开始前：准备有效订阅
客户端安装完成，不等于已经具备代理出口。还需要一条有效的配置订阅地址，或一份包含代理与分流设置的 YAML 文件。订阅由所使用的服务方提供，本站不提供节点或订阅账号。打开服务方的管理页面，找到标有「Clash」「Clash Meta」或「Mihomo」的订阅入口，复制完整地址，先不要把浏览器地址栏中的账号管理页面当作订阅。
首次配置时，建议先退出其他正在接管网络的代理客户端或 VPN 工具。确认当前设备在未连接代理时能打开普通网页，并检查系统日期与时间是否正确。这样后面遇到失败，才能区分是原有网络问题、订阅下载问题，还是新配置的问题。桌面端暂时不用开启 TUN，也先不用改 DNS；先用最少的开关建立一条能验证的连接。
订阅地址可能带有账号识别信息，应当像密码一样保存。不要把完整链接贴到公开评论区，也不要为了导入方便交给来历不明的在线转换页面。需要求助时，只保留错误文字、客户端名称与操作步骤，截图中的订阅地址和账号信息先遮住。
01 导入订阅并启用配置
打开客户端的「配置」或「订阅」页面，找到「从 URL 导入」「新建订阅」或带链接含义的添加按钮。将刚才复制的订阅地址完整粘贴进去；如果有名称输入框，可以填写便于自己识别的名称。检查地址开头与末尾，确认没有连同说明文字、空格或换行一起复制，再点击「导入」「下载」或「保存」。此时客户端通常先获取内容，再解析其中的代理、策略组和规则。
下载完成后，页面应出现一张配置卡片或一行文件记录，可能同时显示名称和更新时间。导入成功后还要启用这份配置：点击配置卡片，或打开卡片菜单选择「使用」「激活」。观察当前配置标记是否移动到新项目上，再进入「代理」页面。能看到策略组及其可选项目，才说明配置已被内核加载；只有文件出现在列表里，还不能直接判断已经生效。
已有 YAML 文件时怎么导入
如果服务方给的是本地文件，在同一个配置页面选择「从文件导入」，选中下载好的 .yaml 或 .yml 文件，再按前面的方式启用。不要只把网页保存成文件并改后缀，那样得到的可能仍是登录页面。文件导入通常是一份本地副本，后续是否能自动更新取决于客户端和配置来源，不能把它默认当成可持续更新的 URL 订阅。
导入失败时先看失败发生在哪一步
如果提示下载超时或无法连接，先检查原网络能否到达订阅服务，以及链接是否已经过期。不要立即更换代理模式，因为此时配置可能还没有加载。若显示 yaml: unmarshal errors、格式错误或无法解析，说明应检查返回内容与客户端支持的配置格式；链接可能返回了网页、错误提示，也可能不是 Clash 配置。不要在不清楚含义时删除整段配置来消除提示。
订阅更新后，重新查看当前配置标记，确认实际使用的仍是预期项目。有些服务会改变策略组名称，旧的出口选择也可能不再适用。关于 YAML 与其他订阅格式的区别，可看名词解释中的订阅与配置文件；反复下载失败则转到问题诊断按订阅失败流程排查。此步的完成标准很简单：配置已启用，代理页能看到对应策略组，然后再继续选择模式。
02 选择规则模式与出口
配置加载后，在首页、「代理」或「设置」中找到「规则 / 全局 / 直连」模式选择。首次使用先选「规则」，对应配置键是 mode: rule。这个模式按当前配置里的规则为请求选择出口，例如让部分请求直连、部分请求交给指定策略组。分流结果取决于配置内容，不是客户端只凭一个模式名称就能自动理解所有网站的用途。
接着打开「代理」页面，找到规则实际引用的主策略组。它可能叫「Proxy」「节点选择」，也可能使用服务方自定义名称；以当前配置为准，不必寻找与教程完全相同的组名。展开策略组后，选择一个可用的代理出口。如果组内有「自动选择」或「故障转移」子组，也可以按配置设计选择它，但要确认子组确实包含可用项目。
切换代理模式与选择策略组出口是两件事。即使已经选中规则模式，规则引用的策略组若选了 DIRECT，对应请求仍会直连。反过来，在一个没有被规则引用的策略组里更换出口，也不一定影响当前网页。初次测试只调整主策略组，记下原来的选项，不要把每个分组都改一遍，以免失去对照。
全局与直连分别什么时候用
「全局」会让被内核接管的请求使用全局策略组，适合短时对照：同一个网页在规则模式失败、在全局模式成功时，应继续检查规则匹配或策略组选择。它不等于接管设备上的每个应用，应用流量是否进入内核仍取决于系统代理、VPN 或 TUN 接管方式。切到全局后，还应检查全局策略组选择了哪个出口，不能只切模式就结束。
「直连」让内核处理的请求走直连出口，适合临时绕过代理出口作比较，但它不是退出客户端，也不一定撤销系统代理设置。完成测试后恢复「规则」，再确认主策略组选项。若还分不清策略组、规则与出口之间的关系，先看策略组解释即可；日常使用技巧放在FAQ，本页先继续建立基础连接。
03 开启连接与系统接管
回到客户端首页或「设置」，确认内核正在运行。有些桌面客户端启动后会自动运行内核，有些需要先按「启动」。如果页面提示内核启动失败，先看日志中的第一条相关错误，暂时不要继续打开更多开关。只有本地代理监听正常，系统代理才能把应用请求送到正确位置；一个显示为开启的系统开关，不能替代内核运行状态。
