CLASH / CONFIG DICTIONARY
Clash 术语与配置字段
从 mihomo 内核到 DNS 接管，按配置所在的层级查词。先分清术语，再改字段，避免把协议问题修成缩进问题。
01 / CORE & CLIENT
内核与客户端
界面负责管理，内核处理连接；订阅和节点则是输入数据。这几层需要分别排查。
- mihomo 内核 core / Clash Meta 技术路线
- mihomo 是处理代理连接、规则匹配和 DNS 请求的网络核心，延续了 Clash Meta 的技术路线。图形客户端通常把它作为后台进程调用，因此界面版本与内核版本是两回事。遇到字段不支持或协议无法加载，先查实际运行的内核版本，而不是只看应用名称。
- 图形客户端 GUI / 配置管理与系统集成
- 图形客户端把订阅管理、策略选择、日志查看和系统代理操作放进可点击的界面。它能否提供某项能力，既取决于内核，也取决于应用是否暴露入口以及系统是否授予权限。迁移客户端时，应分别核对配置内容和应用设置，后者通常不会随订阅一起搬过去。
- 节点 proxy / 远端连接参数
- 节点是一组连接代理服务所需的参数，常见内容包括服务器地址、端口、协议、认证和传输设置。节点名称只是列表里的显示标签，名称写着某个地区，不等于实际出口一定在该地区。排查时要区分域名解析失败、端口不通和认证失败，三者不能靠重复切换模式解决。
- 订阅 subscription / 配置分发
- 订阅通过一个地址分发并更新节点或完整配置，不同格式可能只包含节点，也可能带有策略组和规则。更新成功表示获取与解析过程完成，并不保证其中每个节点都能建立连接。链接中的参数可能包含账户凭据，提交日志、截图或进行订阅转换前，应先确认是否会把链接交给第三方。
- 延迟测试 latency / 指定目标请求耗时
- 客户端常用一次经过节点的测试请求来显示耗时，结果受到测试地址、超时设置和连接复用等条件影响。它不是纯粹的服务器 ping，也不是下载带宽测试。某个节点测试超时但部分网站可用时，应核对测试目标是否可达；比较节点前，先统一测试条件。
02 / PROXY PROTOCOLS
代理协议
协议定义连接如何建立，传输方式与 TLS 则属于其他配置层。名称相近不代表参数可以互换。
- Shadowsocks SS / 加密代理协议
- Shadowsocks 是常见的加密代理协议，连接需要对齐服务器地址、端口、加密方法和密码。某些配置还依赖特定协议版本或插件支持，不能只复制地址和密码。若导入后提示不支持加密方法，应核对内核能力与原始配置，不要随意换一个方法名，因为服务端不会跟着改变。
- VMess 用户标识 / 传输配置
- VMess 使用用户标识等参数建立代理连接，并可搭配不同的底层传输方式。协议认证、WebSocket 等传输设置和 TLS 证书验证是不同环节，任何一层不匹配都可能失败。排查时按原始配置核对用户标识、传输类型、路径及服务端名称，系统时间明显异常也应先修正。
- VLESS 轻量协议 / 安全层组合
- VLESS 是轻量代理协议，通常配合 TLS 或 REALITY 等安全机制使用，协议名称本身不代表完整的加密链路。客户端需要同时支持所用的传输、安全机制及其参数组合。导入失败时应查看内核报出的具体字段，不能因为界面里有 VLESS 选项，就认定所有相关配置都受支持。
- Trojan TLS / 密码认证
- Trojan 通常通过 TLS 承载代理流量，连接时既要认证密码正确，也要满足证书验证条件。服务端名称、证书链或系统时间异常，都可能造成端口可达但握手失败。遇到证书错误应先核对名称和证书状态，跳过验证会削弱身份校验，不应作为常规修复步骤。
- Hysteria 2 QUIC / UDP 网络条件
- Hysteria 2 是基于 QUIC 的代理协议，网络路径需要允许相关 UDP 流量通过。某个网络能访问普通 HTTPS，并不代表它允许这类连接；同一服务器的 TCP 端口可达也不能替代 UDP 连通性判断。只有该类节点失败时，先比较不同网络下的结果，再检查认证、证书和服务端参数。
03 / RULES & ROUTING
规则与分流
先确认流量进入内核，再看命中了哪条规则。没有被接管的连接，不会因为新增规则而自动出现。
- 规则分流 mode: rule / 顺序匹配
- 规则分流在连接进入内核后，根据域名、IP 等条件决定直连、拒绝或交给某个代理策略。规则模式通常按列表从上到下匹配，命中后停止，因此具体域名规则应排在宽泛规则之前。修改后要查看连接详情里的命中规则和最终策略；只确认配置保存成功，还不能证明分流符合预期。
- GeoIP GEOIP / IP 地理数据库
- GeoIP 依据目标 IP 在地理数据库中的归属记录进行匹配，例如
GEOIP,CN,DIRECT。它不按域名后缀判断，CDN 地址变化和数据库更新都可能影响结果。部分 IP 规则会触发域名解析，排查时应一起查看解析结果、数据库状态，以及是否使用了no-resolve参数。
- GeoSite GEOSITE / 分类域名集合
- GeoSite 将域名按服务或主题整理成集合，规则可以引用集合名称，而不必逐条列出所有域名。实际有哪些分类、分类包含什么，取决于使用的数据文件与版本。规则加载报错时先确认分类存在；网站只有部分资源走错策略时，再检查相关子域名是否被收录。
