Clash 常用术语表

mihomo 是由 Clash Meta 演进而来的代理内核，负责读取配置、匹配规则、处理 DNS 并转发连接。Clash 生态中的多个图形客户端会集成这一内核，但界面名称不等于内核名称。查阅某个协议或配置字段是否受支持时，应确认实际运行的内核及其版本，而不只看客户端名称。

客户端提供订阅导入、节点选择、系统代理开关和日志查看等界面；内核执行配置中的网络行为。客户端更新可能同时更新内核，也可能只修改界面功能。遇到新字段不生效、启动失败或权限提示时，先分清报错来自配置解析、内核运行还是系统集成层。

节点是一组连接代理服务器所需的参数，通常包含服务器地址、端口、协议、认证信息及传输设置。多个名称不同的节点可能使用同一个服务端，名称本身不能证明线路位置或连接质量。分享日志和截图时，应遮盖节点中的密码、密钥与其他访问凭据，而不是只隐藏显示名称。

延迟测试通常记录通过节点访问指定探测地址的耗时，不应直接等同于 ICMP ping 或下载速度。吞吐测试则观察一段时间内能传输多少数据，还会受到目标服务器、拥塞和设备性能影响。比较结果时应尽量使用相同的测试地址与网络条件；一次超时也不能直接证明节点永久失效。

混合端口在同一个监听端口上接收 HTTP 代理和 SOCKS 代理连接，应用仍需按自身支持的代理类型填写设置。端口号只是本机服务入口，不是远端节点端口，也不能证明内核已经正常启动。其他设备能否访问该端口，还取决于监听地址、允许局域网连接设置和系统防火墙。

HTTP 代理由应用主动连接代理服务器，再通过代理发送请求；访问 HTTPS 网站时，通常使用 CONNECT 方法建立隧道。网站使用 HTTPS，并不等于应用到代理服务器这一段采用了 TLS。设置远程 HTTP 代理时，需要另外确认代理连接是否加密、是否要求认证，以及应用是否支持对应连接方式。

SOCKS5 是一种通用代理协议，可用于 TCP 转发，并定义了 UDP 关联机制。协议本身不提供传输加密，应用与代理实现也不一定都支持 UDP。域名是在本地解析还是交给代理处理，取决于应用发送的地址类型；因此填写同一个 SOCKS5 地址，不代表所有应用都会使用相同的 DNS 路径。

Shadowsocks 使用约定的加密方法和认证参数在客户端与服务端之间传输代理流量。地址、端口、加密方法以及密码或密钥必须与服务端一致，不同方法不能随意互换。某些部署还需要额外的插件或传输参数；导入后无法连接时，应检查完整节点定义，而不是反复修改节点名称。

Trojan 的常见部署通过 TLS 承载代理连接，配置通常包含服务器地址、密码以及用于 TLS 的服务器名称。连接地址与证书对应域名可能不同，因此还需要核对 SNI 等设置。遇到证书验证失败，应先检查设备时间、域名与证书链，不应把跳过证书验证作为长期解决方案。

Hysteria 2 是基于 QUIC 的代理协议，其连接依赖 UDP，因此网络对 UDP 的限制可能直接影响可用性。认证信息、TLS 和可选混淆设置都需与服务端匹配，第一代与第二代协议也不能按同一种配置处理。只有此类节点超时时，可优先检查 UDP 通路，再对照内核日志定位握手阶段。

规则分流在规则模式下按顺序检查连接条件，并把命中的连接交给指定策略。例如 DOMAIN-SUFFIX,example.com,PROXY 将对应域名及其子域名交给名为 PROXY 的策略。较宽泛的规则可能提前接住流量，因此排查出口不符时，应先看连接记录实际命中的规则，而不是只确认某条规则是否存在。

策略组将多个节点或其他策略组织成一个可供规则引用的出口集合。select 用于手动选择，url-test 根据探测结果选择，fallback 侧重按候选顺序进行可用性切换。自动测试表现取决于探测地址及参数，不代表每个网站都会获得相同效果；修改组内选择也未必改变已经建立的连接。

GeoIP 根据 IP 数据库判断目标地址所属地区，常见规则如 GEOIP,CN,DIRECT。域名连接是否触发额外解析，与内核行为及 no-resolve 等参数有关；数据库结果也可能因地址调配或 CDN 调度而偏离预期。它适合做范围判断，但不能把 IP 归属结果直接当作网站运营主体所在地。

