完整接管，也通常不会延伸到蜂窝网络。离开该网络前恢复代理设置，避免设备下次连接时仍寻找已关机的电脑。共享的完整边界与防火墙说明见混合端口与局域网共享教程。

Linux 安装配置

桌面客户端与命令行路线

Linux 先按使用环境选择路线：桌面用户可以从Linux 下载区查看 Clash Verge Rev，再查看 FlClash；服务器、路由器或需要脚本管理的环境，可到内核下载区选择 mihomo。图形客户端负责配置管理和交互，命令行内核则需要自行管理文件、进程与系统接管。并非安装内核就会自动设置桌面代理。开始前执行 uname -m 查看架构，并核对发行版支持的软件包格式，不能把 DEB 与 RPM 当成通用安装文件。

桌面安装优先使用发行版的包管理工具，让依赖和卸载记录得到管理。以下载页实际提供的文件为准，通过系统软件安装器打开，或在下载目录调用包管理器；不要从不明脚本直接授予管理员权限。安装后若程序无法启动，先从终端运行对应启动命令观察缺失库或图形环境错误。服务器上缺少图形会话时，桌面程序无法显示并不是内核不支持 Linux，应改走命令行路线，而不是继续安装无关的桌面组件。

桌面订阅与应用代理

图形客户端中的订阅导入与其他桌面平台相似：新增链接、下载、设为活动配置，再选规则模式与节点。开启系统代理后，应核对当前桌面环境的网络代理设置。GNOME、KDE 与独立应用对系统代理的读取方式并不完全相同，终端、容器和系统服务通常也不会自动继承桌面设置。先用浏览器验证，再用显式代理参数测试命令行工具，可以把节点问题和应用未接入的问题分开。

如果图形客户端支持 TUN，应检查辅助服务、内核权限及路由，而不是只看开关是否点亮。Linux 中创建 TUN 设备通常涉及 /dev/net/tun 与网络管理权限，容器还需要宿主明确授权。将普通应用长期整体提权并不是所有环境下都合适，应采用客户端提供的服务方式，或在明确理解权限范围后配置。SSH 远程操作尤其要保留恢复路径，不要在唯一连接通道上直接尝试改写默认路由。

mihomo 文件布局与配置验证

命令行部署先把对应架构的内核解压，并放入固定位置。下面采用 /usr/local/bin/mihomo 与 /etc/mihomo/config.yaml 作为示例路径，前者是可执行文件，后者是配置文件；路径可按自己的管理方式调整，但命令与服务文件应保持一致。准备目录后，把已取得的兼容配置保存到指定文件，再进行语法测试。测试通过只说明配置可以被加载，并不证明节点账户或目标网络可用，正式启动后仍需观察日志和实际请求。

sudo install -d -m 700 /etc/mihomo
sudo chmod 755 /usr/local/bin/mihomo
sudo /usr/local/bin/mihomo -t -d /etc/mihomo -f /etc/mihomo/config.yaml

若只想确认内核是否能够启动，可以使用下面的最小直连配置。它不包含代理节点，不会提供代理出口；作用是验证监听、日志和基础配置格式。实际使用时应换成有效订阅配置，或在理解字段关系后加入节点与代理组。监听仅绑定本机并关闭局域网访问，适合先建立安全的测试起点，不应为了方便就把管理接口暴露在公网。

mixed-port: 7890
allow-lan: false
bind-address: 127.0.0.1
mode: rule
log-level: info
rules:
  - MATCH,DIRECT

systemd 常驻与日志

使用 systemd 的发行版可以把内核做成服务。下面示例适合本机 HTTP 或 SOCKS 监听、不启用 TUN 的起步环境，以非特权的动态用户运行；配置所在目录必须允许服务用户读取，且配置中的文件路径应可访问。示例通过状态目录保存运行数据，把配置与可写数据分开。需要读取本地规则文件时要另行设置对应读取权限，不应直接把含凭据的整个目录改成所有人可写。

[Unit]
Description=mihomo local proxy
Wants=network-online.target
After=network-online.target

[Service]
Type=simple
DynamicUser=yes
StateDirectory=mihomo
ExecStart=/usr/local/bin/mihomo -d /var/lib/mihomo -f /etc/mihomo/config.yaml
Restart=on-failure
RestartSec=5
NoNewPrivileges=yes

[Install]
WantedBy=multi-user.target

将文件保存为 /etc/systemd/system/mihomo.service。由于前面的目录权限为仅管理员可读，启用此动态用户示例前，需为服务提供可读取的配置：可用 systemd 凭据机制，或改为专用固定用户并授予精确读取权限；不要原样启用却忽略权限差异。专用用户方案中应同步调整服务的用户字段与目录所有权。TUN 部署还需额外网络权限和路由设计，本示例不覆盖该场景。权限确认后执行重载、启用与日志查看，失败时先读具体报错。

sudo systemctl daemon-reload
sudo systemctl enable --now mihomo
sudo systemctl status mihomo
sudo journalctl -u mihomo -b --no-pager

远程安全与更新恢复

服务启动后用显式代理请求验证监听，不要先修改服务器全部出站路由。若需要共享，限定监听网卡、来源网段和防火墙规则；管理接口与代理端口用途不同，应分别限制。更新内核前备份配置与服务文件，停止服务后替换二进制，再做配置测试并启动。出现错误可恢复原文件，避免只靠重启掩盖兼容问题。桌面和命令行的完整取舍可参阅Linux 图形客户端与 systemd 部署说明。

配置问题与检查顺序

端口、规则与覆写

配置问题先分清层级：文件能否解析、节点能否连接、规则是否选择预期出口、应用是否接入本机代理。混合端口用于接收 HTTP 与 SOCKS5 请求，系统代理负责告诉部分应用连接哪个地址，TUN 则在更底层接管流量。它们互相关联，却不能相互替代。日志报告监听失败时先查端口占用；报告找不到策略时查代理组引用；请求已经进入连接列表但出口不对时查规则顺序。只有先确定故障层级，改动才有明确目的。

规则通常按从上到下的顺序匹配，最终的 MATCH 应放在需要优先处理的规则之后。规则中的出口名称必须精确对应已有节点或代理组，大小写、空格与重命名都可能影响引用。下面示例里的 PROXY 必须是当前配置中已经定义的策略；它不是内核自动创建的通用出口。修改远程订阅时还要核对客户端覆写顺序，运行配置与订阅原文不同可能是正常合并结果，应查看最终生效配置再判断。

rules:
  - DOMAIN-SUFFIX,github.com,PROXY
  - GEOIP,CN,DIRECT
  - MATCH,PROXY

常见问题逐项检查

日志、回退与继续查阅

记录问题时保留系统、客户端名称、内核信息、接管方式、目标应用和最短复现步骤。日志先使用通常的运行级别，只有需要时才临时增加细节，并在分享前删去账户信息。连接记录里没有请求、请求命中错误规则和节点握手失败，是三条不同分支；按分支处理比反复重装有效。内核字段差异可参阅原版、Meta 与 mihomo 兼容说明，术语含义可查术语手册。

遇到暂时无法定位的问题，先恢复到最近一次可用状态：关闭新加的接管功能、恢复备份配置，并确认系统代理没有指向已经退出的程序。恢复联网之后，再逐步重现问题。需要重新选客户端时查看选型指南；只想重新走一遍操作主线，可以回到快速上手。下载、配置与系统权限分开处理，能让下一次迁移和更新都有清楚的参照。