Clash 名詞解釋:22 條代理術語分類速查

一種輕量加密代理協定,自 2012 年起在社群廣泛使用。用戶端與伺服器端透過預先共享的密碼與指定加密方法建立連線,設定欄位少、負擔低。Clash 系用戶端原生支援其常見加密套件,是訂閱節點清單中最常見的協定類型之一。

V2Ray 專案定義的傳輸協定,依使用者 UUID 做身分驗證,可搭配 WebSocket、gRPC 等多種傳輸層並疊加 TLS。設定欄位比 Shadowsocks 多,server、port、uuid、network 任一項填錯都會導致連線失敗,常見於需要偽裝成一般 HTTPS 流量的情境。

以「讓代理流量看起來就是一次普通 TLS 連線」為設計目標的協定。伺服器端通常監聽 443 埠並以密碼驗證,驗證失敗的連線會被轉交給一個真實網站,以降低被主動偵測識別的機率。協定要求伺服器端持有有效憑證,用戶端設定相對簡單。

基於 QUIC(UDP)的代理協定,內建壅塞控制演算法,針對高封包遺失與跨境長距離線路做了最佳化。mihomo 核心已內建支援,原版 Clash 核心無法載入此類節點。使用前需確認本機網路未封鎖對應埠的 UDP 流量,否則節點會顯示逾時。

用 Go 語言撰寫的規則型代理核心,負責監聽本機埠、解析設定檔、依規則把每條連線分派到不同出口。各種圖形用戶端本質上都是這個核心的外殼,提供開關與訂閱管理介面。原始儲存庫已於 2023 年停止更新,現由社群分支延續維護。

社群維護的 Clash 核心分支,曾用名 Clash.Meta。在原核心基礎上補充了 VLESS、Hysteria2、TUIC 等協定支援,以及更完整的 DNS 與 TUN 實作。目前主流用戶端(Clash Verge Rev、FlClash 等)預設搭載的都是這個分支,相容原有設定格式。

基於 Tauri 框架的跨平台圖形用戶端,內建 mihomo 核心,涵蓋 Windows、macOS 與 Linux 三個平台。提供訂閱管理、系統代理與 TUN 開關、Merge 與 Script 設定增強等功能,是 Clash for Windows 停止維護後的常見替代選擇。各平台安裝檔請見用戶端頁面。

設定中的 external-controller 欄位,即核心對外開放的 RESTful API 位址,預設監聽 127.0.0.1:9090。網頁面板(如 metacubexd)透過它讀取節點延遲、切換策略組、查看即時連線。若把監聽位址改為對外可連線,應同時設定 secret 密語,避免被區域網路內其他裝置操控。

服務商提供的一個 URL,存取後回傳完整設定或節點清單。用戶端按固定週期或手動觸發重新抓取,以同步節點增減與位址變動。連結本身等同於憑據,外流後他人可直接取用帳號的流量額度,不應公開張貼。匯入步驟請見教學頁。

用戶端載入的完整設定單元,包含埠、DNS、節點、策略組與規則等所有段落。一個用戶端可以保存多份 Profile,同一時間只有一份處於啟用狀態;從訂閱抓取的設定同樣以 Profile 形式落在本機,更新訂閱即會覆蓋對應檔案。

Clash 設定採用的文字格式,靠縮排表達層級關係,縮排統一使用空格,禁止 Tab 字元。縮排錯位、冒號後缺少空格是設定無法載入最常見的兩個原因。手動修改設定前建議先備份原始檔案,載入報錯時優先核對報錯行附近的縮排。

設定中的 proxy-groups 段落,把多個節點組織成一個可選擇的出口集合。select 類型由使用者手動選擇,url-test 依測速結果自動選出最快節點,fallback 依順序做故障切換,load-balance 在多個節點間分攤流量。規則末端指向的通常是策略組而非單一節點。

設定中 rules 段落定義的比對清單,按網域關鍵字、網域後綴、IP 區段、程序名稱等條件由上而下逐條比對,第一條命中即生效,決定這條連線走代理、直連還是拒絕。清單末端的 MATCH 規則兜底處理所有未命中的流量,規則順序直接影響分流結果。

兩類預編譯規則資料庫:GeoIP 依 IP 所屬地區比對(如 GEOIP,CN 命中所有中國大陸 IP),GeoSite 依維護好的網域清單比對(如 GEOSITE,category-ads)。它們把成千上萬條規則壓縮成一條引用,資料檔案隨核心發布,需要定期更新以維持準確度。

用戶端把本機 HTTP/SOCKS 代理設定寫入作業系統,讓遵循該設定的應用程式(瀏覽器、多數連網軟體)自動把流量送往 Clash 的監聽埠。部分軟體不讀取系統代理設定,這類流量不會被接管,需要改用 TUN 模式或在軟體內單獨填入代理位址。

在系統中建立一張虛擬網路卡,把本機全部 IP 層流量導入核心處理,不依賴應用程式是否遵循代理設定,可涵蓋命令列工具、遊戲用戶端等情境。啟用需要系統管理員或 root 權限,並建議搭配 Fake-IP 與 DNS 劫持設定使用,否則容易出現解析異常。

一種 DNS 應答策略:核心對網域查詢先回傳保留網段內的虛假 IP(預設 198.18.0.0/16),等實際連線到來時再依網域比對規則,免去等待真實解析的時間。在 Fake-IP 與傳統 redir-host 模式之間切換後,建議清空系統 DNS 快取,避免殘留對應造成存取異常。

Windows 的 UWP 應用程式(微軟商店應用程式)預設被系統禁止連線本機回環位址,因此無法使用監聽在 127.0.0.1 的本機代理埠。需要用 CheckNetIsolation 命令或用戶端內建的回環豁免工具為對應應用程式解除限制;微軟商店、Xbox 類應用程式連網異常多與此有關。

代理已經生效,但網域解析請求仍然直接送往本地電信業者 DNS,導致存取目標暴露給本地網路的情況。多由 DNS 請求未被核心接管所致,可透過啟用 TUN 模式搭配 DNS 劫持,或使用 Fake-IP 模式規避,處理後用洩漏偵測網站驗證結果。

用戶端向指定測試位址(常見為 http://www.gstatic.com/generate_204)發出請求並記錄耗時,單位毫秒。數值反映建立連線的往返時間,不等於下載頻寬,低延遲節點不一定速度快。url-test 類型的策略組即依此結果自動選擇目前出口。

設定中的 mixed-port 欄位,在同一個本機埠上同時接受 HTTP 與 SOCKS5 兩類代理請求,常見預設值為 7890。應用程式端無論按哪種協定設定代理,都可以指向這同一個埠,省去分別記憶 HTTP 埠與 SOCKS 埠的麻煩。

DNS over HTTPS 與 DNS over TLS 的簡稱,把明文 DNS 查詢封裝進加密通道傳輸。Clash 設定的 nameserver 清單支援以 https:// 或 tls:// 前綴的寫法直接使用這類伺服器,可降低解析結果在線路上被竄改或被竊聽的機率。