规则集把一批匹配条件从主配置中拆出，通过 rule-providers 声明来源，再用 RULE-SET 引用。内容格式要与所声明的行为类型及文件格式匹配，例如域名集合与经典规则集合不能随意混用。规则集更新成功只说明内容已取得，是否影响某条连接仍取决于它在主规则列表中的引用位置。

MATCH 接住此前没有命中其他规则的连接，因此应放在规则列表最后一行。兜底目标可以是代理策略组，也可以是 DIRECT 或 REJECT，取决于希望采用的默认行为。如果把它放在域名规则之前，后面的规则通常就没有机会处理连接；调整顺序后，应重新建立连接验证匹配结果。

DNS 用于将域名解析成 IP 地址，解析过程可能经过系统解析器、客户端内置解析器或浏览器的安全 DNS。DNS 查询走哪条路径，与最终网站连接走哪个出口是两个问题。域名打不开而 IP 可连接时，可以检查解析结果和解析器可达性，但直接访问 IP 也可能因 HTTPS 证书或虚拟主机机制而失败。

Fake-IP 在 DNS 查询时返回一个用于映射的地址，连接到达内核后，再根据映射找回原始域名并执行后续处理。这样可以保留域名信息，并在部分场景中减少对本地真实地址解析的依赖。对局域网服务或依赖真实解析结果的应用，可按需调整 fake-ip-filter；更改模式后还需注意系统和应用中的 DNS 缓存。

DNS 泄漏通常指域名查询绕过了预期的解析路径，例如应用仍把查询发给原来的网络解析器。检查时应同时关注系统 DNS、浏览器安全 DNS、IPv6 及 TUN 的接管范围。测试页面显示的解析器位置只能提供线索，不能仅凭一个地区名称下结论；必要时应结合日志或抓包确认查询实际发往何处。

TUN 模式通过虚拟网络接口接收 IP 流量，使未主动使用系统代理的应用也有机会进入内核处理。实际覆盖哪些连接，还取决于系统权限、路由、排除项和 DNS 设置。启用 TUN 不等于自动支持所有网络行为；与其他 VPN 同时运行时，应检查路由冲突，且不要把虚拟接口本身当成远端加密隧道。

系统代理把本机代理地址告知遵循系统设置的应用，并不会强制接管所有程序。浏览器可能遵循该设置，而命令行工具、游戏或自带代理选项的软件可能采用其他路径。若只有个别应用没有流量记录，应先检查应用自己的代理机制；客户端异常退出后无法直连时，也要检查系统是否仍保留旧代理地址。

订阅通过一个远程地址提供可更新的节点或配置内容，但不同服务返回的格式并不统一。有的链接返回完整 Clash 配置，有的只返回节点列表，需要客户端具备相应的导入能力。订阅地址可能包含访问凭据，应像密码一样保管；更新失败时先区分网络请求失败、账户状态异常和内容解析失败。

YAML 是 Clash 配置常用的结构化文本格式，使用缩进表示层级，用连字符表示列表项。缩进应使用空格；包含特殊字符的值可能需要引号，重复键也可能造成报错或覆盖。YAML 语法通过只说明文本结构能够解析，不代表字段名称、引用关系或节点参数都正确，还需让实际内核检查配置。

配置文件通常描述监听端口、节点、策略组、规则和 DNS 等设置，也可以通过外部集合补充部分内容。客户端可能同时保存多个文件，但内核使用的是当前选中的配置及客户端合并后的结果。修改文件后没有变化时，应确认已保存、已切换到该配置并成功重载，而不是只检查编辑器中显示的内容。

代理集合把节点来源与主配置分离，可从远程地址或本地文件加载节点，再由策略组通过 use 引用。它提供的是代理候选项，而 rule-providers 提供的是匹配条件，两者用途不同。集合下载成功但组内没有节点时，应检查文件内容格式、策略组引用名称以及节点过滤条件。

配置覆写是在基础配置或订阅之外保存本地修改，并在更新或加载时合并到最终配置的机制。它常用于保留自定义 DNS、端口和规则，但不同客户端可能采用不同的合并顺序，对数组也可能执行替换而非追加。设置完成后应检查最终生效配置；不要仅凭覆写文件存在，就认定自定义规则已经进入内核。