- 策略组 proxy-groups / 节点选择逻辑
- 策略组把多个节点或其他策略组合起来，提供手动选择、按测试结果选择或故障切换等行为。规则里的目标组名必须与配置定义完全对应，改名后也要同步修改引用。自动选择依赖测试目标和检测周期，不等于实时知道每个网站的体验；理解组类型比看到“自动”二字就放心更有用。
- MATCH 兜底规则 / 最后一条
MATCH用于接住前面没有命中的连接，通常放在规则列表末尾，例如MATCH,PROXY。这里的PROXY必须是实际存在的策略名称，并不是可以随处照抄的保留组名。兜底规则只处理已经进入内核的流量，不能代替系统代理或 TUN 的接管工作。
04 / DNS & NETWORK STACK
DNS 与网络栈
流量接管和域名解析是两条相互关联的链路。启用一个开关，不代表另一条链路也已完成配置。
- TUN 模式 虚拟网络接口 / 路由接管
- TUN 模式借助虚拟网络接口和路由，把符合条件的流量送入内核，可覆盖部分不读取系统代理的应用。能否接管仍受系统权限、路由、排除项和其他 VPN 软件影响，并不等同于所有连接必然经过代理。开启失败先检查服务权限与启动日志，开启后再验证路由及 DNS，避免只看开关状态。
- Fake-IP enhanced-mode: fake-ip / 域名映射
- Fake-IP 模式向应用返回映射地址，内核保存映射关系，以便后续连接仍能关联原始域名并匹配规则。应用看到映射网段地址通常是设计行为，不表示解析器损坏。依赖真实 IP 的应用可能需要加入
fake-ip-filter；过滤条件应针对问题域名添加，不宜直接把全部域名排除。
- DNS 泄漏 解析链路 / 预期路径之外的请求
- DNS 泄漏指解析请求绕过预期路径，例如本应经指定解析链路的请求却直接发给了其他解析器。检测站显示某个地区的解析器，不足以单独判定泄漏，还要结合直连规则与上游设计。排查时同时检查系统 DNS、浏览器安全 DNS、其他 VPN 和加密解析设置，并在修改后用相同条件复测。
- dns-hijack tun.dns-hijack / DNS 接管入口
dns-hijack是 TUN 配置中的接管设置，用于把匹配的 DNS 流量交给内核内置解析器处理。接管传统 DNS 端口，不等于自动识别并拦下浏览器发出的所有加密 DNS 请求。若规则写好了仍发现解析绕行，应确认请求是否经过 TUN，以及应用是否另行使用 DoH 或 DoT。
- nameserver 与 fallback DNS 上游 / 结果选择条件
nameserver指定内置 DNS 使用的上游解析器，fallback则与过滤条件配合参与解析结果选择。它不应简单理解成“主解析器超时才启用的备用地址”，还需查看fallback-filter等设置。若启用了域名策略或规则遵循选项，也应一起核对，避免把复杂链路误判成单个上游故障。
继续排查：DNS 泄漏检测与 Fake-IP 修正，或查看 mihomo DNS 字段逐项说明。
05 / YAML & CONFIG FIELDS
配置文件字段
字段值、所在层级和最终生效文件需要一起确认。客户端中的表单名称不一定就是 YAML 字段名。
- YAML 配置格式 / 缩进表达层级
- YAML 是 Clash 系配置常用的数据格式，用缩进表达父子关系，用短横线表达列表项。缩进应使用空格而不是制表符，并保持同一层级一致；带特殊字符的字符串需要按语法正确引用。解析通过只代表格式成立，不代表字段被当前内核支持，仍需查看加载日志与最终配置。
- mixed-port HTTP + SOCKS / 代理监听端口
mixed-port让同一个端口同时接收 HTTP 与 SOCKS 代理请求，常见示例值为7890，实际应以运行配置为准。应用中填写的代理地址和端口必须对应内核真实监听位置。若日志提示端口被占用，需要关闭冲突进程或更换端口，并同步修改依赖该端口的系统及应用设置。
- allow-lan 局域网访问 / 监听范围
allow-lan控制是否允许局域网设备访问客户端的代理监听服务，不负责开启当前设备自身的代理。设为true后能否连通，还取决于绑定地址、防火墙和无线网络隔离等条件。确实需要共享时，应限制可信来源并按需配置认证，不要把代理监听端口直接映射到公网。
- external-controller 控制 API / 不是代理端口
external-controller定义管理接口的监听地址，面板通过它查询连接、切换策略或执行其他管理操作。它与mixed-port用途不同，把管理端口填进浏览器代理设置不会正常代理网页。应优先限制在本机访问，并设置控制接口认证；允许远程访问前，还要检查防火墙和网络暴露范围。
- 覆写 override / 客户端配置合并机制
- 覆写通常指客户端在订阅基础上合并本地字段、追加规则或执行配置修改脚本的机制，并非所有客户端都通用的顶层字段。它可用于保留本地 DNS、端口或分流调整，减少订阅更新后重复修改的工作。不同实现对列表可能采用追加或替换，修改后必须检查生成的最终配置，不能只看覆写编辑器里的内容。