先把名称拆开：Clash、VPN 与订阅不是一回事
新手搜索代理工具时，常会同时看到“Clash”“VPN”“机场”“订阅”几个词。它们经常出现在同一个使用流程里，但指向的不是同一种东西：Clash 通常指代理客户端及其配置生态；VPN 是一种网络连接技术，也常被用来称呼提供 VPN 服务的应用；机场通常是代理服务提供方的俗称；订阅则是获取节点或配置的方式之一。把这几层分开，才能判断自己缺的是软件、服务还是配置。
可以把网络连接想成一段旅程：应用产生请求，客户端决定是否接收请求、按什么规则处理；代理服务器或 VPN 服务器提供远端出口；订阅则像一张会更新的配置清单，告诉客户端有哪些节点、策略组和规则。客户端本身不等于远端服务，也不会因为安装完成就自动获得可用节点。
| 名称 | 主要作用 | 不能单独代表什么 |
|---|---|---|
| Clash 客户端 | 管理配置与节点，并把连接交给内核处理 | 不等于服务器、订阅或可直接使用的服务 |
| 代理节点 | 接收客户端连接，并按相应协议转发流量 | 不等于完整的客户端，也不自动包含分流规则 |
| VPN | 通过加密隧道连接 VPN 服务器，常用于设备或网络接入 | 不保证所有应用、所有流量都采用同一种路由 |
| 订阅 | 提供节点、策略组或规则等配置数据，通常可定期更新 | 不等于安装包，也不代表服务来源经过安全审查 |
Clash 和 VPN 的差别：一个偏向路由管理，一个强调隧道连接
传统 VPN 客户端通常通过操作系统的 VPN 接口建立到服务器的隧道，再由系统路由决定哪些流量进入隧道。某些 VPN 服务会把默认路由指向隧道，也有服务支持分流、按应用选择或局域网例外。因此，“VPN 一定接管全部流量”并不准确，具体行为取决于客户端、系统设置和服务配置。
Clash 类客户端通常以代理内核为基础，重点是解析配置、管理代理节点、匹配规则和选择出站策略。规则可以让不同连接走不同路径，例如某些域名直连、某些连接进入代理组、其余连接按兜底规则处理。客户端负责管理这些内容，但最终效果仍取决于实际使用的内核、配置字段和流量是否进入内核。
两者也不是完全对立的技术。Clash 常见的系统代理模式会让遵循系统代理设置的应用连接到本机端口；TUN 模式则借助虚拟网络接口和系统路由，把更多 IP 流量交给内核处理。Android 上的 TUN 接管通常会使用系统 VPN 服务接口，因此系统可能显示 VPN 图标或授权提示，但这不意味着它自动变成了商业 VPN 服务。它仍然可能是在本机接收流量，再根据 Clash 配置交给代理节点或直接连接。
- 想按域名或规则分流：Clash 的规则与策略组更便于管理细粒度出站选择，但需要理解配置和订阅提供的规则。
- 只想建立一条服务商提供的 VPN 连接：专用 VPN 应用通常有较直接的连接流程，但可用的分流能力要看该应用是否提供相应功能。
- 部分应用不遵循系统代理：系统代理可能覆盖不到它们；TUN 或 VPN 隧道可能扩大接管范围，但仍需检查路由、权限、排除项及协议支持。
- 关注隐私或安全：名称里有“VPN”或“代理”都不能证明服务可信。连接加密、日志政策、运营主体和数据处理方式都需要分别核实。
还要注意“加密”不是一个可以只凭工具名称判断的结果。代理协议可能加密客户端到节点之间的连接，但这不自动保证从节点到目标网站的每一段都加密；访问 HTTPS 网站时，浏览器与网站之间还会使用 TLS。VPN 隧道保护的是设备到 VPN 服务器之间的网络链路，也不能替代网站自身的 HTTPS，更不能防止恶意软件、钓鱼或账号泄露。
机场、节点、订阅和客户端如何配合
“机场”是代理服务提供方的俗称，不是某种统一的协议或官方客户端。服务提供方可能出售按流量、时长或套餐计算的代理服务，并通过订阅地址分发节点与配置。服务内容、支持的协议、可用地区、更新频率和隐私政策由具体提供方决定，不能从“机场”这个称呼推断其质量或安全性。
