Clash 客户端
Client application提供订阅导入、策略选择和连接管理界面的应用。界面中的操作通常会转换为配置文件或内核控制请求，实际支持的功能取决于客户端和内核的组合。不同客户端的设置位置、覆写方式和后台运行机制可能不同，不能把一款客户端的菜单路径直接套用到另一款。
配置字段与网络概念
Clash 名词解释
mihomo、订阅、规则、TUN 与 Fake-IP。按配置中的职责查阅，区分界面选项、内核行为和远端服务。
内核与客户端
客户端负责交互与配置管理，内核负责连接处理。排查功能差异时，需要同时确认两者。
mihomo
Proxy kernel用于处理代理连接、规则匹配和 DNS 请求的网络代理内核，项目曾使用 Clash.Meta 名称。它可以由图形客户端启动，也可以独立运行。教程中的字段能否使用，首先取决于当前内核是否支持；界面存在某个开关，并不意味着旧内核具有对应能力。
Clash Meta
Clash.Meta / historical project nameClash.Meta 是 mihomo 项目曾使用的名称，旧教程和部分客户端名称仍保留 Meta。看到 Meta 字样时，需要区分它指内核历史名称还是具体客户端。例如 Clash Meta for Android 是安卓客户端名称，不能仅凭名称判断其实际集成的内核版本与功能范围。
外部控制接口
external-controller供客户端或控制面板读取状态、切换策略和管理连接的 API，通常由 external-controller 指定监听地址。它不是用于转发浏览器流量的代理端口。仅本机使用时应限制在回环地址；向其他设备开放前，需要设置访问认证并限制可连接的来源。
代理协议
本地应用连接代理入口的方式，与内核连接远端节点的协议，是两个不同层次。
HTTP 代理
HTTP proxy / CONNECT应用把请求交给代理服务器处理的一种方式，访问 HTTPS 网站时通常使用 CONNECT 建立隧道。本地 HTTP 代理入口不等于客户端到远端节点使用的代理协议。浏览器可以连接电脑上的 HTTP 代理端口，再由 mihomo 按规则选择直连或通过其他协议访问远端。
SOCKS5
SOCKS version 5在应用和代理之间协商目标地址的协议，可以用于 TCP 转发，也定义了 UDP 转发机制。应用是否通过代理解析域名，需要单独确认。SOCKS5 本身不提供链路加密，UDP 能否实际转发还取决于应用、本地入口、所选出站和网络环境是否共同支持。
Shadowsocks
Encrypted proxy protocol一种加密代理协议，节点配置通常包含服务器地址、端口、加密方法和密码。客户端必须支持服务端使用的具体方法与扩展。导入后无法连接时，应检查加密方法、认证参数与传输选项，而不是只检查节点名称或重新选择规则模式。
Trojan
TLS-based proxy protocol通常基于 TLS 建立加密连接的代理协议。除服务器地址和密码外，还需要注意证书验证、服务器名称与传输设置是否匹配。遇到证书错误时，应核对设备时间、证书对应的域名和订阅参数，不宜直接把跳过证书验证作为常规处理方式。
规则与策略组
规则回答连接交给谁，策略组回答具体选择哪个出口。规则顺序和引用名称都影响最终结果。
规则分流
Rule-based routing / rules根据域名、IP、进程或其他条件，为连接选择代理、直连或拒绝等出站策略。规则通常从上到下匹配，前面命中的规则会决定该连接的处理方式。例如 DOMAIN-SUFFIX,github.com,Proxy 把该域名及其子域名交给名为 Proxy 的策略，前提是配置中存在这个策略名称。
策略组
proxy-groups把节点、其他策略组或内置策略组织成一个可被规则引用的出口名称。select 用于手动选择，url-test 根据探测结果选择，fallback 通常按候选顺序使用可用出口。自动策略的结果依赖测试地址与探测条件，不代表对所有网站都具有相同效果。
GeoIP
IP geolocation / GEOIP按 IP 地址所属地区进行匹配的数据和规则机制。结果取决于使用的数据文件，不能据此判断站点运营主体或用户的实际位置。GEOIP,CN,DIRECT 表示将命中该地区数据的目标交给直连策略；CDN、地址变更和数据更新滞后都可能影响判断。
规则集
rule-providers / RULE-SET把一组匹配条件放入独立文件，并通过 rule-providers 引入配置。rules 中使用 RULE-SET 引用对应名称，再指定命中后的策略。引入时要让文件内容与声明的格式、行为类型一致；更新规则集不等于更新节点订阅，两者的内容和用途不同。
DIRECT、REJECT 与 MATCH
