开始前：客户端与可用配置
本教程适合已经安装客户端、希望完成首次连接的用户。通常可以用约十分钟走完主线，但订阅下载、网络环境和系统授权可能增加用时。先准备一份适用于 Clash 或 mihomo 的配置：它可以是订阅链接，也可以是配置提供方交付的 YAML 文件。客户端负责读取配置、执行分流和建立连接；安装客户端本身不会自动产生可用代理节点。
打开客户端后，先找到配置页面和设置页面，确认窗口能够正常使用。暂时退出其他正在运行的代理客户端或 VPN，避免它们同时修改系统网络设置。保留当前网络连接，确认在尚未启用代理时，普通网站能够访问。如果基础网络已经异常，应先处理 Wi-Fi、移动数据或路由器问题，否则后续很难判断故障是否来自配置。
订阅链接可能包含账户标识或访问凭据，应当像登录信息一样保存。不要把完整链接贴到公共讨论区，也不要为了转换格式而提交给来源不明的在线工具。后面遇到报错时，记录错误类型即可；分享截图前隐藏订阅地址、节点凭据和个人信息。准备完成后，从第一步导入配置开始，不必先修改端口、DNS 或高级网络选项。
第一步：导入订阅并启用配置
在配置提供方的账户页面或交付说明中，找到明确标注适用于 Clash、Clash Meta 或 mihomo 的订阅入口。复制的是完整订阅链接，而不是账户后台地址、网页标题或某个节点的分享文字。粘贴前确认没有带入前后的空格、换行和说明文字。如果提供方给了多个格式，优先使用当前客户端支持的 Clash 兼容格式；协议是否可用还取决于客户端实际使用的内核。
回到客户端，打开“配置”或“订阅”页面，点击新增、导入或加号按钮。选择“通过 URL 导入”一类的入口，把链接粘贴到地址栏；名称可以写成便于辨认的用途，例如“日常配置”。如果界面同时提供更新间隔，首次先保留默认设置。确认后等待客户端下载并解析配置，期间不要连续重复点击导入，以免生成多份名称相近的配置。
导入成功后，配置列表通常会新增一个条目，部分客户端还会显示更新时间、启用标记或操作菜单。点击该条目并选择“使用”“激活”或“切换到此配置”。仅仅下载成功不一定代表它已经成为当前配置；要确认启用标记确实落在新条目上。随后进入代理页面，如果能够看到代理组和节点列表，说明客户端至少已经读取到相应内容，可以继续第二步。
如果拿到的是本地 YAML 文件，选择“从文件导入”，在系统文件选择器中找到文件并确认，再按同样方法启用。不要把文本编辑器中的内容随意复制到订阅 URL 输入框，两种入口处理的对象不同。本地文件也不一定具有远程订阅的更新能力；是否能更新取决于文件内的提供器配置和客户端功能，而不是文件扩展名。
出现错误时，先分清失败发生在哪一段。“请求超时”“无法下载”通常意味着客户端尚未取得配置内容；“解析失败”“不支持的字段”则意味着内容已经取得，但格式、语法或内核兼容性存在问题。先核对订阅链接是否过期、账户是否可用，再查看配置提供方是否有适合该客户端的格式。不要看到任何错误都去修改 DNS，也不要在不了解语法时删除报错附近的字段。
完成这一步的判断标准不是“出现了一条订阅”，而是“该配置已启用，代理页面出现了预期的代理组”。此时先不要连接，接下来需要决定流量采用什么模式，以及代理流量交给哪个组处理。
第二步：选择规则模式与代理组
在客户端主页、代理页面或设置页面中找到模式选项。常见名称是“规则”“全局”“直连”，英文可能显示为 Rule、Global、Direct。首次使用选择“规则模式”。它会按照配置中的规则决定每个请求的处理方式：有的直连，有的交给代理组，有的被拒绝。规则模式不等于所有网站都经过代理，也不等于客户端会自行判断每个网站应采用哪条线路。
