Clash 连不上怎么办 节点、订阅、系统代理与网络故障排查

界面全红与无网络连接小地球的核心表象#

在日常使用中，用户所感知的连不上，通常集中呈现在以下两个截然不同的交互层级：

第一个层级是客户端内部状态全红（Core Level Disconnect）：打开 Clash 界面进入代理面板，点击右下角的一键测速闪电图标，列表中几十个节点在几秒钟内无一例外全部变成红色 Timeout，或者延迟数值显示为令人费解的 0ms。此时客户端日志往往充斥着 dial tcp: i/o timeout 或 remote error: tls: handshake failure。这标志着 Clash 核心与外部物理中转服务器之间的通信链路在传输层彻底中断；

第二个层级是操作系统全局断网（System Level Disconnect）：Clash 客户端内部的节点或许测速正常，但一旦开启系统代理（System Proxy）或 TUN 模式，Windows 任务栏右下角的网络图标立即变成无网络连接的小地球，所有浏览器网页提示 ERR_CONNECTION_TIMED_OUT 或 ERR_PROXY_CONNECTION_FAILED。这表明问题已经超越了节点本身，发生在操作系统网络栈接管、虚拟网卡驱动路由表、或者本地回环套接字端口的分配与争抢上。

连不上的三大根源分类控制信令层、流量转发层与系统接管层#

在计算机网络工程体系中，可以将 Clash 的运行解构为三个层层递进的子系统： 第一是控制信令层（Control Plane）：负责定期与机场 Web 服务器通信、获取并更新订阅、校准系统授权。如果该层失效，客户端只能依赖已经过期的旧节点甚至空配置； 第二是流量转发层（Data Plane）：负责具体的数据包加密封装、多路复用与跨境隧道传输。如果该层失效，表现为节点物理连通性彻底中断； 第三是系统接管层（Ingress / System Plane）：负责通过 Windows 注册表（WinINet API）或 Wintun 虚拟网卡驱动，强制将本机的全部应用程序网络流量劫持进 Clash 的本地监听端口（默认 7890）。如果该层失效，流量根本无法流入 Clash，或者流入后引发本地环路死锁。

数据包从浏览器到远端目标站点的端到端流转管道#

下图完整展现了一个标准的网络请求在通过 Clash 时所必须穿透的七级通信拓扑：

节点测速全部超时背后的物理链路阻断#

在 Clash 的图形界面中，点击测速按钮时，核心实际上是向配置中指定的健康检查 URL（通常为 http://cp.cloudflare.com/generate_204 或 http://www.gstatic.com/generate_204）并发发起极其简短的 HTTP 请求。

如果所有节点在两秒内无一例外全部变成红色超时： 首先排查本地家庭宽带与国内中转入口之间的公网质量。很多时候，并非海外落地节点死机，而是该机场位于国内某省份的 BGP 中转服务器遭遇了外部网络封锁或硬件宕机； 中转服务器一旦无法通信，所有挂载在它后方的香港、日本、美国落地线路在物理链路上瞬间失去了前置桥梁； 其次，检查当前连入的本地 Wi-Fi 是否处于星巴克、酒店或校园网的强制网页认证状态。在通过短信完成认证之前，所有对公网的 TCP 发包都会被本地路由器硬性丢弃。

系统时钟毫秒级漂移引发的 TLS 证书与时间戳熔断#

这是一个极其普遍、却极易被普通用户忽视的隐形杀手。现代安全代理协议对于时间精度的要求达到了苛刻的程度。

以广泛使用的 VMess 协议为例，协议为了防范针对重放攻击（Replay Attack）的截获破解，在生成数据包校验头时引入了当前 Unix 时间戳哈希。协议规范严格要求：客户端的系统时间与远端服务端的系统时间，其绝对偏差值绝对不得超过 90 秒。一旦误差突破 90 秒，远端服务器会直接判定该连接属于恶意重放窃听攻击，直接在底层丢弃数据包且不回送任何错误代码； 在基于标准 TLS 加密构建的 Trojan、VLESS Reality 协议中，如果电脑主板的 CMOS 纽扣电池电量耗尽，每次开机时间自动倒流到数年前，Clash 在校验对端服务器的数字证书有效期时，会发现当前系统时间处于证书的有效起始日之前，客户端为了保护通信安全，会主动引爆安全熔断并掐断握手，在日志中留下 x509: certificate is not yet valid。