Built-in policies / catch-all ruleDIRECT 和 REJECT 是内置出站策略，分别表示直连与拒绝连接。MATCH 是匹配所有剩余连接的规则类型，需要在后面指定策略，例如 MATCH,Proxy。它通常放在规则列表末尾；若放得过早，后面的普通规则就不会获得匹配机会。
DNS 与网络栈
域名解析、流量接管和出站选择需要配合设置。单独启用一个开关，不能说明整个访问路径已经改变。
DNS
Domain Name System把域名解析为地址等记录的系统。mihomo 的 DNS 模块可以结合分流配置选择解析路径，但启用该模块不等于所有应用都会使用它。系统解析器、浏览器安全 DNS 和应用内置解析可能形成不同路径，排查时应同时观察查询去向和最终连接的目标地址。
Fake-IP
Synthetic address mapping通过合成 IP 地址保存域名与连接之间的映射，供内核在收到连接后恢复目标域名。合成地址不是目标网站的真实地址，需要配合正确的流量接管路径。部分局域网服务或依赖真实解析结果的应用可能需要加入 fake-ip-filter，应按具体兼容问题设置，而不是整段关闭域名处理。
TUN 模式
Virtual network interface通过虚拟网络接口接收 IP 数据包的一种接管方式，可覆盖部分不读取系统代理设置的应用。实际覆盖范围受路由、权限、排除项和操作系统限制影响。它不等于全局代理模式：TUN 接入的连接仍可按规则直连、代理或拒绝，也需要注意与其他 VPN 的路由冲突。
DNS 泄漏
Unexpected DNS resolution path域名查询没有按预期的解析路径发送，而是到达其他解析服务的情况。排查时要检查系统 DNS、浏览器安全 DNS、应用内解析及 TUN 的接管范围。检测页面列出的解析服务位置不能单独作为结论，应结合预期策略、连接日志以及是否存在 IPv6 等旁路确认。
系统代理
Operating system proxy settings操作系统向应用提供的代理服务器设置。遵循这一设置的应用会把连接交给指定入口，不读取该设置的应用仍可能直接联网。因此，系统代理开启不等于所有流量均被接管；客户端退出后浏览器无法联网时，也应检查系统中是否仍保留指向已关闭端口的设置。
域名嗅探
sniffer / protocol metadata从部分连接的握手或协议元数据中识别目标域名，以辅助域名规则匹配。可识别的信息受协议、加密方式和客户端配置影响。它不是解密 HTTPS 正文的功能，也不能保证每条连接都能取得域名；启用后仍应结合 DNS 映射与连接日志检查实际命中的规则。
配置与订阅
订阅提供配置来源，YAML 描述结构，本地覆写保留设备差异。修改前先确认当前生效的配置文件。
订阅
Subscription URL / remote profile通过远程地址获取节点列表或完整配置的更新方式。订阅可能返回 YAML、编码后的节点列表或其他格式，不能只凭链接外观判断兼容性。导入成功只说明内容能够被读取，不代表节点一定可用；订阅地址还可能包含访问凭据，分享日志或截图时应隐藏完整链接。
节点
Proxy endpoint / proxies一条远端代理连接配置，通常包含服务器、端口、协议和认证参数。节点名称只是标签，不足以证明实际位置、出口特征或连接质量。节点能通过测试，也不意味着每个目标网站均可访问；具体结果还受目标限制、解析路径和规则所选策略影响。
延迟
Latency / URL test客户端按指定测试方法发起请求并等待响应所经历的时间。结果受测试地址、DNS、握手过程和线路状态影响，不等同于下载速度。不同客户端的测试结果不一定可直接比较；测试失败也可能是测试地址不可达，应再用实际目标和连接日志判断节点状态。
YAML
YAML / config.yaml以缩进表达层级的文本数据格式，Clash 配置常以 config.yaml 保存。缩进应使用空格，同级键保持对齐，列表项和字符串也需要遵循格式规则。能够通过 YAML 语法解析，不代表字段一定被内核支持；保存后还需查看配置加载结果与报错位置。
本地覆写
Profile override / merge在订阅原始配置之外，由客户端合并或修改指定字段的机制。适合保留本地规则、DNS 或端口设置，但具体合并行为取决于客户端实现。数组可能被替换，也可能被追加；修改后应查看最终生效配置，避免订阅更新或重复规则改变原本预期的匹配顺序。
混合端口
mixed-port通过 mixed-port 配置的本地监听入口，可在同一端口接收 HTTP 代理与 SOCKS5 连接。它与外部控制接口职责不同，不能使用同一监听地址和端口。修改端口后，需要同步调整手动填写代理的应用；若要让其他设备使用，还要检查监听范围、局域网权限和防火墙。