Clash 网络诊断方法：从 DNS、端口到 TLS 逐层定位

建立直连与代理两个基线

先记录关闭代理时哪些站点可访问，再开启客户端并使用一个已知可用节点测试。保留时间、网络类型、客户端版本和错误提示，这些信息比“突然不能用”更有诊断价值。

确认本地代理端口正在监听

检查客户端显示的 HTTP、SOCKS 或 mixed-port 与系统代理设置是否一致。端口被其他程序占用时，日志通常会出现 bind 或 address in use。修改端口后要同步更新浏览器、终端和其他应用。

分开验证 DNS 与规则命中

先确认域名能得到合理结果，再看连接面板显示的规则和策略组。域名解析正常但走错策略，应检查规则顺序；根本没有连接记录，则请求可能没有进入 Clash。

阅读节点握手与 TLS 错误

超时、连接拒绝、证书和时间错误指向的层次不同。所有节点同时出现 TLS 失败时先检查系统时间；单个节点失败则更可能是节点状态、协议参数或网络可达性。

每次只改一项并记录结果

把测试动作、预期、实际结果和是否回滚写下来。确认故障层后再查对应文档，避免照抄来源不明的批量修复命令。涉及系统权限和防火墙时，先建立还原点或记录原设置。