Mihomo 完整使用教程 核心功能、订阅、TUN 与规则配置

原生支持 Hysteria 2 与 TUIC 协议的底层优势#

在过去以 Shadowsocks 与 VMess 主导的传统加密代理体系中，所有网络通信均重度依赖单一的 TCP 协议长连接。当遇到晚高峰国际出口拥堵、物理光纤抖动或运营商部署的高烈度 QoS 暴力丢包时，TCP 严格的按序确认机制会直接引发连锁拥塞，整机网络吞吐量瞬间跌落至冰点。

Mihomo 内核在最底层重构了原生基于 QUIC 协议栈的高并发调度引擎，全面下放了对 Hysteria 2 与 TUIC v5 的原生支持。这两大现代协议均构建在无连接的 UDP 基础之上，将数据拆分为多个彼此互不干扰的独立流通道。

当某个特定数据流遭遇网络丢包时，其他并发流依然能够保持全速传输，彻底消除了困扰传统工具数年之久的队头阻塞顽疾。与此同时，Mihomo 还创新性地集成了激进的拥塞控制算法（包括 BBR 与 Brutal）与自适应端口跳跃机制。即使在丢包率突破 20% 的极端恶劣跨境网络环境下，Mihomo 也能够以惊人的爆发力维持极高的数据吞吐率，使 4K 与 8K 极清视频播放实现秒开起播。

从 Go 语言内存管理透视长期运行稳定性#

很多资深用户在将代理软件部署于 7x24 小时不间断运行的家用软路由或办公室服务器时，经常会遇到运行数周后内存缓慢爬升、最终因系统 OOM 崩溃的问题。早期原版 Clash 在处理海量瞬时 UDP 并发连接时，确实存在微小的缓冲区对象未能及时释放的技术缺陷。

Mihomo 开发团队对 Go 运行时的内存分配机制进行了外科手术式的精细优化。内核全面引入了 sync.Pool 对象池技术，对频繁创建与销毁的网络数据包缓冲区、DNS 解析上下文与连接元数据对象实施深度复用，极大地降低了高并发传输时的堆内存碎片化分配。

此外，Mihomo 通过内置的垃圾回收启发式调度算法，能够主动感应当前物理设备的空闲状态，在网络低谷期自动将未使用的虚拟内存页面归还给操作系统内核。这使得 Mihomo 在经历数月高强度并发运转后，后台常驻内存依然能够平稳锁定在极低的健康水位，展现出了工业级的软件健壮性。

核心结构对象拆解#

1. 全局基础字段（General）：定义监听的混合端口（mixed-port: 7890，同时兼容 HTTP 与 Socks5 流量）、运行模式（mode: rule 分流模式）、是否允许局域网其他设备连接（allow-lan: false）以及日志详细等级（log-level: info）；
2. tun 虚拟网卡对象：负责向操作系统申请创建虚拟网络适配器，通过启用 auto-route 与 auto-detect-interface，将整台电脑的所有应用数据包无死角重定向至内核引擎；
3. dns 域名解析对象：定义内置 DNS 调度中心，负责指派国内真实 DNS 服务器、海外加密 DoH 服务器、虚拟 Fake-IP 网段分配以及防 CDN 调度漂移策略；
4. proxy-providers（代理提供者）：替代以往单调的静态节点列表，支持通过多个远程 URL 动态引入多家机场的订阅源，并在本地执行独立的健康巡检与正则过滤；
5. rule-providers（规则集提供者）：通过远程订阅经过优化的二进制规则集（behavior: domain 或 behavior: ipcidr），使本地主配置文件保持极致精简；
6. proxy-groups（策略组集合）：将分散的节点资源按照国家地区、特定业务场景（流媒体/AI服务/下载）或容灾需求编排为可视化控制卡片；
7. rules（分流规则链）：从上至下执行短路匹配，一旦命中立即终止后续比对，直接执行对应的出站动作。

