Shadowsocks
常简称 SS，以加密代理传输为基础，节点通常需要服务器地址、端口、加密方法与密码。加密方法必须与服务端匹配，部分节点还依赖额外插件，不能只复制地址和密码。遇到配置能导入但连接失败时，应核对内核是否支持该加密方法及插件，而不是反复修改分流规则。
配置概念 · 25 个术语
Clash 术语表
代理协议、内核与配置字段的分类索引。先区分概念所在层级，再核对客户端中的实际设置；协议名称相同，不代表传输参数和内核支持范围完全一致。
代理协议
协议定义客户端与服务端如何交换代理数据。传输方式、认证与证书属于相关但不同的配置层，不能仅凭协议名判断连接性能。
VMess
V2Ray 体系中的代理协议，使用 UUID 等参数标识用户，常与 WebSocket、TLS 等传输设置一起出现。VMess 是协议，WebSocket 是传输方式，两者不能互相替代。迁移旧配置时要核对认证相关字段、传输路径与系统时间；内核能识别协议名称，也不意味着所有历史参数组合都能直接使用。
Trojan
通常在 TLS 连接中传输代理数据，并通过密码完成认证。服务器地址、端口、密码和 TLS 服务器名称需要一起核对；用于连接的 IP 地址与证书对应的域名可以不同。证书验证失败时，应检查证书有效期、系统时间与服务器名称，关闭证书验证会削弱连接的身份验证，不宜作为常规修复。
VLESS
将认证与传输保护分离的代理协议，协议本身不提供完整的传输加密，实际连接通常还需搭配 TLS 或 REALITY 等机制。UUID、传输类型、服务器名称及 flow 等参数必须与服务端一致。选择客户端时，除了确认支持 VLESS，还要核对所用内核是否支持节点要求的具体传输与握手组合。
Hysteria2
基于 QUIC 的代理协议，底层依赖 UDP，常用于需要关注丢包与拥塞表现的连接场景。协议名称不保证更高吞吐：UDP 连通性、服务端负载和带宽参数都会影响结果。若同一网络中的 TCP 类节点可用而 Hysteria2 超时，应先检查 UDP 路径，并确认配置采用第二代协议字段。
TUIC
基于 QUIC 的代理协议，利用其多路复用等能力处理代理连接，也包含与 UDP 转发有关的行为设置。客户端与服务端需要匹配协议版本、认证参数及相关选项，旧示例不一定适用于当前实现。移动网络下的实际体验还受网络切换、信号质量与后台策略影响，不能只按一次延迟测试下结论。
内核与客户端
内核负责网络处理，客户端负责界面与系统集成。报告问题时，分别记录应用名称、内核名称和实际生效配置，能减少兼容性判断中的歧义。
Clash 原版内核
Clash 生态早期的规则代理内核，为配置格式、策略组和分流机制提供了基础。它不等同于 Clash for Windows 等图形应用，原版开源内核与历史 Premium 内核的功能范围也不能混为一谈。阅读旧教程时应先确认对应分支，不能把后续内核新增的协议与字段直接套到旧环境。
Clash Meta
mihomo 项目曾使用的名称，因此旧文章、配置说明和部分客户端名称中仍会出现 Meta。它体现一条内核发展路线，不是所有带 Clash 字样应用的统一版本。遇到标注支持 Meta 的配置，应继续检查实际内核版本及所用字段，旧版内核不一定具备当前 mihomo 的全部能力。
mihomo 内核
沿 Clash Meta 路线发展的规则代理内核，负责协议连接、规则匹配、DNS 处理及 TUN 等底层能力。它既可由图形客户端管理，也可独立用于适配的运行环境。应用界面更新与内核更新不一定同步；排查未知字段或协议不支持时，应查看实际运行的内核信息，而不只看安装包名称。
图形客户端
提供订阅管理、策略选择、日志查看和系统设置入口的应用，例如 Clash Verge Rev。客户端会把订阅、界面选项和本地覆写组合为运行配置，因此编辑订阅源文件不一定立刻改变实际行为。选型时应同时考虑平台集成、配置管理方式和内核兼容性，具体差异可查阅客户端对比。
规则与分流
分流需要回答两个问题：连接符合哪条条件，以及命中后使用哪个出站。规则数据已经下载，并不代表它已经被主规则引用。
规则分流
根据域名、目标 IP、进程等条件，为连接选择直连、代理策略或拒绝处理。规则通常从上到下匹配，先命中的条目决定走向，末尾常用 MATCH 接收剩余连接。调整顺序前应先查连接记录中的命中结果，并确认当前处于规则模式；在全局模式下修改规则，通常不会得到预期的分流变化。
GeoIP 地址分类
根据数据库把 IP 地址归入地区等类别，便于对目标地址做批量分流。它描述的是数据库中的分类结果，不保证等同于服务器物理位置，也不能直接代表网站所属企业。域名可能解析到多个地区的 CDN 地址，因此同一服务的命中情况会变化；排查时要同时记录实际目标 IP 和数据来源。
