Clash / mihomo · 术语索引
Clash 名词解释
从订阅与节点到规则分流、TUN 和配置字段。按概念所在的层次查阅，先区分作用，再判断需要修改哪项设置。
本页共 25 个术语。术语卡标题旁的链接可定位到单个条目，便于保存与引用。
内核、配置与连接对象
核心概念
客户端提供操作界面，内核执行网络处理，订阅提供配置内容。这三者不是同一个对象。
- mihomo 内核 #mihomo core
- mihomo 是负责代理连接、DNS 处理和规则匹配的网络内核，延续 Clash Meta 的技术路线。图形客户端负责订阅管理、界面与系统设置，内核负责执行运行配置。判断某个协议或字段能否使用，应检查客户端实际集成的内核版本，而不是只看客户端名称。
- 订阅 #Subscription
- 订阅通常是用于获取远程节点或完整配置的地址，并不等于代理连接本身。返回内容可能是 YAML 配置，也可能只是节点列表，需要与客户端支持的格式对应。更新订阅可能替换原有内容，长期修改应放在客户端支持的覆写位置。订阅地址常包含访问凭据，不应公开分享。
- 节点 #Proxy node
- 节点是描述一台代理服务器及其连接方式的一组参数，通常包含地址、端口、协议和认证信息。节点名称中的地区只是标签，不能单独证明出口位置或线路路径。选线时应结合实际业务连通性、出口地址与持续传输表现，不宜只按名称或一次测速结果判断。
- 配置文件 #Profile / config.yaml
- 配置文件保存代理、代理组、规则以及 DNS 等网络设置，常见文件名为
config.yaml。Profile 通常指客户端管理的一份配置条目，可以来自本地文件或远程订阅。最终运行配置还可能经过合并、覆写和界面选项处理，因此编辑源文件后，应确认修改确实进入了当前运行配置。
- 延迟 #Latency / URL test
- 客户端显示的延迟通常来自经节点访问指定测试地址所花费的时间，未必是 ICMP ping 的结果。测试目标、连接复用、超时设置和当时网络状态都会影响数值。延迟低不等于下载快，测试超时也不一定表示所有网站都不可用，应再核对目标服务及连接日志。
节点与服务器之间的传输约定
代理协议
协议名称决定连接参数的解释方式。客户端与服务端必须匹配，不能通过修改名称完成协议转换。
- Shadowsocks #SS
- Shadowsocks 是一种加密代理协议，节点通常需要填写服务器地址、端口、加密方式和密码。两端必须使用彼此兼容的加密方法，部分方法还对密钥格式有要求。是否支持 UDP、是否需要插件属于另外的能力与参数，不能仅凭 Shadowsocks 名称判断配置完整。
- VMess 与 VLESS #VMess / VLESS
- VMess 与 VLESS 是两种不同协议，虽然常见配置都包含 UUID，但认证与传输要求并不相同。VLESS 本身不提供内容加密，实际安全属性取决于 TLS、REALITY 等传输安全配置。导入时还应核对传输类型、服务器名称及路径等参数，不能把节点类型直接改名后使用。
- Trojan #TLS-based proxy protocol
- Trojan 通常通过 TLS 传输代理数据，并使用密码完成认证。连接过程既依赖认证参数，也依赖服务器证书、服务器名称和网络可达性。遇到证书错误时，应先检查域名、系统时间和服务端证书，不应把跳过证书验证当作常规修复方式。
- Hysteria2 #QUIC-based proxy protocol
- Hysteria2 是基于 QUIC 的代理协议，运行依赖底层 UDP 连通性。客户端和服务端需要支持第二代协议，不能将第一代配置直接视为兼容配置。带宽参数、拥塞控制和网络限制会影响表现，填写更大的带宽数值并不会增加实际链路容量。
- TUIC #QUIC transport
- TUIC 是基于 QUIC 的代理协议，可承载 TCP 与 UDP 代理流量，并通过多路复用组织连接。使用时需要确认协议版本、认证信息和服务端参数匹配。底层网络限制 UDP 时可能无法建立连接，因此协议支持 QUIC 不代表在所有网络下都更快或更稳定。
匹配条件与目标策略
规则与分流
规则回答连接如何匹配，策略回答连接发往哪里。排查分流时，先看命中规则，再看最终选择的节点。
- 规则分流 #Rule-based routing
- 规则分流按域名、目标 IP、端口或进程等条件，为进入内核的连接选择处理策略。规则通常从上到下匹配，先命中的有效规则决定去向，因此更具体的条件一般放在宽泛条件之前。新增规则后，应在连接记录中确认实际命中项，而不是只检查配置文件是否保存成功。
- 代理组 #proxy-groups
- 代理组把多个节点或其他代理组组织成一个策略入口，使规则不必直接绑定单个节点。
select用于手动选择，url-test根据测试结果自动选择，两者的决策方式不同。规则引用的组名必须实际存在，组内可用性也取决于成员节点及测试目标。
- GeoIP #IP geolocation database
- GeoIP 使用 IP 地理归属数据库匹配目标地址，例如
