Clash 术语表:代理协议、内核与配置名词解释

2012 年发布的轻量加密代理协议,基于 SOCKS5 转发。设计目标是流量特征简单、协议开销低,字段少、实现多。Clash 全系内核均支持,低性能路由器上也能稳定运行。

V2Ray 项目的原生协议,内置用户 ID 校验与时间戳防重放机制。常配合 WebSocket 或 TCP 传输层使用,配置字段较多。Clash 与 mihomo 均可直接解析,无需格式转换。

把代理流量伪装成 HTTPS 流量的协议,强制走 TLS 加密。服务端必须持有有效证书与域名,流量外观与正常网页访问一致。证书过期是这类节点失效的首要原因。

V2Ray 后期推出的精简协议,去掉内置加密,把安全交给外层 TLS。头部开销更小,常与 Reality 等传输方案搭配。仅 mihomo 等新内核支持,原版 Clash 无法解析。

基于 QUIC(UDP) 的代理协议,为弱网与高丢包链路设计。内置拥塞控制,可按需拉高速率,服务端需要证书。仅 mihomo 等新内核支持,移动网络下表现突出。

同样基于 QUIC 的代理协议,主打低延迟与多路复用。原生支持 UDP 转发与 0-RTT 握手,丢包环境下抖动小。需要 mihomo 内核,订阅记录以 tuic:// 前缀标识。

Dreamacro 维护的原始开源内核,Go 语言编写,2023 年停止更新。支持 Shadowsocks、VMess、Trojan、Snell 等基础协议。现有客户端多已改用其后继内核 mihomo。

原版作者发布的闭源增强版,曾独占 TUN、脚本、规则提供者等能力,已随原版一并停止维护。这些功能现由 mihomo 全部继承并保持开源,新装机不必再寻找它。

原版 Clash 的开源后继内核,社区持续维护。在原有能力上扩展了 VLESS、Hysteria2、TUIC、WireGuard 等协议与更多规则类型。当前主流客户端几乎全部以它为内核,配置语法与原版大体兼容。

内核暴露的本地 HTTP 控制接口,默认监听 127.0.0.1:9090。GUI 客户端通过它切换节点、查看连接、修改模式。配置项为 external-controller,访问密钥由 secret 字段控制,不要暴露到公网。

服务商提供的节点分发地址,客户端定时拉取获得节点列表。返回内容多为 Base64 编码清单或完整 YAML。链接内含鉴权参数,等同于账号凭证,不要外泄或贴到公开渠道。

内核启动时读取的主配置,决定端口、模式、节点与规则。GUI 客户端通常自动管理这份文件,手动改动可能被界面操作覆盖。语法错误是内核启动失败的最常见原因。

Clash 配置使用的标记语言,靠缩进表达层级。缩进只能用空格,不能用 Tab;层级错位是最常见的配置错误。编辑后先用客户端的校验功能检查,再重载配置。

把一种订阅格式在线改写成另一种的服务,用于老客户端读不懂新格式时。转换过程会经过第三方服务器,节点信息对转换方可见,涉及隐私,谨慎使用。

配置里对节点做的逻辑分组,类型有手动选择、自动测速(url-test)、负载均衡、故障转移。规则把流量指向组,组再按策略落到具体节点。客户端界面上的节点选择,本质是在切换组内成员。

默认工作模式。内核把每条连接逐条对照规则表,命中的走代理,未命中走直连。分流精度取决于规则集质量与更新频率,规则过时会导致该走代理的站点走了直连。

所有连接统一交给 GLOBAL 组,不再查询规则表。用于排查分流异常或临时强制全走代理。长期使用会让国内站点也绕行境外,拖慢访问速度。

所有连接直接发出,等同于暂停代理。用于对照测试:同一站点在直连与代理下各访问一次,即可判断问题出在哪一段链路。

增强模式下的 DNS 应答策略。命中代理规则的域名直接返回保留段假地址,省掉一次真实 DNS 解析,连接建立更快。个别严格校验地址的应用,需要加入 fake-ip-filter 排除名单。

通过虚拟网卡接管整机流量的工作方式,不依赖系统代理设置。能覆盖不服从系统代理的应用与 UDP 流量,需要管理员或 root 权限安装网卡。与同类 VPN 软件同时开启会互相抢占路由。

一台可供转发的代理服务器及其连接参数的合称。订阅里的一条记录就是一个节点。同一台服务器因协议、端口不同,可以在订阅里出现为多个节点。

客户端到节点的往返耗时,单位毫秒。客户端测速多为 TCP 或 HTTP 握手时间,不等于实际下载速度。数值只适合横向比较节点当前状态,小幅波动属正常现象。

按域名、IP 段、进程名等条件把流量分给不同出口的策略体系。规则从上到下逐条匹配,命中即停,顺序错误是分流不生效的常见原因。排错时先看连接命中了哪条规则。

把 IP 地址映射到国家与地区代码的离线数据库,规则里的 GEOIP,CN 这类条目依赖它判断。数据库随客户端定期更新,长期不更新会让个别分流判断出现偏差。

系统域名解析请求绕开代理、直接发给运营商 DNS 的情况,后果是访问记录被本地网络观察到。开启 Fake-IP,或把 nameserver 指向走代理的解析通道,可以避免。

Android 系统提供给代理类应用的 VPN 接口。客户端借它建立本地隧道接管流量,状态栏会出现钥匙图标。系统同一时间只允许一个应用占用该接口,两个代理应用不能同时开启。

Android 客户端按包名选择哪些应用走 VPN 隧道的能力,名单外的应用完全不受影响。常用于让银行、支付类应用保持直连,避免触发风控校验。

iOS 的网络按需激活机制。系统检测到匹配条件的网络请求时自动唤起 VPN,闲置后自动断开。规则在客户端设置或系统 VPN 配置里管理,无需手动频繁开关。

移动端维持代理进程不被系统清理的统称手段。Android 侧靠前台服务与忽略电池优化,iOS 侧由系统 VPN 框架托管。进程被清理的表现是代理无声断开、状态栏图标消失。