订阅长期未更新导致的节点过期与注销#

许多用户在配置好 Clash 之后，长达数月从未手动更新过订阅，且未开启定时自动同步。 机场运营方为了优化成本、避开公网打击，其底层中转入口的公网 IP 与境外落地的机房端口几乎每周都在动态割接轮换； 旧的中转服务器一旦停止租赁或被彻底封杀，其端口便会永久离线； 如果用户客户端里保存的依然是三个月前的死节点，发出的所有请求都会撞向早已空无一物的废弃机房，必然导致全网瘫痪。养成每周定期同步最新配置的习惯是保持顺畅的基本素养。

订阅自举循环死锁排查实战#

这是导致原本正常运行的 Clash 突然莫名其妙连不上的经典逻辑黑洞： 用户客户端内原本的节点由于某些外部原因突然暂时不可用； 用户看到节点红字，下意识地立刻点击更新订阅； 但是，此时客户端上的系统代理（System Proxy）开关或者全局 TUN 模式正处于开启状态； 由于系统代理生效，Windows 协议栈强行将这个拉取新订阅的 HTTP 请求送回了本机的 127.0.0.1:7890 代理端口； 代理核心尝试通过当前选中的节点去拉取新订阅，而当前节点已经断开； 于是，拉取新订阅的请求在死节点中超时，新节点更新不下来，旧节点永远无法复活，整台电脑陷入不可逆的自举死循环。

解决此死锁的操作极其简单：坚决先将界面上的系统代理开关关闭，改用纯原生网络去点击更新，待新节点满血入库后，再重新打开系统代理。

Windows 注册表 ProxyEnable 键值争抢与恶意篡改#

在 Windows 系统中，Clash 默认采用的系统代理模式本质上是在修改 Windows 注册表中的 Internet Settings 键值。 其核心配置位于： HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings 其中的关键键为： ProxyEnable（必须为数字 1）； ProxyServer（必须精确指向 127.0.0.1:7890，或你在 Clash 中自定义的混合端口）。

然而在现实环境中，经常爆发残酷的注册表争抢： 第一，电脑后台安装了某些国内流氓下载器、网关加速工具或已卸载软件的残留守护进程。这些进程在后台每隔数秒就会暴力遍历注册表，一旦发现 ProxyEnable 变成了 1，便会在几毫秒内将其强行修改回 0，导致用户在 Clash 里刚点开开关，Windows 设置里的开关瞬间自动关闭； 第二，如果用户曾安装过 v2rayN、老版小火箭或各类专用 VPN 客户端，这些软件在异常退出时可能将 ProxyServer 写死成了它们自己的端口（如 10808 或 10809）； 当 Clash 运行时，虽然把 ProxyEnable 设为了 1，但流量实际上被送入了无人值守的 10808 端口，浏览器自然只能抛出标准的 ERR_PROXY_CONNECTION_FAILED。

检查与重置 Windows 系统代理注册表实操#

在 Windows PowerShell 中，可以使用以下命令行直接透视当前注册表的真实数值并执行暴力纠偏：

1
# 1. 审查当前 Windows 系统的真实代理注册表键值
2
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" | Select-Object ProxyEnable, ProxyServer, AutoConfigURL
3

4
# 2. 强制修复并校准代理端口为 Clash 默认的 127.0.0.1:7890
5
Set-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name ProxyEnable -Value 1
6
Set-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name ProxyServer -Value "127.0.0.1:7890"
7

8
# 3. 清理可能存在的恶意 PAC 自动配置脚本地址
9
Remove-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name AutoConfigURL -ErrorAction SilentlyContinue
10
Write-Host "系统代理注册表参数已强制校准完毕！" -ForegroundColor Green

Wintun 虚拟网卡驱动崩溃与 Service 模式权限缺失#

为了接管那些不遵循注册表代理的应用程序（如命令提示符、各类外服网络游戏、Docker 容器等），用户通常会开启 TUN 模式。 在 Windows 平台上，TUN 模式极其依赖 Wintun 内核网卡驱动。 如果用户在启动 Clash 时未安装核心服务（Service Mode），普通标准权限的 Clash 进程根本没有向 Windows 内核注册网络硬件适配器的系统级权限。 当用户在前端勾选 TUN 模式时，界面虽然亮起了绿灯，但底层的 Wintun 网卡由于提权失败根本没有被初始化，系统路由表中也未注入默认网关路由。流量依然从物理网卡裸连流出，从而造成假性失效。