生产级 Proxy-Providers 配置实战范例#

在配置文件中，你可以这样优雅地声明多个独立的订阅源，完全实现与主干配置的彻底解耦：

1
proxy-providers:
2
  Airport-Main:
3
    type: http
4
    url: "https://example.com/api/v1/client/subscribe?token=YOUR_TOKEN_A"
5
    interval: 86400
6
    path: ./providers/airport_main.yaml
7
    health-check:
8
      enable: true
9
      interval: 600
10
      url: https://www.gstatic.com/generate_204
11
    filter: "(?i)香港|日本|新加坡|美国"
12

13
  Airport-Backup:
14
    type: http
15
    url: "https://backup.com/sub?token=YOUR_TOKEN_B"
16
    interval: 86400
17
    path: ./providers/airport_backup.yaml
18
    health-check:
19
      enable: true
20
      interval: 600
21
      url: https://www.gstatic.com/generate_204

借助这种先进架构，Mihomo 会在后台以独立线程周期性更新外部节点，并自动剔除包含推广文字的垃圾节点。当节点列表发生变动时，内核会在内存中执行零断网平滑热重载（Hot-Reload），正在进行的网络下载与视频播放长连接完全不会发生任何抖动或重连。

TUN 核心关键参数深度解析#

为了确保 TUN 模式在复杂网络环境中发挥最大效能并杜绝流量侧漏，以下五个关键参数至关重要：

1. stack: mixed（协议栈选型）：推荐首选 mixed 混合协议栈。它结合了系统协议栈的高性能与 gvisor 用户态协议栈的高稳定性，大幅优化了极端弱网下的单核 CPU 占用；
2. auto-route: true（自动路由接管）：指示内核自动调整操作系统的底层路由表，将默认网关跃点数指向 Mihomo 虚拟网卡，无需用户手动编写任何繁琐的 route 命令；
3. auto-detect-interface: true（网卡接口自适应）：当用户的电脑在有线网线拔出、瞬间切换至 Wi-Fi 或是连上手机热点时，内核能够毫秒级感应物理出站接口的变化，并自动刷新绑定，彻底消除网络切换引发的假死断网；
4. dns-hijack（DNS 强制劫持）：配置 - "any:53" 与 - "tcp://any:53"。这一关键指令会强制拦截整机所有尝试向公共端口发出的 UDP/TCP 53 查询包，并将其强行重定向至 Mihomo 内部的纯净 DNS 解析模块，彻底粉碎运营商的 DNS 劫持企图；
5. strict-route: true（严格路由模式）：在 Windows 与 Linux 环境下开启后，内核会严密修补可能存在的私网回环与多网卡泄漏缝隙，确保没有任何一个数据包能够绕过虚拟网卡直飞公网。

DNS 高级配置策略与黄金分割线#

1. 规范划分 nameserver 与 fallback：在基础 nameserver 中，仅配置低延迟的国内知名公共 DNS（如阿里 223.5.5.5 与腾讯 119.29.29.29）；在 fallback 中配置高安全等级的海外 DoH 节点（如 https://1.1.1.1/dns-query 与 https://dns.google/dns-query）；
2. 善用 proxy-server-nameserver 专有名单：这是许多初学者经常遗漏的至关重要的字段。该字段专门指定用于解析机场节点服务器自身域名的 DNS 解析器（如指定为国内大厂 DNS）。如果缺少这一配置，当开启全局或 TUN 模式时，客户端会出现“需要解析节点域名才能建立代理，但解析节点域名又必须依赖代理已经建立”的逻辑死锁；
3. 精准划定 Fake-IP 过滤白名单（fake-ip-filter）：某些特殊网络服务（如任天堂 Switch 联机 STUN 握手、Windows 局域网网络连接状态指示器 NCSI、以及国内部分对真实 IP 强校验的政企 App）对虚假 IP 极其敏感。在 fake-ip-filter 数组中，将 "+.msftncsi.com"、"+.stun.*.*" 等域名列入白名单，强制其走真实 IP 查询，即可彻底规避假离线与联机匹配失败。

规则集引入与行为（Behavior）类型#

在声明规则集时，Mihomo 支持三种基础的 behavior（行为逻辑）：

• behavior: domain：专门包含纯域名列表（如 geosite 规则）。Mihomo 会在内存中构建极速双数组字典树（Trie），匹配效率最高；
• behavior: ipcidr：专门包含 IPv4 与 IPv6 的无类域间路由网段列表（如 geoip 规则）。内核采用基数树（Radix Tree）进行高效最长前缀匹配；
• behavior: classical：传统古典模式，单份文件中允许自由混合包含 DOMAIN、IP-CIDR、PORT 等多种复合规则。

