Clash 订阅格式科普:Base64 节点列表、YAML 配置与分享链接的区别
听说过 Clash，却分不清它和 VPN、机场订阅分别是什么？这篇新手指南用简单例子讲清代理客户端、订阅服务与流量规则的关系，并提供客户端选择、订阅核验和安全下载的入门建议。
先分清三种角色：客户端、代理服务和 VPN
刚接触 Clash 时，最容易把软件、订阅和网络服务当成一回事。可以先用一个简单的比喻理解：Clash 像一位负责接收请求、按规则分流的本地调度员；代理节点像可供选择的网络出口；订阅则像一份会更新的节点或配置清单。三者配合后，应用的连接才可能通过所选节点发出。Clash 本身通常不提供代理服务器，也不会因为安装完成就自动获得可用线路。
“VPN”指虚拟专用网络技术，原本常用于把设备接入企业内网。日常所说的商业 VPN，通常是服务商提供客户端和远端服务器，将设备的部分或全部网络流量通过加密隧道送往服务商的出口。不同产品实现差异很大，因此“VPN”这个词本身并不能说明服务质量、隐私政策或具体接管范围。
Clash 是代理客户端和规则处理工具，不是 VPN 服务商。它可以使用配置中的节点与策略，也能根据规则决定连接直连、代理或拒绝。现代 Clash 系客户端常使用 mihomo 内核；mihomo 是 Clash Meta 后续采用的项目名称。客户端负责界面、配置管理和系统集成，内核负责解析配置、建立连接并处理流量。
- Clash 客户端：运行在电脑或手机上的程序，管理配置、节点、代理模式和日志。
- 节点或代理服务：提供远端网络出口及连接参数的一方。节点可用不等于服务商可信，也不代表所有目标都一定可访问。
- 订阅：用于获取节点列表或配置的地址和数据。它可能包含访问凭据，属于敏感信息。
- VPN 服务：服务商或组织提供的远端接入能力；商业 VPN 客户端通常会把连接、隧道和服务器选择封装在一套产品中。
Clash 和 VPN 的实际区别：看流量入口与连接方式
两者的区别不只是界面长什么样，而是流量如何进入客户端、由谁决定出口，以及服务端由谁提供。Clash 常见的桌面使用方式是设置系统代理：遵循系统代理设置的浏览器或应用，把相应请求交给本机代理端口，再由 Clash 按规则选择策略。没有遵循系统代理的程序可能绕过该入口。
Clash 也可以在支持的平台和内核环境中使用 TUN 等方式接管更多网络流量。TUN 通过虚拟网络接口和系统路由，把符合条件的连接送入内核处理；它不是“自动让所有流量都走远端”的开关。规则仍可能把连接交给 DIRECT，分应用设置、路由、DNS 和操作系统权限也会影响实际结果。Android 客户端常通过系统 VpnService 建立流量入口，因此系统状态栏可能显示 VPN 图标，但这不等于客户端变成了 VPN 服务商。
商业 VPN 客户端通常先建立设备到服务商服务器的加密隧道，再由该服务器转发流量。它可能提供全局连接、分应用排除或分流等功能，具体取决于产品。Clash 的节点协议、加密方式和配置则由实际节点及内核支持情况决定，不能仅凭“Clash”名称推断所有流量都经过同一条加密隧道。
| 比较项 | Clash 客户端 | 常见商业 VPN |
|---|---|---|
| 主要职责 | 读取配置、处理规则，并连接配置指定的代理出口 | 连接服务商提供的 VPN 服务器与隧道 |
| 服务器来源 | 通常由用户另行取得节点或订阅 | 通常由 VPN 服务商提供并管理 |
| 流量选择 | 可按域名、IP、进程或策略组等配置分流，具体能力取决于平台和内核 | 常见为全局隧道，也可能有分应用或分流功能 |
| 配置方式 | 订阅、本地 YAML、节点和规则等，需注意兼容性 | 通常由应用界面选择服务器和连接选项 |
| 适合谁 | 希望了解节点、规则和策略，并愿意管理配置的人 | 希望通过单一应用连接服务商网络的人 |
表格概括的是常见情况，不是对每个产品的保证。有些 VPN 产品也提供分流，有些 Clash 客户端会把多个配置步骤做成向导。判断时应看流量接管方式、服务端来源、配置责任和隐私条款，而不是只看应用是否出现“VPN”字样。