路由器 IPv6 泄露导致的绕路裸连#

这是近年来导致开启 Clash 后依然频繁卡死打不开海外站点的超级元凶。 国内电信、联通、移动已经在光纤宽带中全面开通了原生公网 IPv6，家用路由器默认开启了 IPv6 无状态自动分配（SLAAC）。 在默认状态下，许多 Clash 配置为了防止兼容性问题，将全局参数显式设置为了 ipv6: false； 然而，当你在浏览器中输入 www.google.com 时，Windows 系统的双栈自适应算法（Happy Eyeballs）会同时向路由器下发的 IPv6 DNS 发起 AAAA 记录解析； 本地运营商的 DNS 回送了 Google 的原生公网 IPv6 地址； 此时，由于 Clash 内部关闭了 IPv6 栈，操作系统的网络引擎判定 IPv6 流量无需通过 Clash 的 IPv4 代理端口，直接通过电脑的物理以太网卡向境外的 IPv6 地址发起直连握手； 这股流量在刚刚跨出省际骨干网的瞬间，被国家级公网防火墙直接斩断丢弃，导致浏览器长时间转圈直至报错。

彻底解决该问题的方案有两个：其一是在物理网络适配器属性中，直接取消勾选 Internet 协议版本 6 (TCP/IPv6)；其二是在 Clash 配置文件中，全面开启针对 IPv6 栈的完整接管与 Fake-IP 解析支持。

Fake-IP 模式下保留网段路由冲突与清除实战#

在现代 Clash 配置中，DNS 增强模式普遍推荐使用 fake-ip。 该模式将所有境外未命中的域名，全部在本地虚拟伪造为一个 198.18.0.1/16 保留保留网段的内部 IP 并快速回送给浏览器，从而将真正的域名解析延迟推迟至境外落地节点上去执行，极大地提升了网页初次载入速度。

然而，如果电脑经历过非正常关机、蓝屏死机或客户端崩溃退出，Windows 的系统级 DNS Client（dnscache）服务可能会把这个临时的假 IP 固化在内存缓存中数天之久。 当下一次你换了一个网络环境或退出了代理，浏览器依然拿着 198.18.x.x 这个保留私网 IP 发包，由于本地网络中根本没有该网段的路由指引，整台电脑就会陷入即使拔掉网线重插也打不开网页的绝境。

在管理员权限的命令提示符中，执行以下指令快速清空毒化缓存：

1
# 彻底清空 Windows 操作系统本地 DNS 客户端解析缓存
2
ipconfig /flushdns
3

4
# 测试本地回环 7890 代理端口是否能够穿透直达海外目标
5
curl -v -x http://127.0.0.1:7890 https://www.cloudflare.com/cdn-cgi/trace --connect-timeout 5

案例一 电脑重启后 Clash 无法打开任何网页且右下角报小地球#

用户痛点描述：用户在早晨开启 Windows 台式电脑，自动启动了 Clash Verge。界面显示系统代理已开启，节点测速显示绿色 55ms。然而浏览器无论输入百度还是 Google 全部提示连接失败，Windows 任务栏右下角的网络图标显示为无 Internet 访问的小地球。

排障诊断过程： 排查人员首先使用手机连接同一局域网 Wi-Fi，发现手机上网完全顺畅，排除宽带光衰问题； 在电脑端打开 PowerShell 运行 Get-ItemProperty 检查注册表，发现 ProxyEnable=1 且 ProxyServer=127.0.0.1:7890，系统代理设置完好； 进一步运行 netstat -ano | findstr 7890，令人震惊的一幕出现了：在本地 7890 端口上，竟然没有任何进程处于 LISTENING 监听状态； 原来，电脑在开机自启动时，Clash 的图形前端虽然弹出了托盘图标，但底层的 Mihomo 核心服务由于与系统某项自启安全软件争抢端口，发生了静默崩溃退出； 操作系统把全机的流量全部送往了一个根本没有程序在监听的死端口，必然引发全盘断连。

最终根治措施：在 Clash 设置中关闭开机自启的静默模式，重新点击重启核心（Restart Core）按钮，并在 Windows Defender 中将核心可执行程序加入排除项。核心成功在 7890 端口恢复监听，全网瞬间秒通。

案例二 节点列表延迟全部 60ms 绿色但所有海外网页打不开#

用户痛点描述：某跨国贸易主管反映，其笔记本上的 Clash 界面极为健康，一键测速显示所有香港节点延迟均在 60ms 左右的优异绿色区间。但只要在 Chrome 中打开 Google 搜索或后台 ERP 系统，浏览器就必定在转圈 15 秒后弹出 ERR_EMPTY_RESPONSE 或无法访问此网站。