多层嵌套策略组与跨机场容灾自愈编排实战#

对于追求网络极致可用性的企业级用户或远程办公团队而言，将所有流量押注在单一机场服务商身上具有极高的业务中断风险。Mihomo 强大的策略编排体系支持构建高度容灾的多层级动态策略组。

在生产实践中，建议采用“基础测速组 -> 业务分流组 -> 兜底故障转移组”的三层嵌套架构：

1. 第一层：独立机场健康探测组：为每一家机场的 proxy-providers 分别建立独立的 urltest 策略组（例如 HK-AirportA-Auto 与 HK-AirportB-Auto），设置测速间隔为 300 秒，容差为 80 毫秒。各机场节点在各自池子内保持自适应健康探测；
2. 第二层：跨服务商故障自愈组（Fallback）：建立一个主备容灾组（HK-Cluster-Fallback），类型设置为 fallback，将主力专线机场的测速组列为第一优先级，将备用机场测速组列为第二优先级。在主力专线正常运转时，所有流量百分之百走高质量专线；一旦主力机场遭遇突发网络故障，内核在下一个请求周期会自动无缝将流量平滑引流至备用机场；
3. 第三层：顶层业务导向策略组：将 Telegram、YouTube、OpenAI 等不同规则的动作目标统一指向对应的跨服务商容灾集群，彻底实现了面向业务的高可用闭环。

二进制规则集 MRS 格式与前缀树匹配深度原理#

在传统的文本分流时代，当用户订阅了数万行带有 DOMAIN-SUFFIX 与 IP-CIDR 的纯文本规则时，客户端在启动时必须先将几兆字节的文本文件读入内存，随后进行逐行字符分割与类型转换。这不仅使客户端启动变慢，而且线性匹配算法的时间复杂度会随着规则数量的增加而显著恶化。

Mihomo 深度引入了由 MetaCubeX 社区专有的 MRS（Meta Rule-Set）紧凑二进制编译格式。

MRS 文件在生成阶段就已经将数以万计的域名与 IP 网段完成了排序与预编译。针对域名匹配，内核在内存中直接构建高度压缩的双数组字典树（Double-Array Trie）；针对 IP 网段匹配，则直接构建基数树（Radix Tree）。当应用发起网络请求时，内核只需在内存树上进行微秒级的指针跳转即可精准命中目标规则。这种卓越的数据结构设计，不仅将数万条规则的加载耗时压缩至微秒级别，更将分流匹配对 CPU 算力的消耗降低到了几乎可以忽略不计的程度。

外接 Web 控制台三步配置#

1. 在配置文件中声明外部控制参数：

   1
   external-controller: 127.0.0.1:9090
   2
   secret: "YOUR_SECURE_PASSWORD"
   3
   external-ui: ./ui

2. 下载并部署现代前端面板：将官方推荐的 Metacubexd 或 Yacd 静态资源包解压至当前工作目录下的 ui 文件夹中；
3. 在浏览器中直观操控：启动 Mihomo 后，在 Chrome 或 Safari 中直接访问 http://127.0.0.1:9090/ui，输入你预设的密钥密码，即可实时审阅所有 TCP/UDP 连接会话、手动切换代理策略组、实时监控上下行网速曲线、以及执行节点延迟批量探测。

远程无头服务器安全运维与鉴权隔离#

在将 Mihomo 作为守护进程部署在 Linux 云服务器、家庭 NAS 或无屏幕软路由（Headless 环境）上时，远程控制端口的暴露策略必须经过深思熟虑。

很多运维人员为了图省事，直接将 external-controller 绑定到全局公共地址（如 0.0.0.0:9090），并且留空或设置了极其简单的弱口令。在公网全天候漫天飞舞的自动化扫描脚本面前，这种做法等于将整台服务器的网络路由控制权拱手相让。恶意攻击者一旦探查到未受保护的 RESTful API，不仅可以随意读取你的节点连接凭据与真实出口 IP，还可以动态注入恶意分流规则劫持你的敏感流量。

