导入订阅并启用配置
开始前准备好一个支持当前客户端的订阅链接，或一份本地 YAML 配置文件。客户端负责读取配置与转发请求，安装完成并不意味着已经具备可用出口。订阅需要由你有权使用的服务或自行部署的服务提供；本教程不提供订阅地址。链接可能包含访问凭据，不要发到公开评论区，也不要把带有完整链接的截图上传到公共页面。
打开客户端，进入“配置”“订阅”或“Profiles”页面，寻找“新建”“添加”或“从链接导入”。选择远程链接类型后，粘贴完整地址，为配置填写便于识别的名称，再点击保存或导入。若界面先保存后下载，还要点击这张配置卡片上的更新按钮。等待加载状态结束，查看是否出现更新时间、配置名称或解析成功提示；这些信息的具体展示方式由客户端决定。
粘贴时注意不要带入前后的空格、换行或聊天软件附加的标点。链接能在浏览器打开，只能说明请求得到响应，不代表返回内容一定符合 Clash 配置格式。如果提示解析失败，先向订阅提供方确认应该选择哪一种客户端格式。不要反复更改本地端口或 DNS 来处理格式错误，这些设置与订阅正文能否被解析不是同一个环节。
如果使用本地文件，选择“从文件导入”，在文件选择器中找到对应的 .yaml 或 .yml 文件，导入前保留一份原文件。某些客户端也接受粘贴配置正文，但不要把一整段 YAML 当作订阅链接输入。只包含节点信息的文件与包含规则、DNS、代理组的完整配置用途不同，能否直接使用取决于客户端是否会补全配置。
导入完成后，点击新配置的“启用”“使用”或选择按钮。仅看到配置卡片并不代表它已经成为当前配置。回到“代理”页面，确认已经出现配置中的代理组或节点条目；如果仍是空白，返回配置页检查当前选中状态和错误提示。客户端支持同时保存多份配置时，也要确认没有继续使用之前的测试配置。
首次使用先手动更新一次即可。确认可用后，再按服务提供方的更新建议设置自动更新间隔；过于频繁的更新可能触发请求限制。远程更新可能覆盖对下载配置的直接编辑，因此不要在初次设置阶段混用订阅更新与大量手工修改。完成导入并确认配置已启用后，下一步再决定请求按什么规则选择出口。
选择规则模式与代理组
进入客户端首页、设置页或托盘菜单中的模式入口，首次使用选择“规则”，英文界面通常标为 Rule。规则模式会按当前配置中的匹配顺序为请求选择处理方式，例如直接连接、交给某个代理组或拒绝连接。这里选择的是流量如何分流，不是开启系统代理；即使模式已经设为规则，应用流量也可能尚未进入客户端。
另两种常见模式是“全局”和“直连”。全局模式通常把进入内核的普通请求交给全局代理组处理，适合短暂对照测试，但不等于所有应用都已被接管；直连模式则让进入内核的请求直接连接。日常先保留订阅提供的规则模式，避免一开始就改动分流逻辑，导致无法区分问题来自配置还是流量接管。
选好规则模式后，打开“代理”页面，找到当前配置提供的选择组。名称可能是“节点选择”“代理”或其他自定义名称，不能只根据名字认定哪个是总开关。应查看配置说明，确认规则实际引用了哪个组，再在该组内选择一个允许使用的出口。某个组被选中，不代表所有规则都会经过它；其他规则可能指向不同的组。
如果选择组里显示的仍是另一个组，例如“自动选择”，继续查看下级组的当前选择和测试状态。手动选择组通常保持你指定的条目；自动选择组则按配置的健康检查结果决定出口。首次排查可以暂时选一个明确的节点，减少组间嵌套带来的不确定性。不要只切换列表里某个未被规则引用的分组，否则访问结果可能完全不变。
使用客户端的连接测试或延迟测试，观察是否出现超时、连接失败等状态。测试结果取决于测试地址、协议和当前网络，只反映一次特定请求，不能作为所有网站都能访问的保证。测试成功后仍需要实际打开网页；测试超时也要结合日志判断，不能直接认定整个订阅都已失效。
完成这一步时，应能说清当前启用的是哪份配置、运行在哪种模式，以及目标代理组选择了什么出口。关于不同协议、内核兼容性和移动设备上的选择取舍，可继续查阅协议与内核参考。首次连接先保持配置原有的 DNS 与规则，下一步只处理系统流量如何进入客户端。
开启系统代理或 VPN 连接
在桌面端，先查看客户端首页或状态栏，确认内核已经启动。部分客户端在启动应用后自动运行内核，另一些需要先点击启动。如果界面提示配置载入失败，应返回上一阶段处理错误；应用窗口能够打开，并不证明负责转发请求的内核已经正常运行。确认状态后再打开“系统代理”，让遵循系统代理设置的应用把请求发送到本地监听端口。