桌面端先开启系统代理
在 Windows、macOS 等桌面环境中，先开启「系统代理」，暂时保持 TUN 关闭。系统代理通常会把遵循系统代理设置的浏览器和应用指向本机监听地址。开启后保留客户端运行，不要直接结束进程；进程退出而系统代理仍指向本地端口时，浏览器可能无法连接。不同 Linux 桌面环境的代理支持有差异，部分应用需要单独设置代理，不能仅凭开关状态判断所有程序已接管。
若浏览器装有独立的代理切换扩展，先将扩展切到使用系统设置，或暂时停用它，避免覆盖客户端写入的代理地址。同时停止其他代理软件与 VPN 的连接。先让一个客户端负责接管，等基础连接正常后，再决定是否需要更复杂的组合。不要在此时同时更换配置、端口和模式，否则失败时很难知道是哪一项产生影响。
移动端确认系统 VPN 授权
Android 与 iOS 通常在点击「连接」或「启动」后弹出系统 VPN 授权窗口。确认弹窗来自刚安装并正在操作的客户端，再允许建立连接。返回应用查看连接状态，并结合系统 VPN 状态确认隧道是否建立。这里的 VPN 标识表示流量接管方式，不代表订阅里的每个出口已经可用，后面仍要做网页与连接记录验证。
如果系统提示已有其他 VPN 占用，先断开另一个应用，再回到当前客户端重新连接。Android 若切到后台后经常断开，可在首次验证通过后检查电池优化和后台运行限制；iOS 可在系统 VPN 设置中检查当前连接的配置是否正确。不要把后台保活问题与首次订阅导入混在一起处理，专项步骤见移动端问题诊断。
检查本地端口，不急着修改
桌面端的「端口设置」常见混合端口为 mixed-port: 7890，同时接受 HTTP 与 SOCKS 代理连接，但不同配置可能使用其他数值，应以当前实际监听端口为准。手动给应用填写代理时，地址通常是 127.0.0.1，端口填写客户端显示的混合端口。external-controller: 127.0.0.1:9090 是控制接口，不是浏览器上网用的代理端口，不要填错。
日志出现 address already in use 时，优先退出另一个占用端口的客户端，再重试启动。确实需要修改混合端口时，先记录原值，保存新值并按客户端要求重载，然后检查系统代理和手动配置的应用是否同步使用新端口。首次使用不必开启「允许局域网连接」；它涉及其他设备访问本机，与当前设备能否成功连接不是同一个问题。
04 验证网页与实际请求走向
现在打开浏览器，新建一个标签页，访问一个按当前配置预期走代理的网站，再访问一个预期直连的网站。尽量选择自己熟悉、平时可用的页面，避免只用一个陌生测试站作结论。必要时刷新页面重新发起请求；浏览器缓存和已经建立的连接可能沿用之前状态，切换设置后立刻观察旧页面，容易误以为新设置没有生效。
随后打开客户端「连接」页面，再刷新刚才的网站。找到对应域名的新请求，检查它命中了哪条规则、使用哪个策略组、最终走向哪个出口。某些客户端会把这些信息放在连接详情或请求链中。网页能打开，加上请求走向符合预期，才是比首页连接标识更可靠的验证结果。看到 DIRECT 并不一定是错误，先对照该网站是否本来就应当直连。
能打开网页，但连接页没有记录
先确认页面确实发起了新请求，而不是只显示缓存内容，再检查浏览器是否使用系统代理。如果只有某个应用没有记录，它可能使用独立代理设置，或不遵循系统代理。此时不要立刻更换订阅，先区分「流量没进入客户端」与「进入后出口失败」。需要进一步接管时再考虑 TUN，或按应用自身文档配置代理。
请求已进入客户端，但网页仍失败
打开「日志」页面，通常先使用 info 级别即可，重新访问一次失败页面，查看同一时刻的错误。i/o timeout 表示某个操作超时，需要结合目标地址和连接阶段判断；no such host 指向域名解析失败；connection refused 则说明相应连接被拒绝。不要只摘取最后一个词判断原因，把发生时间与对应请求一起保留，排查会更准确。
在主策略组里换一个出口后，仅重试同一个页面，观察结果是否改变。如果仍失败，可临时切全局模式并确认全局出口，用一次对照判断是否与分流相关，然后恢复规则模式。持续超时请转到节点超时排查；规则涉及地区识别或数据库加载时，再看GeoIP 相关诊断。到这里就不必继续盲目重装了，已有足够信息进入针对性处理。
验证通过后，保留可复现设置
确认两个测试页面都符合预期后，保留当前配置、规则模式和已验证的主策略组选项。订阅需要更新时，在配置页面使用「更新」，等待完成后再确认启用状态；不要因为列表出现新项目就随意删除仍在使用的配置。准备手动修改规则前，先保存一份可恢复的副本，并了解客户端是否提供覆写或合并机制，避免下一次订阅更新覆盖本地修改。
最后测试一次正常断开：桌面端先关闭系统代理，再按客户端提供的「退出」方式结束；移动端使用「断开」或「停止」。检查普通网页是否仍能访问，再重新连接确认操作可重复。需要开机后自动连接时，先阅读Clash 开机自启说明，分别理解启动客户端、启动内核与开启系统代理的区别。首次上手到这里结束，后续只在有明确需求时增加 TUN、局域网共享或自定义 DNS 设置。