为了构筑绝对严密的安全隔离防线，推荐以下两种标准生产实践：

1. 坚持本地回环绑定配合 SSH 本地端口转发：在无头服务器的配置文件中，始终将 external-controller 严格限制在本地私有回环地址 127.0.0.1:9090。日常需要查看仪表盘时，在本地电脑终端执行安全端口转发命令 ssh -N -L 9090:127.0.0.1:9090 user@server_ip。所有图形化控制流量都将在高强度的 SSH 加密隧道内闭环传输，外部公网无法扫描到任何开放端口；
2. 反向代理配合强双向认证：若确实需要通过公网随时访问控制面板，建议在前端搭建 Nginx 或 Caddy 反向代理，配置合规的 HTTPS 证书与 HTTP Basic Auth 双重鉴权，并限制源 IP 访问白名单，将未授权访问风险彻底阻隔在内核之外。

案例一 升级 Mihomo 新版内核后旧版 YAML 配置因废弃字段导致启动报语法错误#

• 故障现象：某用户在手动下载并替换了最新版的 Mihomo 二进制文件后，双击运行终端报错闪退，控制台输出 FATAL[0000] Parse config error: yaml: unmarshal errors: line 15: field enhanced-mode not found in type dns.Config。
• 底层根因剖析：Mihomo 内核在经历重大主版本架构演进时，为了推进配置结构的标准化，会对部分过时的历史字段进行废弃与层级迁移。如果配置文件中继续残留已被淘汰的老旧键名，严格模式反序列化器会直接触发致命中断。
• 标准排错路径与解决手段：查阅对应版本的官方 Release Notes 变更说明；在代码编辑器中开启 YAML 校验，将遗留字段调整为最新的合规层级；或者使用最新版 GUI 客户端自带的配置迁移工具重新生成一份标准模板。

案例二 Windows 下开启 TUN 模式后虚拟网卡无流量且系统代理提示已重置#

• 故障现象：在 Windows 11 上开启 TUN 模式后，终端 curl 依然走物理网卡直连，甚至偶尔弹出系统代理已被第三方程序重置的通知，无法实现整机流量接管。
• 底层根因剖析：该设备同时安装了杀毒软件的安全网络防护模块或某国产商业网络加速器，这些软件的内核级 LFP（分层服务提供者）驱动在系统网络栈中占有最高优先级，强行将默认出站路由从 Wintun 抢回至物理网卡，引发双重争抢。
• 标准排错路径与解决手段：在杀毒软件中关闭“流量安全拦截”过滤扩展；在管理员终端中重置网络协议栈并重启电脑；在 Mihomo 的 tun 配置中显式加入 strict-route: true，强制锁定虚拟网卡路由优先级。

案例三 Rule-Provider 规则集更新时提示校验失败与缓存损坏死锁#

• 故障现象：后台定时更新规则集时，日志持续输出 download rule-set [geosite-cn] failed: hash verification failed，随后内核拒绝加载该规则集，导致所有国内流量被回退规则误判为代理。
• 底层根因剖析：在更新规则集的过程中遭遇了本地网络瞬时抖动，下载到磁盘的二进制数据流发生截断损坏。Mihomo 严格的安全散列值校验机制侦测到本地缓存文件的 SHA256 哈希与元数据不匹配，从而触发保护性拒载。
• 标准排错路径与解决手段：进入工作目录下的缓存文件夹（通常为 ./providers 或 ./cache.db），彻底删除对应的破损规则集文件；重新拉起 Mihomo，内核会重新发起全量下载并写入完整的校验缓存。