排障诊断过程： 既然测速为绿色，证明电脑到机场国内中转服务器的物理通道绝对畅通； 排查人员让用户打开 Clash 的连接监控面板（Connections），在掉线发生的瞬间抓取请求包特征； 发现当访问 Google 时，请求的 Destination 目标 IP 居然全部属于用户本地中国电信宽带的私有保留网段； 原来，该用户在分流规则中，误将某条自定义规则写成了针对 Google 域名的 DIRECT 直连； 而国内电信骨干网自然无法直连 Google，防火墙精准切断了该连接； 而节点测速测试的是 Cloudflare 的 204 端点，走的是代理通道，因此显示为绿色。

最终根治措施：审计并修正用户的自定义规则文件，将 Google 相关域名从 DIRECT 移回 PROXY 代理策略组中。保存刷新后，Google 页面瞬间秒开。

案例三 换用公司 Wi-Fi 后节点全部变成红色 Timeout#

用户痛点描述：某程序员在家中使用 Clash Verge 极其顺畅，但只要携带笔记本进入公司办公室并连接企业内部 Wi-Fi，原本绿色的几十个节点在两秒之内全部瞬间变成红色 Timeout，且无论怎么重启电脑都无法恢复。

排障诊断过程： 排查人员在公司内网环境下打开命令提示符，执行 curl -v 向机场中转入口发起测试； 发现 TCP 握手在第 1 跳就被公司网关回送了 Connection refused； 深入排查发现，该企业的下一代企业级防火墙（深信服 NGFW）在内网交换机上部署了极其严格的出站安全策略：禁止内部终端向公网非标准端口发起任何连接，除了标准的 80、443、8080 端口外，其余所有高位端口（如 10000 到 65535）全部在网关处物理封死； 而该用户所使用的机场，其国内中转入口服务器全部使用的是 20000 以上的高位端口，数据包根本无法跨出公司大门。

最终根治措施：用户在机场后台找到专门为公司办公内网环境打造的免封锁备用订阅（该订阅中的所有入口均经过端口复用映射在标准的 HTTPS 443 端口上）。导入新配置后，节点在公司内网全量恢复绿色。

案例四 退出 Clash 后整台电脑彻底断网无法打开任何网站#

用户痛点描述：用户在下班准备玩国服网络游戏时，右键退出 Clash Verge 客户端。不料刚关闭软件，整台电脑立刻陷入彻底断网状态，无论是微信、网游还是任何国内网站全部无法访问，重新打开 Clash 开启代理又能恢复，陷入了必须终身开着 Clash 才能上网的绑架怪圈。

排障诊断过程： 这是最典型的由于代理软件未能优雅注销系统代理引发的经典死锁； 当 Clash 正常运行时，它在 Windows 注册表中设置了 ProxyEnable=1； 当用户退出软件时，由于程序被意外强制结束、或者程序内部的退出钩子函数被安全卫士阻断，Clash 根本来不及在退出前将 ProxyEnable 改回 0； 软件进程已经关闭了，但 Windows 注册表却依然以为代理还在运行，继续强行将全机所有网络请求送往已经无人的 7890 端口； 导致整台电脑陷入完全无法直连的瘫痪状态。

最终根治措施：进入 Windows 设置 -> 网络和 Internet -> 代理，在手动设置代理一栏中，手动将使用代理服务器的开关拨至关闭并保存；随后在 Clash 设置中开启退出时自动清理系统代理选项。此后正常退出再无断网。

问题一 为什么我的 Clash 节点测速全部显示红色的 Timeout 但手机上同一机场完全正常？#

既然手机在同一 Wi-Fi 下正常，证明机场节点本身与入户宽带物理网络绝对健康。问题 100% 局限在电脑本身：第一排查电脑的系统时间是否与标准北京时间存在数分钟误差，导致 TLS 握手被证书安全机制熔断；第二排查电脑上的第三方杀毒软件（如 360、火绒或 Windows Defender）是否在底层拦截了 Clash 的出站数据包；第三排查电脑是否安装了旧版已失效的虚拟网卡驱动。

问题二 为什么打开 Clash 后微信能正常聊天但任何浏览器网页都打不开？#

微信等即时通信软件使用的通常是底层预设的直接 IP 通信、或者调用了底层的独立套接字接口，绕过了 Windows 的系统代理设置。而 Chrome、Edge 等浏览器则严格遵循操作系统的 Internet Settings 注册表代理设置。如果浏览器打不开，通常是本地的系统代理端口发生了冲突（例如其他软件占用了 7890 端口）、或者浏览器安装了配置错误的 SwitchyOmega 等扩展插件。

