Clash 安卓连接成功但不能上网：按现象逐项排查
简答：Clash 安卓显示“已连接”只代表 VPN 服务或本地代理入口已启动，不等于节点、DNS、规则和目标网站都能正常访问。最快的处理顺序是：先关闭 Clash 测试手机直连；再确认当前配置和节点有效；检查策略组是否误选 DIRECT 或 REJECT；随后查看连接记录和日志，最后再处理私人 DNS、Fake-IP、TUN、IPv6 及后台省电。每次只改一个变量，并固定同一个节点和测试网址。
定义：Clash 安卓连接成功但不能上网，是指 Android 已显示 VPN 或客户端运行中，但请求没有正确经过可用节点、DNS、规则或应用分流，导致网页或应用无法访问。
先试这一步：用现象判断故障范围
先完全关闭 Clash，分别用当前 Wi-Fi 和移动数据打开一个普通直连网站或系统联网页面。若关闭 Clash 后也打不开，先处理手机、Wi-Fi、移动数据或 captive portal 问题，不要继续改节点和 DNS。Android 的 VPN 服务由系统管理，应用是否进入 VPN 还可能受允许列表或排除列表影响；官方文档说明，设置允许列表后只有列表内应用使用 VPN，设置排除列表后被排除的应用会像 VPN 未运行一样使用系统网络。Android VPN 官方说明
| 现象 | 优先检查 | 先做的动作 |
|---|---|---|
| 关闭 Clash 也不能上网 | 手机基础网络 | 切换 Wi-Fi/移动数据，重新连接网络后再测 |
| 所有应用都打不开 | 配置、节点、VPN 权限、DNS | 重新选择有效配置和节点，重新授权 VPN |
| 只有部分应用失败 | 应用分流、排除列表、应用自带代理 | 检查该应用是否被排除，并关闭应用内代理或安全 DNS 做对照 |
| 只有代理目标打不开 | 策略组、规则、DNS 或节点 | 固定一个节点，临时切换到 Global 或等效全局测试 |
| 锁屏或切后台后断线 | 后台活动、电池优化、自启动 | 允许客户端后台运行，再观察是否恢复 |
最短排查步骤：配置、模式、节点、VPN
- 确认当前配置。在 Clash 安卓客户端的配置或 Profiles 页面确认正在运行的不是旧文件、空配置或导入失败的配置。订阅链接、节点密码和完整日志不要公开；如果配置更新返回 401、403、404 或 YAML 解析错误，应先回到配置来源核验权限、地址和内容。
- 确认代理模式。在模式页面查看当前是否为 Rule、Global 或 Direct。若处于 Direct，流量可能全部直连；若规则将目标命中 REJECT，也会表现为打不开。规则通常按顺序匹配，官方 Mihomo 配置示例展示了 RULE-SET、DIRECT、REJECT 和 MATCH 等行为，因此排查时应查看连接详情中的命中规则，而不是只看延迟。Mihomo 官方配置示例
- 固定一个节点。不要同时开启自动选择、故障转移和多个策略组。先手动选择一个列表中仍然存在的节点，等待连接记录出现，再用同一个网址复测。延迟测试通过只能说明探测请求得到响应，不能证明 DNS、TLS、网页内容和所有应用都正常。
- 重新授权 Android VPN。先停止 Clash，进入系统的 VPN 设置，删除或断开旧的 VPN 连接，再回到客户端重新启动并接受系统授权。确认状态栏 VPN 图标在测试期间持续存在；若同时运行其他 VPN、加速器、防火墙或流量过滤应用，先只保留一个 VPN 服务。
- 先做基础连通性对照。使用浏览器访问一个已知可打开的普通网址，再访问出现问题的网址。不要把单次 ping、节点延迟或客户端显示“连接成功”当作完整可用性证明。
按日志关键词分流：不要盲目改 DNS
打开客户端的 Logs、Connections 或连接详情，先观察测试网址的请求是否出现，再根据关键词缩小范围。不同客户端的日志格式会变化，以下是排查方向，不是对某个版本的固定报错定义。
| 日志或现象 | 可能范围 | 复测方法 |
|---|---|---|
no such host、resolve failed | 域名解析、私人 DNS、Fake-IP 或 DNS 劫持 | 暂时关闭私人 DNS 或改为 Automatic，重启 Clash 后只测一个域名 |
timeout、dial timeout | 节点不可达、路由丢包、UDP/TCP 不匹配或网络切换 | 固定节点，切换 Wi-Fi 与移动数据分别测试 |
connection refused | 本地监听端口、节点入口或目标服务拒绝连接 | 确认当前配置和节点仍有效，不要只反复刷新延迟 |
certificate error、TLS 相关失败 | 系统时间、证书校验、节点链路或中间代理 | 自动校准日期时间，关闭其他拦截类应用后复测 |
| 没有任何连接记录 | 应用没有进入 VPN、被排除、使用了自带代理或规则未接管 | 检查应用分流、排除列表及浏览器代理设置 |