案例四 DNS Fake-IP 虚拟地址池耗尽导致长时间待机后新连接全部假死#

• 故障现象：某用户将电脑持续开机运行 Mihomo 超过三周，突然发现所有新打开的海外网页均卡死在“正在建立安全连接”，而此前已经打开的后台下载任务依然在正常走流量。
• 底层根因剖析：用户在配置文件中误将 fake-ip-range 设置为了非常狭窄的子网掩码（例如 /24 仅包含 254 个可用 IP），且日常有爬虫脚本在并发高频抓取数万个不同的海外域名。当虚拟 IP 池子被全部占满而老旧映射尚未过期回收时，DNS 模块无法为新域名分派有效 IP，引发解析死锁。
• 标准排错路径与解决手段：将 fake-ip-range 调整为标准的广域保留网段 198.18.0.0/16（拥有高达 65,534 个地址容量）；在配置中开启本地状态持久化缓存（cache-file: true），使冷门虚拟 IP 能够有序按 LRU 算法快速淘汰回收。

Q1 Mihomo 和旧版 Clash 相比 为什么推荐所有人都应该尽快升级#

最核心的驱动力在于网络安全保障与协议代际碾压。原版 Clash 停更数年，不仅存在无法修补的底层安全风险，更完全无法支持当今主流机场赖以对抗恶劣弱网的高并发协议（如 Hysteria 2 与 TUIC v5）。迁移至活跃维护的 Mihomo，不仅能大幅改善视频流媒体播放流畅度，还能通过现代 Wintun 虚拟网卡享受到全应用免配置的无死角代理体验。

Q2 什么是 Proxy-Providers 它和直接在 proxies 里写节点有什么区别#

proxies 是静态的、写死在主文件里的节点数组；而 proxy-providers 是动态的外部模块。使用 Provider 架构，你可以直接挂载多家机场的远程订阅，Mihomo 会在后台定时静默同步并写入本地隔离缓存。无论机场如何增删节点，都不会破坏你精心调优好的自定义策略组结构，实现了配置的完全解耦。

Q3 为什么开启 TUN 模式后 电脑待机耗电或者发热会增加吗#

在正常的轻量分流规则下，Mihomo 的运行功耗控制得极其惊艳。由于其底层采用了经过优化的混合网络协议栈（stack: mixed），待机内存仅有数十兆，空载 CPU 占用率常年低于 0.1%，日常办公或观影完全感知不到额外的发热或电池加速损耗。

Q4 什么是 Fake-IP 模式 为什么终端用真实 Ping 命令测不出真实延迟#

Fake-IP 机制的核心目标是追求毫秒级首包响应与绝对防泄漏。在这一架构下，系统应用拿到的是由 Mihomo 即时派发的虚拟内网地址（如 198.18.x.x），而非海外服务器在公网的真实 IP。由于该地址仅在本地虚拟网卡内部有映射意义，外部物理网络根本无法对其执行 ICMP Ping 探测。正确的测速手段是依靠客户端内部发起的真实 HTTP 204 探针。

Q5 为什么更新了订阅后 节点列表里的节点全部离线全红#

最常见的原因是机场账户状态异常。请第一时间通过浏览器登录机场后台，核查当月高速流量是否已经耗尽，或者套餐账单是否已经到期进入欠费停机状态。很多机场系统在欠费后会直接下发空的节点数据包，导致客户端解析后无可用节点。

Q6 Mihomo 支持在软路由 OpenWrt 上面直接运行吗#

完全支持。在 OpenWrt 等嵌入式 Linux 路由器上，Mihomo 已经全面取代了旧版内核。无论是在 OpenClash 插件还是各大定制固件中，只需在“内核管理”中一键将核心切换为“Meta 内核”，即可让家庭局域网内的手机、电视盒子以及游戏主机全屋畅享 Hysteria 2 等前沿协议带来的加速红利。

Q7 多个机场的订阅 可以在 Mihomo 里合并成一个测速组吗#

完全可以。这正是 Mihomo 策略编排能力的强大之处。在定义一个 urltest 或 fallback 策略组时，你可以通过 use 数组同时引用来自两个或三个不同机场的 Proxy-Providers。Mihomo 会将多家服务商的数十上百个节点汇聚在同一个池子中统一测速，当主力机场发生突发宕机时，备用机场的节点秒级自动顶上，构建起高韧性的容灾体系。