全局模式通常把进入内核的请求交给全局策略，适合临时对照测试；直连模式通常让进入内核的请求直接连接目标。这里的关键词是“进入内核”：代理模式决定请求到达内核之后怎么走，系统代理或 VPN 则决定应用请求能否进入内核。把模式切换为全局，并不能让一个完全不使用系统代理的应用自动被接管。
选好规则模式后，进入“代理”页面，找到配置里主要使用的代理组。不同配置可能叫“代理选择”“节点选择”或其他名称，没有全站统一的组名。展开组后，检查当前选中的项目：如果是手动选择组，点击一个账户有权限使用的节点；如果默认选择了自动测试组或故障转移组，可以先保留默认策略，再查看该组是否包含可用节点。
有些代理组嵌套了其他组，而不是直接列出节点。例如主组选择“自动选择”，自动选择组才负责从节点中挑选出口。这样的结构是正常配置，不必为了减少层级而修改 YAML。需要确认的是主要代理组没有误选 DIRECT 或 REJECT：前者表示直连，后者表示拒绝连接；它们不是普通代理节点。
如果客户端有连接测试按钮，可以对候选节点执行一次测试。结果主要反映该节点在指定测试地址上的连接情况，不能直接等同于下载速度，也不能保证所有网站都可访问。某个节点显示超时，先换同一配置中的另一个可用节点进行对照。不要为了追求某个数值而频繁切换全部设置；先得到一个能够正常建立连接的基线更重要。
确认主要代理组后，暂时保持配置原有的其他分组。视频、下载或应用专用分组是否需要独立选择，取决于配置实际的规则引用；没有对应规则命中的分组，即使改变选项也可能看不到效果。规则从上到下匹配，通常命中一条后就执行对应策略。详细语法留到 规则与分流术语 中查阅，当前只需要完成“规则模式已选中、主要代理组有可用出口”这两个检查。
现在配置和策略已经就绪，但应用请求还不一定会通过客户端。第三步将启用系统代理或移动端 VPN，把应用流量接入前面选好的规则处理流程。
第三步：启用连接与系统授权
桌面端：先运行内核，再打开系统代理
在桌面客户端中，先查看运行状态。如果界面有“启动”“运行”或内核开关，确保它处于运行状态；部分客户端在启动程序时就会运行内核，不需要重复操作。然后找到“系统代理”开关并启用。Windows 和 macOS 客户端通常会代为修改当前系统的代理设置，让遵循这些设置的浏览器和应用连接到本地代理入口。
首次上手优先使用系统代理，不必同时打开 TUN。启用后，关闭测试浏览器中原来的网页，再新开一个标签页发起请求。如果浏览器安装过代理扩展，先确认扩展没有固定使用其他代理配置；否则扩展可能覆盖系统设置，使网页行为和客户端开关不一致。浏览器可以接入系统代理，但某些游戏、命令行工具或独立网络应用未必遵循它，这属于接入范围差异。
客户端的监听端口与系统代理指向的端口需要一致。常见配置使用混合端口，但应以当前客户端显示值为准，不要因为教程中见过某个数字就照抄。由客户端自动设置系统代理时，通常不需要手工填写地址；若必须手动配置，本机地址通常使用 127.0.0.1，端口取自当前配置。不要把代理节点的远程服务器地址填进本机系统代理地址栏。
Linux 桌面环境和客户端对系统代理的支持方式可能不同。先检查客户端是否提供系统代理开关，再确认桌面环境是否接受了对应设置。如果只有命令行内核，它不会凭空让所有程序使用代理，需要在具体应用或会话中配置接入方式。Linux 命令行部署不属于这条轻量操作主线，可以继续阅读 故障排查与网络接入说明，避免把桌面客户端步骤直接套到服务器上。
移动端：确认 VPN 授权后启动
Android 或 iOS 客户端通常通过系统提供的 VPN 接口接入流量。在主页点击“连接”或“启动”后，系统可能弹出建立 VPN 连接、添加 VPN 配置或允许相关权限的提示。确认提示来自刚刚打开的客户端，再按系统要求授权。若拒绝授权，配置和节点即使已经导入，也无法通过该接入方式处理应用请求。
