开始前：客户端与配置分开准备

客户端负责显示界面和调用内核，配置负责提供节点、策略组与分流规则。安装客户端不会自动获得代理节点。开始操作前，准备一条可信来源提供的 Clash 或 mihomo 订阅链接，或者一份可直接使用的 YAML 配置文件；同时确认设备在关闭代理时可以访问本地网络及必要的配置下载地址。

订阅链接可能包含个人访问凭据。复制时保留完整内容，不要把链接发到公开聊天、截图或在线转换页面。若来源只给出单条协议链接，先确认客户端是否支持该种导入方式；本教程以完整配置订阅为主，不把单条节点链接与配置文件混用。

首次连接时，暂时退出其他代理或 VPN 客户端，并记录当前网络状态。后续每次只改一个选项，便于判断变化来自哪里。已有配置的设备应先使用客户端的导出或备份功能，保留原文件；本文不要求直接编辑客户端自动生成的运行配置。

1. 导入订阅并启用配置

在配置页面添加链接

打开客户端，进入“配置”或“订阅”页面，找到“新建”“添加”或“从 URL 导入”。把完整订阅链接粘贴到地址输入框，检查开头和末尾是否混入空格、换行或聊天软件附加的标点。如果界面要求填写名称，可以使用容易识别的本地名称；名称只用于管理，不会改变订阅内容。

点击“导入”“下载”或“保存”，等待客户端获取配置。成功后，列表通常会出现一张配置卡或一个条目。继续点击该条目，使用“启用”“设为当前配置”或选中标记将它切换为运行配置。下载成功不等于已经启用。如果只添加了订阅却仍在运行默认配置，代理页面可能看不到刚导入的策略组。

切换后进入“代理”页面。正常情况下，可以看到配置定义的策略组，以及组内可选择的出口。组名由配置来源决定，不一定叫“节点选择”或“自动选择”。此时先确认列表能够展开，不急着打开系统代理；下一步还需要选定模式和出口。

本地文件与更新操作

如果拿到的是文件，在配置页面选择“从文件导入”，定位到设备上的 .yaml 或 .yml 文件，导入后同样执行启用操作。不要仅修改扩展名来转换格式，也不要把浏览器下载到的登录页面当作配置文件。能够用文本编辑器打开，并不代表文件内容符合内核要求。

订阅更新一般从配置条目的菜单进入，选择“更新”或“刷新”。更新会重新获取远端内容，可能替换节点名称和规则。需要长期保留的个性化修改，应先了解客户端的覆写机制，而不是反复修改远端订阅副本；具体结构见 YAML 手册。

2. 选择代理模式与出口节点

首次使用先选规则模式

确认当前配置已启用后，返回“首页”“概览”或“代理”页面，找到模式选择。首次使用优先选择“规则”或 Rule。在这个模式下，内核按配置中的规则顺序处理连接，一部分流量可以直连，另一部分流量交给指定策略组。规则模式是否符合实际需求，取决于订阅中的规则内容，并非客户端对所有网站都有固定判断。

“全局”或 Global 模式通常把进入内核的连接交给 GLOBAL 策略。切换后要检查这个策略选择了什么出口；如果选中 DIRECT，连接仍然可能直连。“直连”或 Direct 模式则不使用代理节点转发，适合恢复普通访问或做对照检查，不适合作为首次代理连接的目标状态。

这里的模式决定的是进入内核之后如何路由，不是设备流量如何进入内核。选择全局模式，不代表所有应用已经被接管；浏览器是否遵循系统代理、移动端 VPN 是否连接成功，仍需在下一步单独检查。

在策略组里选择节点

进入“代理”页面，展开负责代理出口的策略组。如果是手动选择组，点击一个有效节点，使选中标记移动到该节点上。若策略组还引用了另一个组，继续展开查看最终出口，避免只看到上层组名就以为已经选定节点。部分配置会为不同用途建立多个组，只需先确认当前目标请求会使用的组，不必把所有组改成同一个值。

可以点击组内的延迟测试按钮，等待测试结束。有限的延迟数值说明该次测试请求完成，超时则说明测试路径没有在限定时间内返回。数值会受到测试地址、网络状态与节点负载影响，不直接代表下载速度，也不能证明目标应用一定可用。首次连接先选一个测试有响应的出口，再用实际请求验证。

如果组内只有 DIRECT，或预期节点完全没有出现，返回上一步确认配置是否选对，以及远端节点集合是否成功加载。不要为了补齐列表随意粘贴陌生节点。关于 select、url-test 与规则目标的深入解释，继续查阅 YAML 手册中的策略组与规则说明。

3. 开启连接并确认接管入口

桌面端：先确认内核，再启用系统代理

完成模式与节点选择后，检查客户端首页的内核运行状态。如果有“启动”按钮，先启动内核；若提示配置错误，返回配置页面处理错误，不要连续切换网络开关。内核已经运行时，再打开“系统代理”。这会让遵循系统代理设置的应用把请求发送到客户端的本地监听端口。

