mihomo 内核
mihomo / Clash Meta负责读取配置、匹配规则、建立代理连接和处理 DNS 的网络内核，延续 Clash Meta 的技术路线。图形客户端通常在外层提供设置界面，但具体协议与字段是否可用，仍由内核能力决定。排查兼容问题时，应分别记录客户端版本和内核版本，不能只看应用名称。
配置阅读参考
Clash 概念速查
内核、协议、规则与 DNS。按配置里的名称查定义，再判断需要调整哪一层。
本页以 mihomo 常见配置为参照。客户端的按钮名称可能不同，字段支持范围以所用内核为准；首次配置可先阅读订阅导入教程，连接异常时转到排查手册。
6 类概念
24 个术语
字段名对照
内核与客户端
先区分执行网络逻辑的内核、提供操作界面的客户端，以及导入的配置内容。
客户端
GUI client提供订阅管理、模式切换、日志查看与系统集成的应用程序，例如 Clash Verge Rev。不同客户端可能使用相近的内核，却采用不同的菜单名称、配置目录和服务管理方式。升级客户端不一定等于升级内核；查阅教程时，应先确认应用名称和当前使用的内核。
订阅
subscription通过一个地址获取并定期更新节点或完整配置的分发方式。完整订阅可能同时带有策略组、规则与 DNS 设置，因此更新后不只是节点列表发生变化。带访问凭据的订阅链接需要妥善保管，分享截图或日志前应遮住地址；本地修改也应放在客户端支持的覆写位置，避免被更新覆盖。
节点
proxy / outbound客户端中保存的一组代理连接参数，通常包含协议、服务器地址、端口与认证信息。节点名称只是便于识别的标签，不能单凭名称判断服务器位置或连接质量。节点能够被选中，不代表认证和网络已经成功；需要结合实际访问结果与日志中的连接错误判断。
代理协议
协议名称说明通信方式，不直接代表速度；服务端参数、传输层与网络条件同样重要。
Shadowsocks
type: ss一种加密代理协议，在 mihomo 配置中通常使用 ss 类型。服务器地址、端口、加密方法与密码必须和服务端匹配，部分连接还依赖额外的插件参数。UDP 是否可用需要结合两端配置判断，网页访问正常并不能证明游戏或其他 UDP 应用也能通过。
VMess
type: vmess使用 UUID 等参数完成身份认证的代理协议，可以配合不同的传输方式与 TLS 设置。导入节点时，除服务器和端口外，还要关注 WebSocket 路径、Host 与服务器名称等参数是否完整。仅修改协议名称不能把其他类型的节点转换为 VMess，服务端必须支持对应连接方式。
VLESS
type: vless一种精简身份认证与转发逻辑的代理协议，本身不负责传输内容加密。实际连接需要结合 TLS、REALITY 与传输方式等配套参数理解，不能把 VLESS 名称本身当成加密保证。导入失败时，应先检查内核是否支持该组合，再核对 UUID、服务器名称和相关握手参数。
Trojan
type: trojan通常通过 TLS 建立连接，并以密码完成认证的代理协议。密码正确但服务器名称或证书不匹配时，连接仍可能在握手阶段失败。排查应同时检查系统时间、服务器名称与证书错误，不宜把跳过证书验证作为常规处理办法，否则会削弱对服务端身份的验证。
规则与分流
规则负责决定连接去向。配置正确之外，还需要确认当前模式允许规则参与处理。
规则分流
rules / rule mode按域名、目标 IP 或其他条件，为连接选择直连、代理或拒绝等出站的机制。规则通常从上到下匹配，先命中的规则决定策略，所以范围较宽的规则放在前面可能遮住后面的精细规则。判断分流是否生效时，应查看连接记录中的命中规则和最终出站，而不只看当前选中了哪个节点。
GeoIP
GEOIP根据 IP 地址所属地区进行匹配的数据与规则机制，常用于区域性分流。数据库中的归属不等同于公司注册地或服务实际可用地区，结果也会受到数据库更新与内容分发网络影响。目标是域名时，IP 匹配还可能涉及解析；应同时检查 DNS 结果和规则顺序。
RULE-SET
RULE-SET,集合名称,出站在规则列表中引用外部规则集合的规则类型，集合名称需要对应 rule-providers 中的声明。规则集能够把大量条目从主配置中拆开，便于单独维护与更新。引用成功不等于一定命中，还要检查集合的解析行为、内容格式，以及它在主规则列表中的位置。
MATCH
MATCH,出站没有额外条件的兜底规则，用于接住此前没有命中的连接，通常放在 rules 列表末尾。它的目标可以是策略组，也可以是 DIRECT 等内置出站。如果放在列表前面，后续规则通常就没有机会处理连接；排查全部流量走同一出口时，应先检查这一项的位置。