打开系统代理后，可以到操作系统的网络代理设置中核对地址与端口是否指向当前客户端。具体端口以客户端实际显示为准，不要直接照抄其他教程中的数字。混合端口可以同时接受 HTTP 和 SOCKS 请求，但客户端也可能分别提供不同端口。初次使用不需要主动修改监听地址，更不应为了让本机浏览器连接而开放局域网访问。
Windows 或 macOS 上如果同时运行了另一个代理工具，先关闭对方的系统代理开关，再启用当前客户端的开关。两个程序反复写入同一项系统设置，容易出现界面显示已开启、实际端口却指向另一个程序的情况。浏览器里如果安装了独立代理扩展，先将扩展切回跟随系统设置，避免扩展配置覆盖系统代理。
Android 通常通过首页的启动按钮建立本地 VPN 连接。第一次启动时，系统会显示 VPN 连接请求；核对弹窗对应的应用后再允许。连接建立后，系统一般会显示 VPN 状态标记，客户端也应出现运行状态。若之前有其他 VPN 连接，需要先断开；部分设备的始终开启 VPN 或锁定设置，也可能阻止新连接接管。
iOS 客户端首次启动连接时，按提示允许添加 VPN 配置，并完成系统要求的设备认证。之后返回客户端，再确认连接已经建立。如果系统设置里保存了多份 VPN 配置，应核对当前启动的是哪一份。授权添加配置只是准备步骤，是否正在连接仍以客户端状态与系统 VPN 状态为准；不要仅凭已经点过允许就跳过验证。
桌面端的 TUN 是另一种接管方式，通常需要服务组件、管理员权限或系统授权，范围也与系统代理不同。首次连接可以先使用系统代理验证浏览器；只有目标应用不遵循系统代理或确实需要更广的流量接管时，再了解 TUN。Android 客户端内部可能已经使用虚拟网络接口，不必机械寻找一个与桌面端同名的开关。
验证流量接管与规则命中
保持客户端运行，打开浏览器的新标签页，访问一个你有权访问、且按当前规则应通过代理处理的网页。优先使用内容较简单的页面，便于区分网页自身加载缓慢与连接问题。第一次检查不要只刷新已经打开的页面，因为浏览器缓存、复用连接或站点缓存可能让结果看起来与当前设置无关。
访问的同时，打开客户端的“连接”“活动”或“日志”页面，查找刚才访问的域名。连接记录通常能展示目标地址、命中的规则与代理链；日志则可能给出连接或解析错误。不同界面提供的信息有差异，至少要确认请求确实进入内核。网页能打开但客户端完全看不到相关请求时，还不能认定代理生效，它也可能通过原有的直连路径访问。
找到对应请求后，核对它使用的处理方式是否符合预期。命中 DIRECT 代表该请求被配置安排为直连，不是“代理未启动”的直接证据；经过某个代理组时，还应检查代理链最终选中了哪个出口。如果网页包含多个域名，一次打开可能产生多条连接，不要只凭其中一条静态资源记录判断整个页面的访问路径。
接着访问一个按配置预期应该直连的网页，再观察规则命中情况。两次检查分别验证代理出口和直连路径，能够避免把“全都交给同一出口”误认为规则分流正常。使用外部出口地址查询页面可以作为辅助，但它只说明这一次请求的出口；不能据此推断所有应用、所有域名或 IPv6 流量都采用相同路径。
如果请求没有进入客户端，先确认系统代理或 VPN 连接仍处于开启状态，再检查浏览器是否使用独立代理，以及系统端口是否与客户端一致。如果请求已经进入内核但连接失败，先核对代理组选择，换用同一配置中的其他可用出口进行对照。若日志明确出现域名解析错误，再检查配置的 DNS 设置，不要在没有线索时直接替换整份配置。
每次只修改一个项目，并重新执行相同的访问测试。建议按“配置已启用 → 代理组已选定 → 内核正常运行 → 接管开关生效 → 规则与解析记录”的顺序检查。分享错误信息时，保留报错类型和必要的字段名称，隐藏订阅链接、节点认证信息及不相关的访问记录。更细的检查流程可参照已连接却打不开网页的排查清单。
验证通过后，再逐项启用自动更新、自动选择或需要的 TUN 设置，每改一项都重复检查。最后试一次正常断开：桌面端先关闭系统代理再退出客户端，移动端使用客户端的停止按钮并确认 VPN 已断开。这样可以避免客户端关闭后，系统仍把请求发送到已停止监听的本地端口。
至此，一次完整的初始配置应包含四个可确认结果：订阅能够读取，代理组选择明确，系统流量进入客户端，实际访问命中预期出口。日后更换订阅或设备时，可以从导入订阅重新核对；涉及协议支持和内核配置差异时，转到协议手册查阅，不必为了首次连接提前调整所有高级字段。