授权完成后，回到客户端，检查状态是否变为已连接或运行中。系统状态栏可能显示 VPN 标识，但部分系统会隐藏或折叠该图标，因此应结合客户端状态判断。若另一款 VPN 同时启动，系统可能暂停当前连接或切换到另一项配置；测试时只保留一个主动连接的客户端，先排除互相接管的问题。
移动端首次连接成功后，保持客户端在前台完成下一步验证，暂时不调整电池优化或后台限制。如果只有锁屏、切换应用后才断开，再检查系统的后台运行权限。桌面端若后续发现某个应用不遵循系统代理，可以进一步了解 TUN 模式；但它涉及路由、权限和 DNS，不建议在首次验证前与其他设置一起改动。相关区别见 帮助中心。
完成本步骤时，应能够明确说出当前采用的是“桌面系统代理”还是“移动端 VPN 接入”，并看到客户端正在运行。连接状态只证明入口已经开启，还需要实际请求来验证规则和节点，因此继续第四步。
第四步：检查请求与规则是否生效
先在客户端找到“连接”“活动连接”或“日志”页面，然后用浏览器新开一个网页。选择一个原本就能直连访问的网站，再选择一个按照当前配置应由代理组处理的网站。测试目标应来自实际使用场景，不要仅凭网站所属地区猜测规则结果；具体走哪条策略，由配置内容和实际匹配共同决定。
发起请求后，观察客户端是否出现对应域名或目标地址的连接记录。网页可能一次请求多个域名，因此不要把资源请求误认成主页面请求。优先找到主域名对应的记录，再展开查看命中规则、策略链或出口节点；不同客户端展示字段不完全相同。如果启用了进程识别，还可能看到应用名称，但缺少进程信息不一定意味着代理失败。
对于预期走代理的请求，检查策略链是否经过第二步选定的代理组，并最终落到可用节点。对于预期直连的请求，检查是否显示 DIRECT。网页能够打开只是第一层结果；连接记录与预期策略相符，才说明分流流程也已经生效。若网站打开正常但策略不符合预期，应优先查规则顺序和当前配置，而不是立刻更换所有节点。
如果连接页面没有出现新记录，先确认发起的是新请求，而不是浏览器缓存页面。再检查系统代理或 VPN 是否仍开启、是否运行了其他客户端，以及浏览器是否使用了自己的代理设置。日志可以作为补充线索，但日志级别较低时不会展示所有细节，因此不能只凭“没有一行日志”断定内核没有收到请求。
如果有记录但网页失败，看记录停在哪一层：命中 REJECT 时先检查是否属于配置预期的拦截；命中 DIRECT 时检查该目标是否应当直连；已经进入代理组却超时时，先换一个节点并用同一网址重试。解析错误、连接超时和 TLS 错误是不同症状，不要把它们统一当成速度问题。一次只改变一个条件，保留原来的测试网址，比较结果才有意义。
单个网页异常而其他网页正常时，暂时不要重装客户端。目标服务本身、节点出口限制、规则分组和浏览器状态都可能造成局部失败。切换节点后如果测试恢复，可以保留可用选择；如果不同节点都失败，再进入 故障排查大全 按症状继续定位。涉及 DNS 或 Fake-IP 时，先查 DNS 与网络栈术语，理解当前配置的作用后再修改。
验证通过后，再决定是否开启开机自启、启动时自动连接和订阅定时更新。先了解各开关是启动程序、运行内核，还是接管系统流量，它们不一定是同一个动作。退出桌面客户端前，检查系统代理是否随之关闭；如果应用已经退出但系统仍指向本地代理端口，普通网页也可能无法访问。移动端停止连接后，则确认系统 VPN 状态已经结束。
日常使用保留这一条短路径即可：先看配置是否有效，再看模式和代理组，接着看接入开关，最后看实际连接记录。需要更换设备时，从 下载中心 选择对应平台客户端，再重复这四步；遇到菜单名称或基础概念不明确时，查 帮助中心，遇到持续性连接故障时，再使用 系统化排查文档，不必在首次上手阶段把所有高级设置一次配齐。