Q8 为什么打开某些国内银行网站或政企办公 App 会提示网络环境异常#

国内许多金融与政企类软件部署了极度严格的反欺诈风控系统。当检测到本地网络接口被虚拟网卡（TUN）接管，或者收到了来自 198.18.x.x 的保留私网 DNS 响应时，会误判为存在网络劫持风险。解决之道是在 fake-ip-filter 中将这些机构的核心域名列入放行白名单，强制其获取公网真实 IP 解析。

Q9 Metacubexd 和 Yacd 网页控制台有什么区别 哪一个更好用#

两者都是极度优秀的开源 Web 控制台。Yacd 诞生较早，设计风格偏向极简卡片化；而 Metacubexd 是 MetaCubeX 团队专门针对 Mihomo 深度定制的原生旗舰控制台。Metacubexd 不仅支持更精细的连接会话深层过滤（可按入站、出站、进程精确搜索），还原生支持管理 Proxy-Providers 的健康检查与刷新，是高级玩家的绝对首选。

Q10 卸载或关闭 Mihomo 之前 需要注意什么避免电脑彻底断网#

在准备关闭或彻底卸载 Mihomo 之前，务必在控制台或 GUI 界面中首先关闭 TUN 模式与系统代理开关，等待操作系统完成网关路由表的复原之后再退出进程。如果直接强制结束进程，Windows 底层的虚拟网卡配置可能会短暂残留导致网页无法打开。若不慎发生，只需在终端中执行网络重置并重启电脑即可彻底恢复。

Mihomo 生产力高可用配置清单（八项实用准则）#

为了在日常多端使用中始终保持 Mihomo 的极速响应与绝对稳健，建议广大重度使用者牢记以下八条核心准则：

1. 坚持订阅源与主干配置彻底解耦：善用 proxy-providers 机制将外部机场订阅作为独立对象引入，绝不在原始订阅内手动修改规则，消除每次订阅更新时配置被暴力清空的隐患。
2. 规范配置 TUN 模式严格路由防侧漏：在开启虚拟网卡接管时，务必将 strict-route 设为 true，并启用 auto-detect-interface，确保在物理网卡切换（如 Wi-Fi 与有线网切换）时无缝自愈，封死所有 UDP 真实 IP 泄漏漏洞。
3. 精心搭建 nameserver-policy 防 CDN 调度漂移：严格将国内常见大厂域名与 geosite:cn 明确绑定至国内高速公共 DNS，确保国内网络流量始终获取地理位置最近的物理 CDN 节点。
4. 科学设置 Fake-IP 保留虚拟地址池：将 fake-ip-range 保持在标准的 198.18.0.0/16 广域子网，并在 fake-ip-filter 中将任天堂联机 STUN、Windows 网络状态探测等敏感域名列入直连解析白名单。
5. 优先采用预编译的 MRS 二进制规则集：在规则集引入中，优先选用经过预编译优化的 .mrs 格式，大幅压降内核启动冷启动耗时与常驻内存开销。
6. 合理控制策略组测速周期与容差阈值：将 urltest 策略组的测速周期保持在 300 秒至 600 秒之间，容差阈值设定在 80 毫秒至 120 毫秒，开启 lazy: true 懒加载模式，避免无谓的频繁探针导致长连接抖动与移动端电量浪费。
7. 为外部控制接口配置复杂强密码：在开启 external-controller 向局域网暴露调试端口时，务必在 secret 字段中设定高强度的访问密码，杜绝局域网内其他恶意终端利用未授权控制接口篡改代理路由。
8. 定期清理废弃运行时日志与持久化缓存：每季度检查一次工作目录下的 cache.db 缓存数据库，清理陈旧的 Fake-IP 映射记录与测试日志，让内核引擎轻装上阵、高速驰骋。

作为新时代代理生态中的中流砥柱，Mihomo 凭借对前沿协议的全面拥抱、对虚拟网卡接管的高效掌控、以及对配置解耦的深刻理解，确立了无可撼动的核心基石地位。

在长期日常使用中，遵循“解耦订阅、精炼规则、善用 Fake-IP、依托控制台可视化”的四大核心法则。让底层复杂的加密握手、路由仲裁与故障自愈融化于无形之中，为你构筑起一条全天候兼顾极速吞吐、安全可信与极致稳固的全球数字漫游通道。