ShadowsocksSS
Shadowsocks 使用共享密钥与指定加密方法转发连接，常见节点字段包括服务器地址、端口、密码和加密方法。客户端与服务端的加密方法必须一致，传统实现与 Shadowsocks 2022 的参数要求也有区别。遇到额外插件或协议扩展时，应单独确认内核支持，不能仅凭 SS 标签判断能够导入。
查看协议选型参考 →
CONFIGURATION GLOSSARY
Clash 名词解释
从订阅导入到网络接入，按设置所在的层级查阅术语。协议决定客户端如何连接服务端，内核负责执行配置，规则选择连接策略，系统代理与 TUN 则决定应用流量如何进入内核。
这些概念彼此关联，但不能相互替代：导入订阅不代表已开启系统接入，切换节点也不代表改变分流规则。每条解释说明术语的作用、使用条件与常见误读；实际支持范围仍需对照正在运行的客户端和内核。
01 / PROTOCOLS
代理协议
协议名描述连接与认证方式，不是速度排名。选择节点时，还要检查服务端参数、底层传输、TLS 设置以及内核是否支持对应实现。
VMessV2Ray protocol
VMess 源于 V2Ray 生态，通常通过 UUID 识别用户，并包含自己的认证与传输保护机制。同为 VMess 的节点仍可能使用不同的底层传输和 TLS 参数，地址正确也不代表其他字段可以省略。部分认证机制对系统时间有要求，出现连接认证错误时，可先核对设备时间与订阅提供的参数。
查看协议差异 →TrojanTLS-based proxy protocol
Trojan 通常使用 TLS 保护客户端与服务端之间的传输，并通过密码完成认证。连接所用的服务器名称与证书信任关系会影响握手结果，因此服务端地址、SNI 和认证密码需要分别核对。证书报错不宜直接通过跳过验证解决，应先检查名称是否匹配、设备时间是否正确及证书链是否可信。
查看 TLS 与协议说明 →VLESSUUID-based authentication
VLESS 使用较精简的认证结构，通常以 UUID 识别用户，但协议本身不提供传输加密。节点的安全与兼容性需要结合 TLS、REALITY、底层传输及 flow 等配套参数理解。导入失败时，应检查当前内核对这些组合的支持，而不是只比较节点名称；参数组合须与服务端配置对应。
查看内核兼容性 →Hysteria2QUIC / UDP
Hysteria2 基于 QUIC，底层依赖可用的 UDP 路径，并提供与带宽相关的拥塞控制设置。在某些高丢包环境中可能有不同于 TCP 方案的表现，但速度仍受服务器能力、链路质量与参数影响。网络阻断 UDP 或带宽设置不合适时，连接可能失败或表现不稳定，移动端还应结合实际耗电情况比较。
查看场景选型建议 →TUICQUIC-based proxy protocol
TUIC 同样建立在 QUIC 之上，提供连接复用和 UDP 转发能力。配置时需确认服务端使用的协议版本、认证字段，以及客户端内核支持的对应格式，不能把不同版本参数直接混用。它对底层 UDP 可达性有依赖；测试节点时，应同时关注目标应用是否可用，而非仅看一次连通测试。
查看 QUIC 协议对比 →
02 / CORE & CONFIG
内核与配置文件
客户端界面、运行内核和配置文件属于不同层级。排查兼容性时，应先识别实际加载的内核，再确认配置语法和功能字段是否受支持。
代理内核Proxy core
代理内核负责读取配置、建立本地监听端口、匹配规则、处理 DNS 并连接代理服务端。图形客户端通常负责订阅管理、设置界面与运行控制，界面上的开关最终仍需转化为内核能够识别的配置。不同客户端即使外观相近，也可能使用不同内核；判断协议支持时应查看实际内核信息。
查看内核家族关系 →mihomoClash Meta lineage
mihomo 是由 Clash Meta 项目演进而来的代理内核，支持规则路由、DNS、TUN 与多种代理协议。它与原版 Clash 有配置传承关系，但扩展字段并不保证能被其他内核读取。订阅中出现新协议或特定 DNS 选项时，应核对实际运行版本的文档，避免仅依据客户端名称推断功能。
查看 mihomo 配置兼容性 →Clash MetaHistorical project name
Clash Meta 是 Clash 生态扩展内核的历史项目名称，后续项目沿用 mihomo 名称，旧教程与客户端名称仍可能保留 Meta。名称中的 Meta 不直接说明软件当前的内核版本，也不代表客户端正在持续更新。查阅说明时，应把历史名称、图形客户端名称和内核运行信息分开辨认。
查看名称与功能差异 →YAMLData serialization format
YAML 是一种通过缩进表示层级的数据格式，Clash 配置常用它描述端口、节点、策略组与规则。缩进应使用空格，列表项和键值结构也必须符合语法；包含特殊字符的字符串需要适当引用。通过 YAML 语法解析仅代表结构有效，字段名称、取值和引用关系仍需由内核进一步检查。
查看配置导入步骤 →config.yamlRuntime configuration
config.yaml 是常见的配置文件名，文件通常组合本地监听、代理节点、策略组、DNS 和路由规则，实际名称也可以不同。客户端可能在订阅原文基础上合并本地覆写，最终运行配置不一定与下载内容完全相同。修改前应区分源配置与生成文件，否则下次订阅更新可能覆盖手动修改。
03 / ROUTING
规则与分流
规则负责判断连接应使用哪种策略，策略组再决定具体节点。查看日志时，将命中的规则与最终使用的策略一起检查，比只看代理开关更准确。
规则分流Rule-based routing