GEOIP,CN,DIRECT表示将匹配到的地址交给直连策略。数据库可能更新滞后，归属结果也不等于服务所有者所在地。涉及域名连接时，IP 类规则还可能触发解析，no-resolve可用于限制这类主动解析行为。
- 规则集 #rule-providers / RULE-SET
- 规则集把一批域名、IP 或经典规则集中管理，便于独立更新与复用。在
rule-providers中定义后，可用RULE-SET在规则列表中引用，并指定目标策略。数据格式与behavior必须匹配，规则集是否更新成功也应单独检查，不能仅看主订阅的更新时间。
- DIRECT、REJECT 与 MATCH #Built-in policies / final rule
DIRECT与REJECT是内置策略，分别表示直连和拒绝连接。MATCH则是匹配所有剩余连接的规则类型，并不是一个节点或代理组。常见写法MATCH,PROXY表示把剩余连接交给名为 PROXY 的策略，该名称仍需在配置中存在。
流量接管与域名解析
网络模式
系统代理与 TUN 决定流量怎样进入内核，规则与全局模式决定进入之后怎样处理。DNS 还需要单独检查。
- 系统代理 #System proxy
- 系统代理把本地 HTTP 或 SOCKS 代理入口提供给系统或应用，只有遵循该设置的程序才会使用它。部分终端工具读取环境变量，部分应用则使用自身的代理选项。开启系统代理后仍有程序直连，应先确认该程序采用哪种网络设置，不能据此直接认定规则失效。
- TUN 模式 #Virtual network interface
- TUN 模式通过虚拟网络接口与路由配置，让更多 IP 流量进入内核处理。是否接管某个应用仍取决于权限、路由、排除项和 DNS 设置，不等于打开后必然覆盖所有连接。它与规则模式可以同时使用；若与其他 VPN 冲突，应先核对路由和接口，而不是反复切换节点。
- 规则、全局与直连模式 #rule / global / direct
- 规则模式依据
rules分流；全局模式把进入内核的流量交给全局选择器；直连模式使用直连策略。全局选择器仍需选到合适的节点或策略，否则全局模式不一定产生代理出口。这些模式不会自动接管未进入内核的应用流量，也不能替代系统代理或 TUN 设置。
- DNS 泄漏 #DNS leak
- DNS 泄漏通常指域名解析请求经由非预期路径发送给解析器，偏离用户设定的解析方案。系统 DNS、浏览器内置 DoH 和应用自身解析都可能改变实际路径。检测网站显示的解析器位置只是线索，应结合 DNS 配置、解析方式和连接记录判断，不能只凭地区名称下结论。
- Fake-IP #Synthetic DNS address
- Fake-IP 为 DNS 查询分配合成地址，并在连接进入内核时将其映射回原始域名，以辅助域名识别和分流。这个地址不是目标服务器的真实 IP，看到合成地址本身不代表解析故障。依赖真实地址的应用可能需要加入
fake-ip-filter，排查时还应注意系统和应用中的旧 DNS 缓存。
运行配置中的常用字段
配置字段
字段名称应保持原样。修改之前，先区分源订阅、客户端覆写与最终运行配置，避免编辑了未生效的文件。
- YAML #Configuration syntax
- YAML 是一种结构化文本格式，Clash 配置通过缩进表达对象层级，使用连字符表示列表项。缩进应使用空格并保持一致，包含特殊字符的字符串可能需要加引号。语法能够解析不代表语义正确：拼错字段、重复键名或引用不存在的策略，仍可能导致加载失败或配置偏离预期。
- mixed-port #Mixed HTTP / SOCKS listener
mixed-port设置同时接受 HTTP 与 SOCKS 代理请求的本地监听端口，不是远端节点的服务端口。浏览器、终端或其他应用手动设置代理时，需要填写与当前运行配置一致的地址和端口。端口被其他进程占用时可能监听失败，排查步骤见Clash 端口设置。
- proxy-providers #Proxy node providers
proxy-providers定义从远程地址或本地文件加载的节点集合，代理组可通过use引用这些集合。它只负责提供节点，不等于同时提供规则、DNS 和代理组的完整配置。远程内容需要符合提供器支持的结构，更新失败时应核对内容格式、请求可达性和缓存文件状态。
- nameserver #Upstream DNS resolvers
nameserver位于dns配置下，用于指定内置 DNS 的上游解析器。实际选择还可能受到nameserver-policy等字段影响，节点服务器域名也可以采用单独的解析设置。填写 DoH 地址不代表全部应用的查询都会进入该解析器，仍需确认流量接管方式和应用是否绕过内置 DNS。
- external-controller #Controller API listener
external-controller设置内核控制接口的监听地址，供客户端界面或面板读取连接状态、切换策略等。它与提供代理流量入口的mixed-port用途不同，不能相互替代。通常应限制在本机访问；确需远程管理时，应同时配置认证和网络访问限制，不要直接开放到公网。