Clash 已连接但无法上网怎么办？DNS、Fake-IP 与规则排查

记录失败目标、错误原文和当前模式，再按下表选择检查项。不要用内核运行代替代理端口可用，也不要用节点可达代替 DNS 正常；这些结果需要分别确认。

下面的系统代理对照与端口检查适用于 Windows/macOS。Android 用户先核对 VPN 授权和分应用设置，具体操作见手机教程；已有连接记录时，DNS、规则和节点的判断仍可参考后文。

关闭 TUN，只保留 Rule 模式与系统代理，重新打开同一个网页。系统代理可用而 TUN 断网，订阅和节点至少有一条基本可用路径，重点转向服务、路由与 DNS；两种模式都失败，则先不碰虚拟网卡。

直连测试换用当前网络本来能打开的网页；不要沿用必须代理的目标。关闭系统代理后，这类网页也失败时，再检查 Wi-Fi、宽带、企业认证或路由器。Clash 不能修复本来就无法上网的网络。

清空连接记录，访问一个固定域名。如果完全没有新请求，浏览器可能没有使用系统代理，端口可能写错，或应用绕过了当前接管方式；继续换规则和节点不会改变这一点。

请求已经出现时，记下目标、命中规则、策略组和错误。意外 DIRECT、REJECT、timeout、connection refused 提示的原因不同，应分别检查。只看托盘图标颜色，会漏掉这些具体证据。

浏览器一打开就显示无法连接到代理服务器，常见原因是 Windows 或 macOS 仍指向 127.0.0.1 的旧端口，而当前客户端没有监听。到客户端设置读取真实 mixed-port，再用 netstat、lsof 或 ss 验证。

端口存在时可用 curl -x 显式请求，区分本地代理入口与系统代理写入。显式代理成功、浏览器失败，问题在系统或浏览器设置；显式代理也失败，才回到内核、节点和日志。

域名没有目标地址、nslookup 失败，或关闭浏览器安全 DNS 后结果改变时，检查解析入口。暂时关闭浏览器 DoH 做对照，再核对系统与 Clash 实际使用的解析路径和 nameserver 是否可达；关闭一个开关并不能自动让两者使用相同解析设置。

恢复后再决定是否重新开启浏览器的独立解析。路由器解析与浏览器解析并存时，Clash 可能拿不到完整域名。

Fake-IP 模式下，域名解析到 198.18.0.0/15 一类地址通常是正常现象：应用先连接这个虚拟地址，Mihomo 再把它还原成域名并匹配规则。看到 198.18.x.x 本身不代表 DNS 被污染，关键是连接页面能否保留原域名并命中预期策略。

真正需要处理的是切换配置、改规则或从 Redir-Host 改到 Fake-IP 后，系统和应用仍拿着旧结果。此时先关闭测试应用，清理系统 DNS 缓存，再重启 Mihomo 内核后复测；不要一边保留旧连接，一边连续切换增强模式。

NAS、打印机、路由器后台和企业内部域名若必须返回真实内网地址，应加入当前配置的 fake-ip-filter 或交给对应内网 DNS。验证结果是这些本地域名仍解析到真实 LAN 地址，而公网域名能在连接页恢复为域名并正确分流。