开启后，新建一个浏览器标签页发起访问。必要时完全退出并重新打开浏览器，让应用重新读取代理设置。不要自行假定本地端口一定是 7890：不同配置与客户端可能使用不同端口，手动设置浏览器或命令行代理时，应以客户端当前显示的监听地址为准。

如果浏览器能够使用代理，但终端、游戏或其他应用没有变化，先确认该应用是否支持并读取系统代理。需要接管更多应用时，再考虑 TUN 模式。桌面客户端启用 TUN 可能要求安装服务、授予管理员权限或批准网络扩展，应按当前客户端提示操作；没有出现权限提示并不意味着服务已经正确安装。

TUN 与系统代理是不同的流量入口，首次测试不必同时开启。先让系统代理路径工作，再按需要测试 TUN，可以减少路由与权限问题交织。启用 TUN 后若网络异常，先关闭 TUN、恢复上一组可用设置，再检查服务状态与日志。具体路由、DNS 和排除项留到 YAML 手册中查阅，不在首次连接时集中修改。

移动端：完成系统 VPN 授权

在 Android 或 iOS 客户端中，回到主页面点击“连接”或启动按钮。首次连接通常会弹出系统 VPN 配置授权，阅读提示后确认。若系统要求设备解锁密码或生物识别，完成系统验证后返回客户端，检查连接状态是否更新。授权被取消时，客户端即使已经加载配置，也无法通过这个入口接管流量。

同一设备上其他 VPN、工作配置或网络过滤工具可能与当前连接发生冲突。首次测试时只运行一个同类连接；受组织管理的设备则需要遵循设备策略，不要尝试绕过管理限制。出现 VPN 图标只能说明隧道入口已建立，不能说明节点、规则和目标网站都正常，接下来仍要完成实际验证。

4. 验证规则命中与实际出口

用新请求对照连接记录

保持客户端运行，进入“连接”或“日志”页面，再回到浏览器打开一个新的目标页面。切回客户端，寻找刚产生的域名或目标地址。连接记录通常能显示目标、命中规则、使用的策略组以及最终出口。不同客户端展示字段略有差异，短连接也可能很快从活动列表消失，此时可结合日志或连接历史查看。

如果记录显示目标请求经由所选节点转发，说明这一条请求已走到代理出口。如果记录显示 DIRECT，先看它命中了哪条规则，再确认该规则所指向的策略组是否选择了直连。规则模式下某些请求直连是正常结果，不必为了让所有记录都出现节点名而修改整份配置。

若完全看不到新连接，先确认客户端没有启用隐藏记录的过滤条件，再检查浏览器代理扩展、系统代理状态或 VPN 状态。请求没有进入内核时，更换节点通常没有帮助。对于终端或单独配置代理的应用，还要检查应用自身设置；浏览器验证成功不代表其他应用也使用相同入口。

出口 IP 与目标应用交叉验证

接着访问可信的出口 IP 查询页面，并与未启用代理时的结果做对照。规则模式下，查询页面本身也可能匹配直连规则，所以必须同时看这一条查询请求的连接记录。不要把设备网卡中的私有地址当作公网出口，也不要只凭 IP 所属地文字判断，归属地数据库可能存在延迟或偏差。

出口发生变化，只能证明该次查询的网络路径发生变化。最后还要打开真正需要使用的应用，执行一次具体操作，例如加载页面、登录或请求接口，并检查对应记录。如果浏览器正常而应用失败，先检查应用自己的代理设置、DNS、UDP 需求及账户限制，而不是马上认定所有节点都不可用。

测试切换模式或节点后，应重新建立连接。已有长连接可能沿用原来的出口；客户端若提供“关闭连接”功能，可以针对测试连接断开后重试，但这会中断正在传输的任务。首次验证尽量使用新的浏览器请求，避免边下载大文件边反复切换配置。

失败时按入口、规则、出口的顺序回查

入口：没有新记录，回查系统代理、应用代理设置、TUN 或移动端 VPN 授权；先保证目标流量到达内核。
规则：有记录但走向不符合预期，核对当前模式、命中规则与策略组选择，避免把分流结果误判为连接故障。
出口：已经选择节点但请求超时，换一个已授权且测试有响应的节点，再检查订阅有效状态和当前网络；所有节点都失败时记录日志中的具体错误。

确认实际应用可用后，再按需要设置开机启动、订阅定时更新等选项，并保留一份当前可用配置。退出桌面客户端前，确认系统代理已经关闭或被客户端恢复，否则系统可能继续把请求发往已停止的本地端口。以后出现问题，优先重走这四步，比同时更改模式、DNS 与路由更容易定位原因。

需要进一步理解配置字段、规则语法和覆写关系，进入 YAML 配置参考手册；需要比较不同客户端的平台支持与操作方式，查看客户端对比。首次连接到这里即可，不必为已经正常工作的配置增加额外选项。