订阅和规则分别做什么：不要把买到订阅当成配置完成
订阅不是 VPN，也不是一条已经建立的连接。它可能返回完整 YAML 配置、节点列表，或供客户端进一步解析的内容。不同服务提供的格式并不相同；同一条订阅地址也可能因客户端类型、登录状态或服务端设置而返回不同结果。能成功添加到客户端，只说明导入流程完成了一部分，不代表节点、规则、DNS 和内核都兼容。
一个常见配置会把多个节点放进代理组，再由 rules 按顺序决定连接使用哪个策略。例如，命中本地地址的规则可能走 DIRECT，命中某个域名规则的连接可能交给代理组，最后的兜底规则再处理未匹配流量。选中一个节点只是在策略组中指定候选出口，不会自动改写所有规则，也不能确保所有应用都会进入 Clash。
- 配置订阅：可能含端口、节点、策略组、DNS 和规则；更新后配置内容也可能变化。
- 节点列表：主要提供代理节点信息，可能仍需另行配置策略组和规则。
- 策略组：定义如何选择候选节点，例如手动选择或按延迟选择；可用类型取决于内核。
- 规则：决定连接应该使用哪个策略。规则顺序、匹配范围和最终兜底策略都会影响结果。
导入后先确认配置解析成功，再查看策略组是否有节点、当前选择是否有效，并检查运行日志。若界面显示“连接成功”但网页打不开，可先用一个已知可访问的目标测试，再查看对应连接记录命中了什么规则、选择了哪个策略，以及 DNS 是否解析成功。不要一遇到故障就反复更换订阅；先区分是订阅过期、节点不可达、规则误选、DNS 问题，还是应用没有使用代理入口。
订阅地址往往带有账户标识或访问令牌。不要把完整地址、二维码、节点密码或解码后的配置公开贴到论坛和截图中。若怀疑订阅泄露，应通过服务商提供的方式更新凭据，并在客户端中替换旧订阅。对来源不明的配置要谨慎：配置中的代理地址、DNS、规则和脚本等设置会影响连接行为，不能仅凭“能导入”就判断可信。
新手选择与避坑：先验证来源，再逐步增加功能
选客户端时，先确认操作系统、处理器架构、内核兼容性和维护状态。Windows、macOS、Android 与 iOS 的流量接入能力不同；同一应用在不同系统上也可能使用不同内核或设置入口。不要为了追求“功能最多”一开始就打开 TUN、局域网共享、脚本或复杂 DNS 选项。先用受支持的配置建立最小可用连接，再按需求增加功能，更容易定位问题。
- Windows：若只想让常见桌面应用使用代理，可先从系统代理模式开始；确有程序不遵循系统代理时，再了解客户端支持的 TUN 接入与权限要求。
- macOS：检查客户端是否适配当前系统版本和芯片架构。系统代理与虚拟网卡接管范围不同，升级系统后应重新确认权限和网络扩展状态。
- Android：首次启用通常需要允许系统 VPN 请求。该授权只允许客户端建立本机网络接口，不会替你提供订阅或远端服务器；电池限制也可能影响后台连接。
- iOS：可用客户端与配置能力受系统规则和应用实现限制。先确认应用支持的配置格式与功能，不要直接照搬桌面端 YAML 参数。
下载时优先从可信的项目发布渠道或本站客户端页面进入，核对应用名称、平台、架构与版本信息。不要运行来源不明的“加速器安装包”，也不要为了安装而关闭系统安全防护。遇到要求输入系统密码、安装根证书、导入描述文件或授予管理权限的步骤，先查清用途；不确定时停止操作。安装包名称相似并不代表开发者相同，搜索结果中的广告和仿冒下载页也需要仔细辨别。
第一次配置建议按小步验证：安装客户端后先确认版本和内核信息；导入可信配置并确认能解析；选择一个策略组中的可用节点；启用系统代理或按需开启客户端要求的流量模式；再用连接记录检查测试请求。修改一项设置后进行一次对照测试，避免同时改端口、DNS、TUN 和规则，最后不知道是哪一步改变了结果。
Clash 和 VPN 没有脱离需求的绝对优劣。需要精细规则、自己管理节点并愿意维护配置时，Clash 更灵活；希望由服务商整合客户端、服务器与连接流程时，商业 VPN 可能更省心。无论选择哪种方式，都应先了解服务提供者、数据处理政策和应用实际接管范围，再决定是否用于敏感通信。