GeoSite 域名集合
按服务、用途或维护者定义的类别组织域名，用一个标签引用多条域名匹配条件。标签是否存在、包含哪些域名，取决于实际加载的数据源，并不是所有列表都采用相同分类。它与 GeoIP 的区别在于匹配对象：前者面向域名，后者面向地址；只拿到 IP 而缺少域名信息时，域名分类未必能生效。
规则提供器
把规则集合从主配置中分离，支持独立加载和更新，适合维护较大的域名或地址列表。提供器中的 behavior、format 等设置需要与文件内容匹配，声明后还须在 rules 中通过 RULE-SET 引用。列表成功下载只说明资源可取得，若引用名称、策略名称或规则顺序不正确，仍可能无法按预期分流。
策略组
由节点或其他策略组成的出站选择集合，规则通常指向组名，而不是固定指向某个服务器。select 用于手动选择，url-test 根据指定测试结果选择，fallback 则按可用性及顺序进行回退。组类型决定选择逻辑，名称只是引用标识；嵌套策略组时，要沿最终选择链检查实际出站，避免只看最外层名称。
DNS 与网络栈
解析路径与流量路径需要一起检查。系统代理、应用自带 DNS 和虚拟网卡属于不同入口，打开其中一个设置不代表其他路径自动保持一致。
DNS 域名解析
将域名转换为地址等记录的系统，是建立许多网络连接之前的步骤。操作系统、浏览器和代理内核可能各自维护缓存并使用不同解析服务，因此修改系统 DNS 不一定改变浏览器的查询路径。配置时还要区分解析目标网站域名与解析代理服务器域名，后者出错可能导致节点本身无法建立连接。
Fake-IP 虚拟地址映射
内核先向应用返回虚拟地址并保存域名映射，应用发起连接后，再依据映射恢复域名并处理出站。虚拟地址不是目标服务器的真实地址，因此仅观察解析结果不能判断出口位置。部分依赖真实地址的应用可能需要例外设置；修改过滤列表前，应确认问题来自映射兼容性，而不是规则或路由错误。
TUN 模式
通过虚拟网卡接收并处理 IP 流量，可覆盖部分不遵循系统代理设置的应用。它不是代理协议，也不等于全局代理；接管后的连接仍可按照规则选择直连或代理。运行通常依赖系统权限、路由和网络栈设置，与其他 VPN 或虚拟网卡同时启用时，应重点检查路由冲突和 DNS 接管范围。
DNS 泄漏
域名查询没有沿预期路径发送，而是交给了其他解析通道，例如应用绕过内核直接使用系统解析。检测页面显示某个解析服务，并不能单独证明整条代理连接失效，还需结合预期配置判断。排查时应同时检查浏览器加密 DNS、系统解析、TUN 劫持与 IPv6 路径，按请求来源逐项定位。
节点延迟
客户端在指定测试条件下完成请求所需的时间，可能包含连接、握手和响应等待，与系统 ping 的测量口径不同。较低延迟不等于较高下载带宽，单次超时也不能直接证明节点持续不可用。比较结果时应统一测试地址、超时和网络环境，再结合丢包、实际传输速度与目标服务可用性判断。
订阅与配置文件
远程订阅提供输入，本地设置决定组合方式，最终运行配置才是内核实际读取的内容。更新前保留可恢复的配置副本，有助于比较变化。
订阅
通过链接分发并更新节点或完整配置的方式，不同格式可能只含节点，也可能包含策略组、规则和 DNS 设置。能在浏览器打开链接，不代表内容一定适配当前客户端，需要核对返回格式与内核字段。订阅地址可能含个人访问凭据，分享日志或截图时应遮去完整地址，避免把私人配置一并公开。
节点
一组供内核建立出站连接的服务器参数，通常包含协议类型、地址、端口、认证和传输设置。界面里的节点名称是便于识别的标签，不能单独证明服务器位置、带宽或可用性。节点有效还依赖服务端运行状态与本地网络路径；导入后应先验证连接，再检查策略组是否真正选择了该节点。
YAML 配置格式
Clash 配置常用的结构化文本格式，通过缩进表示层级，通过列表与键值组织参数。缩进应使用空格，错误层级、重复键或特殊字符处理不当，可能导致解析失败或结果偏离预期。语法通过只表示文本结构可解析，还要检查字段名称、数据类型与内核支持范围；文件扩展名正确也不代表内容格式正确。
配置合并与覆写
把订阅、本地设置及附加规则组合为最终运行配置的过程，用于保留个性化 DNS、规则或端口设置。不同客户端对覆盖顺序、列表替换和脚本执行时机的处理不同，不能假定同名功能具有完全相同的行为。订阅更新后设置被还原时，应查清修改发生在哪一层，并直接检查生成后的有效配置。
节点提供器
将节点集合独立加载的机制，可让节点更新与主配置中的策略组、规则分开维护。提供器通常需要由策略组通过 use 引用，资源下载成功不等于节点已经进入当前可选列表。它与规则提供器用途不同：proxy-providers 提供出站节点，rule-providers 提供匹配条件，二者不能交换使用。