常见流程是：在可信渠道获得服务信息和订阅地址，在支持相应格式的客户端中添加订阅，更新配置，选择策略组或节点，再启用系统代理或 TUN 等流量入口。节点是实际出站连接的目的地；策略组可以包含多个节点，并提供手动选择、自动测速等选择方式；规则决定某个请求交给哪个策略。订阅可能同时包含这些信息，也可能只提供节点，具体以服务方说明和导入后的配置为准。
- 确认订阅用途与格式：看清服务方说明支持哪些客户端、内核和协议。网页显示一段文本、节点列表或报错页面，不一定是可直接导入的 Clash 配置。
- 使用官方客户端来源：按操作系统和设备架构选择客户端，核对应用名称、发布渠道及版本信息。客户端版本与内核版本可能不同；遇到“不支持的代理类型”时，应进一步核实内核是否支持订阅使用的协议。
- 导入后确认实际生效：检查配置是否成功解析、是否已设为当前配置、代理组里是否有可用选项，并查看运行日志。列表里出现订阅条目，不代表内核已经加载它。
- 先用低影响方式测试：可以先开启系统代理，用浏览器访问作为第一轮检查；再按需要启用 TUN。不要一开始同时运行多个代理客户端或 VPN，以免端口、路由和系统代理设置互相覆盖。
- 确认流量走向：检查当前模式、规则命中结果及代理组选择。规则模式下并非所有连接都会代理，命中
DIRECT的连接仍会直连；全局模式也只影响已经进入内核的连接。
如果更新订阅后自定义规则消失，可能是因为编辑了由订阅生成的临时配置，更新时被服务端内容覆盖。需要长期保留的本地修改，应使用客户端提供的覆写、合并或扩展功能，并确认最终生效配置。不同客户端的菜单名称不一致，操作前先备份当前配置，避免把唯一可用的订阅文件改坏。
新手如何选择，并检查下载与服务安全
选择时不必先追求“功能最多”，而应从设备、用途和管理成本出发。Windows 与 macOS 用户可以根据所需功能选择维护状态清楚、适配当前系统的桌面客户端；Android 用户要确认应用来源和系统要求。Clash Verge Rev、Clash for Android、ClashX、Clash for Windows 等名称代表不同客户端项目或历史产品，平台支持、内核版本和维护状态各有差异，不能只看名称里有 Clash 就认为它们完全相同。尤其是较早发布的客户端，应先核对当前是否仍有适用于设备的维护版本。
- 希望先快速验证：选有清晰使用说明、能显示运行日志和节点状态的客户端，先用系统代理完成基础测试；需要更广泛接管应用流量时，再评估 TUN。
- 配置使用了新协议或扩展字段：确认客户端实际搭载的内核及版本支持对应配置，不要只根据图形界面名称判断。
- 只需要简单连接：如果服务提供方有正式的专用客户端，也可以比较其安装来源、权限要求、分流能力和隐私政策，不必为了使用某个流行名称而强行采用复杂配置。
- 在多个设备使用：确认订阅是否允许相应设备数量，更新周期和流量规则是什么；不要假设把同一个订阅导入多个客户端就一定符合服务条款。
下载安装包时，优先从本站下载中心或项目明确认可的发布渠道进入，并核对应用名称、平台、CPU 架构和文件类型。不要通过搜索结果广告、网盘转载、来路不明的“绿色版”或二次打包安装器判断真伪。若发布方提供数字签名或校验值，可按其说明核验；操作系统出现开发者无法验证、签名不匹配等提示时，不要为了启动而直接绕过警告，应先重新确认来源。
安装代理客户端通常需要的权限，应与功能相符：修改系统代理、建立 TUN 或创建 Android VPN 连接，可能需要相应授权；要求读取通讯录、短信或无关文件权限，则应先查明理由。服务提供方也需要单独评估：查看其公开的服务条款、隐私说明、退款规则和支持渠道，不要把匿名宣传、测速结果或社群口碑当作安全审计。任何代理或 VPN 服务都可能看到部分连接元数据，服务商的承诺需要结合其实际运营和当地法律环境理解。
第一次配置时，建议只安装一个客户端、使用一份确认来源的配置，并记录客户端版本、内核版本和当前系统代理状态。出现无法连接，按“配置是否加载—节点是否可用—规则选择了什么—流量是否进入内核—系统权限与网络是否正常”的顺序排查。排障完成后恢复临时改动，关闭不再使用的代理入口，并妥善保管订阅地址。这样比反复更换客户端、同时叠加多个 VPN 或复制不明配置，更容易找到原因，也更不容易留下系统设置残留。