策略组
策略组组织可选出站。手动选择、响应探测、顺序回退与连接分配是四种不同逻辑。
手动选择
type: select由用户在组内手动选定一个成员的策略组类型，成员可以是节点，也可以是其他策略组。选择结果只有在连接确实引用该组时才起作用，因此切换节点后出口未变，不一定是选择失败。应沿着命中规则检查组的引用关系，并用新建连接验证，已有连接可能继续使用原先的出站。
自动选择与延迟
type: url-test通过周期性访问测试地址，比较候选成员的响应表现并自动选择出站。界面显示的延迟一般反映到测试目标的响应情况，不等于文件下载速度，也不能覆盖所有网站的访问体验。interval 控制探测间隔，tolerance 用于减少响应差异较小时的频繁切换。
故障转移
type: fallback按成员列表顺序优先使用可用出站，前面的成员不可用时再选择后面的成员。它强调预设优先级，不是始终选择探测响应最快的节点，适合需要固定首选线路的配置。测试地址可用只说明相关探测通过；具体业务仍可能受到目标站点限制，因此回退结果也要结合实际访问验证。
负载均衡
type: load-balance根据指定策略，把不同连接分配给组内的可用成员，而不是把一条连接的带宽叠加起来。某些分配策略会尽量维持相同目标的出口一致性，另一些则更侧重轮流分配。需要稳定登录状态的业务，应留意出口变化的影响，不能仅因为组内成员更多就认定体验一定更好。
DNS 与网络栈
区分域名解析、流量接管与实际出站路径。打开一个开关并不能替代整条链路的检查。
DNS
Domain Name System将域名解析为地址等记录的系统，是建立许多网络连接前的基础环节。代理服务器自身的域名解析、业务域名解析与 DNS 请求的出站路径，可能采用不同配置。浏览器也可能启用独立的加密 DNS；出现只有某个应用打不开网站的情况时，需要分别检查应用和内核的解析设置。
Fake-IP
enhanced-mode: fake-ip由内核为域名分配合成地址并保存映射的 DNS 增强方式，便于连接进入内核后恢复域名并执行分流。应用拿到的合成地址不代表网站真实服务器地址，因此不能直接用它判断网站归属。遇到依赖真实地址的局域网服务或应用时，可按具体问题考虑过滤设置，而不是立即关闭整个 DNS 功能。
DNS 泄漏
DNS leak原本需要经指定路径处理的域名查询，实际走了预期之外的解析通道。并非所有直连 DNS 都属于泄漏：如果分流设计就是让部分域名本地解析，这可能是预期行为。判断时应明确保护目标，再检查系统解析器、浏览器加密 DNS、IPv6 与内核接管范围，不能只凭测试页显示的地区下结论。
TUN 模式
virtual network interface通过虚拟网络接口与路由接管流量的工作方式，常用于处理不读取系统代理设置的程序。它通常需要相应权限或服务支持，实际覆盖范围还取决于路由、DNS 接管与内核配置。TUN 不等于全局模式：流量进入内核后仍可按规则分流；启用后断网应优先检查路由冲突和 DNS 链路。
配置文件字段
节点定义、策略组组织与规则引用各有位置。名称对应正确，配置才能形成完整链路。
YAML
config.yamlmihomo 配置常用的结构化文本格式，以缩进表示层级，以短横线表示列表项。编辑时应保持空格缩进一致，避免混用制表符；包含特殊字符的值可按语法需要加引号。文件能通过 YAML 解析，只说明结构基本合法，不代表字段受到当前内核支持，也不代表节点认证参数正确。
proxies
代理出站列表在主配置中定义代理出站的列表字段，每个条目通常含有 name、type 和协议所需的连接参数。策略组或规则引用节点时，需要与这里的名称对应，避免重名造成歧义。使用外部节点提供器的配置可能把成员放在其他文件中，因此主配置没有大量节点条目并不一定是缺失。
proxy-groups
策略组定义列表定义策略组名称、类型和候选成员的列表字段，是连接规则与节点的组织层。组内可以通过 proxies 指定成员，也可以按配置方式引用节点提供器。规则中的组名必须与定义一致，组与组之间也要避免循环引用；修改名称时，应同时检查所有引用位置，而不只改界面显示的一处。
rule-providers
外部规则集声明用于声明外部规则集的来源、解析行为、文件格式、存储位置和更新方式。声明规则集后，还需要在 rules 中通过 RULE-SET 引用，它才会参与连接匹配。更新失败时应查看下载日志及本地文件状态；文件存在但未命中时，则应继续检查解析行为与主规则的排列顺序。