Clash最新版下载

规则分流解决不同目标需要不同出口的问题。内核按列表从上到下匹配，命中后通常不再继续判断；因此具体域名规则应放在宽泛规则之前，最后用 MATCH 接住剩余连接。与全局模式统一选择策略不同，规则模式可以同时保留直连与代理路径。调整时先在连接记录中查看命中的规则，再修改对应条目，避免只凭访问速度猜测流向。示例中的 PROXY 必须对应实际存在的代理或策略组名称。

rules:
  - DOMAIN-SUFFIX,example.com,PROXY
  - GEOIP,LAN,DIRECT
  - MATCH,PROXY

DNS 决定域名如何转为连接目标，也会影响规则能否获得完整域名信息。fake-ip 通过虚拟地址映射保留域名上下文，与直接返回真实地址的方式不同，但部分局域网设备和特殊应用可能需要例外。使用时先确认客户端是否启用内置 DNS，再检查解析上游是否可达。仅在配置中写入加密 DNS 地址，并不能证明所有系统解析都已被接管；仍需结合应用行为、系统设置和 TUN 劫持范围测试。

dns:
  enable: true
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  nameserver:
    - https://1.1.1.1/dns-query

TUN 通过虚拟网卡处理进入相应路由的流量，适合不读取系统代理的应用。它与全局模式不是同一概念：前者决定连接如何进入内核，后者决定进入内核后如何选择出口。开启前先用系统代理确认线路可用，再按平台授予创建网卡与调整路由所需权限。若出现局域网访问异常，应检查路由冲突和其他 VPN，而不是反复更换节点。DNS 劫持还需配合已启用的内置 DNS，具体参数以当前内核文档为准。

tun:
  enable: true
  stack: mixed
  auto-route: true
  auto-detect-interface: true
  dns-hijack:
    - any:53

订阅负责获取配置或代理信息，不等同于客户端自身更新。常见图形客户端会管理整份远程配置，而 proxy-providers 可以在主配置中独立载入代理集合，两者的更新范围不同。使用前确认提供方给出的是完整配置还是节点列表；遇到格式错误时先看响应内容，避免把登录页面当作订阅保存。更新可能覆盖远程文件中的手动改动，需要长期保留的规则应通过客户端支持的覆写机制管理，并妥善保管订阅地址。

proxy-providers:
  local-nodes:
    type: file
    path: ./providers/nodes.yaml

proxy-groups:
  - name: PROXY
    type: select
    use:
      - local-nodes

配置文件将代理、策略组、规则与 DNS 组织在一起，策略组则为规则提供稳定的出口名称。更换节点时只调整组内选择，可以避免逐条修改规则；这与把每条规则直接绑定到某个节点的做法不同。手工编辑 YAML 时使用空格缩进，核对组名是否与规则引用一致。切换配置后若之前的选择被保留，应检查客户端与内核的持久化设置。排查时保留一份已知可用的配置，有助于区分订阅问题和本地设置问题。

profile:
  store-selected: true
  store-fake-ip: true

proxy-groups:
  - name: LOCAL
    type: select
    proxies:
      - DIRECT

客户端提供界面，内核执行解析、规则匹配与连接转发。名称相近的客户端可能使用不同内核或构建选项，某个设置在界面中出现，并不意味着所有配置语法都通用。遇到无法连接时，先确认配置已成功载入，再观察目标域名、命中规则和最终策略。日志级别可临时提高，但详细日志可能包含访问目标，不宜直接公开完整内容。与单看节点测试结果相比，真实连接记录更能说明具体应用经过了哪条处理路径。

mode: rule
log-level: info
allow-lan: false

rules:
  - DOMAIN-SUFFIX,example.com,DIRECT
  - MATCH,DIRECT