如果开启 TUN 后突然全机断网，先关闭 TUN 或停止客户端恢复普通网络，再检查配置。Mihomo 文档说明 TUN 会把流量导入虚拟接口，自动路由和严格路由会改变系统路由行为；Android 开启私人 DNS 时，DNS 请求也可能无法被自动劫持。Mihomo TUN 官方文档
DNS、私人 DNS、Fake-IP 与 TUN 的安全复测顺序
- 先恢复系统 DNS 对照。Android 设置中的私人 DNS 通常位于“网络和互联网”或设置搜索中的“私人 DNS”，不同手机品牌名称可能不同。官方说明提供了 Off、Automatic 和指定提供商主机名等选项，并提醒私人 DNS只处理 DNS 问答，不等于代理整个网络。Android 私人 DNS 官方说明
- 只改一个变量。先记录原值，再把私人 DNS 临时改为 Automatic，停止并重新启动 Clash，固定同一节点和网址测试。若恢复，说明故障范围可能在私人 DNS 与客户端 DNS 劫持或 Fake-IP 的组合，不要直接复制网上整套配置。
- 检查 Fake-IP 兼容性。如果只有某个游戏、银行、企业办公应用失败，先检查该应用是否被应用分流排除，或是否依赖特殊 DNS、UDP、QUIC。不要因为关闭 Fake-IP 后一次成功，就断言所有问题都由 Fake-IP 引起。
- 最后再检查 TUN 与 IPv6。如果普通 VPN 模式可以访问、只有 TUN 失败，先关闭 TUN 做对照，再按客户端当前版本逐项检查自动路由、DNS 劫持、严格路由和 IPv6。Mihomo 文档明确指出 Android 开启私人 DNS时，DNS 请求不能自动被 TUN 劫持，因此两者同时改动会增加定位难度。
只有单个应用或锁屏后断网：检查 Android 系统限制
如果浏览器可以打开，只有一个应用不能用，优先检查应用分流、VPN 允许/排除列表、应用自己的代理设置、QUIC/UDP 支持和应用缓存。Android 官方 VPN 文档说明，应用允许列表和排除列表会直接决定哪些应用使用 VPN；因此“状态栏有 VPN 图标”并不能证明每个应用都经过 Clash。Android VpnService.Builder 官方说明
如果锁屏、切到后台或息屏后才断线，先在系统设置中允许该客户端后台活动，关闭针对该应用的电池优化，并检查自启动或后台运行权限。不同厂商菜单名称差异较大，建议用系统设置搜索“电池优化”“后台活动”“自启动”和“VPN”。完成修改后锁屏数分钟，再打开同一网址观察连接记录；若仍断线，记录断线时间和最后一条日志，不要同时更换节点、规则和 DNS。
恢复与撤销：排查结束后把临时改动还原
- 把私人 DNS、代理模式、TUN、IPv6、应用分流和后台权限恢复到排查前的记录值。
- 如果 TUN 导致全机断网，先停止客户端或关闭 TUN，确认普通 Wi-Fi/移动数据恢复后，再逐项启用。
- 删除无效或重复配置前先保留原配置备份，但不要把订阅链接、密码、令牌和完整日志发到公开论坛。
- 若只有一个节点失败，保留日志中的时间、错误类型和客户端版本，向配置或节点提供方核验；不要仅凭一次失败判断整个服务状态。
常见问题
Clash 安卓显示已连接，为什么浏览器还是打不开？
“已连接”通常只表示 Android VPN 或客户端入口已启动，不代表请求已经通过可用节点。先关闭 Clash测试手机直连，再确认当前配置、节点、代理模式、策略组和连接记录；如果日志没有请求，优先查应用是否被排除或没有进入 VPN。
Clash 安卓应该使用 Rule 还是 Global？
Rule 适合按规则分流，Global 可用于临时判断节点和代理链路，Direct 则用于直连对照。排查时可以短暂切换到 Global 固定一个节点测试；如果 Global 能访问而 Rule 不能，问题范围更偏向规则、策略组或 DNS 分流。测试结束后应恢复原来的模式。
私人 DNS 要不要关闭？
不要一开始就永久关闭。可以先记录原设置，把私人 DNS 临时改为 Automatic，重启 Clash并固定同一网址复测。Mihomo 文档指出，Android 开启私人 DNS时，DNS 请求可能无法被 TUN 自动劫持；如果改动后恢复，再针对 DNS 劫持、Fake-IP 和 TUN逐项验证。
只有一个应用不能联网，其他应用正常怎么办？
先检查该应用是否在 VPN 排除列表、客户端应用分流或系统允许列表中，再检查应用自带代理、Secure DNS、QUIC/UDP和缓存。Android 官方文档说明，允许列表或排除列表会改变应用是否使用 VPN，因此状态栏有 VPN 图标并不能证明每个应用都走同一条链路。
锁屏后 Clash 安卓断网怎么办？
检查客户端的后台活动、电池优化、自启动和厂商清理策略，并确认 VPN 没有被系统断开。修改后只锁屏测试同一个网址，观察连接记录；如果仍断线，记录断线时间和日志关键词，再判断是后台被杀、网络切换还是节点超时。