规则分流依据域名、IP、进程等条件为连接选择处理策略，通常在规则模式下生效。规则一般自上而下检查，先命中的适用规则决定该连接走向，因此具体匹配应放在宽泛规则之前。DIRECT 表示直接连接，REJECT 表示拒绝连接；PROXY 常是配置自定义的策略组名称，并非自动存在的内置组。
查看规则顺序与策略 →GeoIPIP geolocation database
GeoIP 根据数据库将 IP 地址归入国家或地区类别，例如 GEOIP,CN,DIRECT 表示对匹配 CN 类别的地址使用直连。数据库记录不等于物理位置的精确测量，地址分配变化和数据更新都会影响结果。连接目标只有域名时，IP 类规则还可能涉及解析，因此需要结合 DNS 设置理解匹配行为。
GeoSiteCategorized domain sets
GeoSite 是按服务、用途或地区标签整理的域名集合，可用于按类别匹配一批域名。它与 GeoIP 的区别在于匹配对象是域名，而非 IP 所属地区；标签的具体含义取决于使用的数据源。使用相关规则前，应确认内核支持、数据文件可用和标签存在，不能把分类名称当成跨数据源统一标准。
查看域名规则参考 →MATCHFinal catch-all rule
MATCH 用于接收此前规则尚未命中的连接，通常放在规则列表末尾。例如 MATCH,PROXY 会把剩余连接交给名为 PROXY 的策略，前提是该策略在配置中可用。若把兜底规则放得过早，后面的规则就无法被正常匹配；排查异常走向时，可先检查其位置与目标策略。
策略组Proxy group
策略组将节点或其他策略组成一个可供规则引用的选择入口，组名由配置定义。select 通常用于手动选择，url-test 按测试结果自动选择，fallback 则用于按配置顺序进行故障回退。组内选中一个节点不意味着所有连接都使用它，只有命中该组的连接才会采用对应选择。
04 / SUBSCRIPTIONS
订阅与节点
订阅是内容更新入口，节点是连接参数，测试结果是某个时刻的观测。三者分别检查，可以区分下载失败、参数不兼容和链路不可用。
订阅Subscription
订阅通常通过一个链接获取并更新节点或配置内容，返回结果可能是完整 YAML 配置，也可能只是节点列表。客户端需要识别相应格式，下载成功后还要选中或启用该配置才会影响运行。链接可能包含访问凭据，应像密码一样保存；向他人展示截图或日志时，应隐藏完整订阅地址。
查看订阅链接导入 →节点Proxy node
节点是连接一个代理服务所需参数的集合，通常包含服务器地址、端口、协议和认证信息，也可能包含 TLS 与传输参数。节点显示名称只是便于识别的标签，地区文字不保证入口或出口的实际位置。选择时还需检查协议兼容性、服务是否可用以及目标应用表现，不能只根据名称作判断。
查看节点选择与连接 →节点延迟Latency test
客户端的节点延迟通常来自通过节点访问指定测试目标的耗时，是否包含握手、连接复用等过程取决于实现。这个值不等于可用带宽，也不能直接推断视频、下载或游戏表现；更换测试目标后结果也可能变化。超时表示本次测试未按预期完成，应结合日志和实际访问区分认证、解析与链路问题。
查看节点测速解读 →proxy-providersExternal node collections
proxy-providers 是 mihomo 配置中加载外部节点集合的字段，来源可以是远程地址或本地文件，策略组通常通过 use 引用它。这样可以将节点更新与本地策略、规则分开管理。提供者文件需要符合节点集合格式，不能直接假定任意完整订阅都适用；更新间隔与缓存也应分别检查。
05 / NETWORK ACCESS
网络模式与系统接入
系统代理和 TUN 解决流量入口问题，规则模式解决进入内核后的路由问题。DNS 则影响域名如何转换为地址，需要与入口和路由共同检查。
TUN 模式Virtual network interface
TUN 模式通过虚拟网络接口接收 IP 数据包，再交由内核解析与路由，可覆盖一些不遵循系统代理设置的应用。接管范围取决于系统路由、权限及排除设置，并不只由一个开关决定。UDP 能否通过代理还要看节点能力；与其他 VPN 或虚拟网卡同时运行时，应检查路由和 DNS 是否冲突。
查看 TUN 权限与设置 →系统代理System proxy settings
系统代理是在操作系统设置中将代理地址指向客户端的本地监听端口，应用遵循这项设置时才会使用代理。部分命令行工具、自带网络栈的应用或 UDP 流量可能不会通过这个入口。开启前应确认客户端正在监听，退出后若仍残留旧代理设置，遵循系统代理的应用可能因此无法正常连接。
查看系统代理连接检查 →混合端口mixed-port
混合端口在同一个监听入口接收 HTTP 与 SOCKS 代理请求，例如 mixed-port: 7890 是常见配置，但具体端口可以修改。系统代理和应用设置必须与实际监听地址、端口一致，同时避免其他进程占用。它是本地流量入口，不是远程节点端口；开放局域网访问时还需考虑监听范围和访问控制。
DNS 泄漏DNS leak
DNS 泄漏指域名查询偏离预期的解析路径，经由其他解析器发送，可能暴露正在查询的域名或造成解析结果与访问路径不一致。系统、浏览器与应用可能分别发起查询，加密 DNS 也不自动意味着符合预期路由。判断时应结合 DNS 配置、浏览器设置及内核日志，不能仅凭测试页面出现某个运营方名称下结论。
查看 DNS 与接入设置 →Fake-IPSynthetic DNS mapping
Fake-IP 向受管理的 DNS 查询返回合成 IP，并维护它与原始域名的映射；后续连接进入内核时，可恢复域名并进行规则匹配。这些地址不代表目标服务器的真实地址，不能直接用来判断出口位置。某些局域网服务、游戏或特殊应用需要过滤例外，切换 DNS 模式后还可能需要清理应用或系统的旧解析缓存。
查看域名路由参考 →