问题三 开启 TUN 模式和开启系统代理模式有什么区别，哪个更好？#

系统代理模式属于应用层的弱接管，它只管那些自觉读取操作系统代理设置的普通软件（如主流浏览器），不具备强制接管能力；TUN 模式则属于网络层的强接管，它通过在操作系统内核中注入一个虚拟网络适配器设备（Wintun），将全机所有的底层 IP 数据包（包括终端命令行、Steam/Epic 游戏客户端、各类后台服务）强制吸入代理核心。对于深度开发者与游戏玩家，开启 TUN 模式拥有全网最高的兼容性与稳定性。

问题四 为什么把 Clash 最小化到系统托盘后隔一段时间就会自动断网？#

这是因为操作系统的激进节能管理机制介入了。特别是在笔记本电脑上，当系统检测到某个应用处于后台非活动状态、且屏幕处于低功耗模式时，操作系统可能会将 Clash 的工作线程判定为休眠对象，从而限制其对 CPU 的调用并切断长连接心跳。在客户端设置中，开启防止系统休眠或阻止 App Nap 选项，并将其置于电源管理的高性能白名单中即可彻底根治。

问题五 怎么判断 7890 端口是不是被本地其他软件冲突占用了？#

在管理员权限的 PowerShell 中运行 netstat -ano | findstr 7890。如果返回的结果中，最右侧的进程 PID 对应的并不是 clash-verge.exe 或 mihomo.exe，而是迅雷、百度网盘或某个本地工业数据库，说明你的 7890 端口已经被其他软件强行抢占。此时你可以在 Clash 设置中，将混合端口（Mixed Port）从 7890 手动更改为冷门未被占用的端口（如 17890），保存后即可秒速恢复。

问题六 为什么有时候节点测速全是 0ms 或非常诡异的数字？#

如果测速结果显示为 0ms，通常代表本次测速在底层根本没有真正发出网络包，而是客户端在调用测速逻辑时直接抛出了套接字创建异常；或者该节点配置中的物理参数（如加密算法、混淆伪装）写错了，导致客户端在握手前直接被本地断言拦截。而在开启某些特定透明网关或 Fake-IP 深度劫持时，如果把测速目标定向到了本地回环，也会测出虚假的 0ms 现象。

问题七 可以在公司局域网内开启 Clash 的局域网共享功能吗？#

如果公司网络管理极其严格，开启局域网共享（Allow LAN）具有一定的合规风险。开启后，你电脑的 7890 端口将对整个办公室局域网开放，同网段的其他同事只要将代理指向你的电脑 IP 就能共享翻墙。这不仅会迅速挤爆你个人电脑的连接数上限，更容易引起企业网络审计系统的警觉，甚至被判定为私设未经审批的网络代理服务器而触发安全告警。

问题八 为什么规则模式（Rule）下打不开外网但切换成全局模式（Global）就能开？#

这表明你的节点物理链路完全通畅，纯粹是分流规则集（Rules）存在严重的逻辑缺陷。在规则模式下，你所访问的海外目标域名，可能被某些过期的规则集错误地归类为了 DIRECT 直连、或者被错误的 GeoIP 数据库误判为了国内流量，从而强行走本地宽带被防火墙精准拦截。切换为 Global 模式跳过了规则判断强制走节点，自然能够打开。需要更新你的客户端分流规则集。

问题九 退出 Clash 导致断网后，有没有一键修复网络的方法？#

最快的一键自愈方法是在键盘上按下 Win + R 键，输入 inetcpl.cpl 打开传统的 Internet 属性面板，切换至连接标签页，点击下方的局域网设置（LAN Settings），直接取消勾选为 LAN 使用代理服务器这一选项并点击确定。这一动作会在一秒之内强制重写系统注册表，拔掉所有死锁的代理配置，瞬间恢复直连上网。

问题十 为什么有些机场的节点在 Clash 里测速很慢但在小火箭里很快？#

不同客户端默认的测速机制与并发参数不同。小火箭在测速时通常只建立一次极短的 TCP 握手并读取握手耗时；而现代 Clash 客户端在测速时，默认发起的是一次完整的 HTTP GET 下载探测，测量的是包含 TLS 协商与内容回传的完整往返时间。此外，两台设备所处小区的 Wi-Fi 频段干扰、以及电脑后台是否有杀毒软件审查过滤流量，都会造成跨设备测速表现的客观差异。