Clash クライアントよくある質問と確認手順

クライアントは GUI で、サブスク管理、ルール編集、モード切替、システムプロキシのオン／オフを担当します。カーネルは設定の解析、接続の確立、ルール分流の実行を担当します。Clash Verge Rev や FlClash といったデスクトップクライアントは mihomo カーネルを内蔵しており、画面での変更は最終的にカーネルの config.yaml に反映されます。両者が対応しているかは、クライアント設定のカーネルバージョン、および設定で使っている tun や proxy-providers などのフィールドが認識されるかで判断できます。不明なフィールドの警告が出る場合は、内蔵カーネルが古いことがほとんどです。

サブスクリプションリンクは URL で、クライアントが定期的に取得してノード一覧、ルール、プロキシグループの設定を受け取ります。ノードはサブスク内容に含まれる個々のサーバー項目です。同じサブスクリンクを複数のクライアントに取り込めます。ノード一覧は提供元がバックエンドで更新し、クライアントは取得と表示だけを行います。そのためノードが変わっても再インポートは不要で、サブスクを再取得するだけで済みます。

システムプロキシが引き受けるのは、システムプロキシ設定に従うプログラムだけです。ブラウザや多くのデスクトップアプリがこれに当たります。TUN モードは仮想ネットワークアダプターを作成し、すべての通信をカーネルに通します。コマンドラインツール、ゲーム、Microsoft Store アプリも対象になります。拡張モードは Clash for Windows 時代の呼び方で、実体は TUN の一実装です。普段のブラウジングはシステムプロキシのままで十分で、全体を引き受けたいときだけ TUN を有効にします。

ルールモードは設定のルール表を上から順に照合し、一致したルールのポリシーを使う既定の選択肢です。グローバルモードはルール表を無視し、すべての通信を選択中のノードに通すので、ノード自体が使えるかの確認に向いています。ダイレクトモードはすべてをプロキシ経由にせず、一時的に無効化したいときに使います。普段はルールモードのままにし、モード切替は切り分けの手段としてのみ使い、グローバルモードに長時間留まらないようにします。

開発終了とは、新しいバージョンやカーネルの更新が提供されなくなるという意味です。インストール済みのクライアントは引き続き動作しますが、Hysteria2 や TUIC、一部の DNS オプションといった新しいフィールドは古いカーネルでは認識されないことがあります。移行は難しくありません。旧クライアントで設定ファイルをエクスポートし、新クライアントに同じサブスクリンクを取り込み、ルールとプロキシグループをそのまま作り直すだけです。より詳しいチェックリストは技術ノートのクライアントの開発終了に伴う移行ガイドにまとめています。

まずサブスクリンクをブラウザのアドレスバーに貼り、内容が返るか確認します。通常は base64 か YAML のテキストです。次にクライアントのログでサブスク取得時のステータスを見ます。401 や 403 はリンク失効か通信量の期限切れが多いです。内容が空の場合は提供元に確認してください。最後に、取り込んだ設定が設定ページで選択され適用されているかを確認します。取り込むだけで選択していないのは、初心者が最も見落とすポイントです。

システム設定の「プライバシーとセキュリティ」を開き、ブロックされた項目の横にある「このまま開く」をクリックして、もう一度確認すれば許可されます。アプリアイコンを右クリックして「開く」を選んでも許可できます。zip やパッケージマネージャーでインストールした版は、メジャーアップデートのたびに再許可が必要になることがあります。これは未公証アプリに対する macOS の標準的な手順です。

システム設定のバッテリー管理でクライアントを「制限なし」にし、自動起動を許可します。一部のカスタム OS では、最近使ったアプリ画面でアプリをロックし、一括クリアで終了されないようにする必要もあります。通知バーに常駐するアイコンは VPN サービスの正常な動作で、消すと接続が切れたことになります。手動でスワイプして消さないでください。

Windows ではクライアントを管理者として実行する必要があります。初めて TUN を有効にすると仮想アダプターのドライバーがインストールされるので、途中でキャンセルしないでください。macOS ではシステム拡張の承認が求められ、「プライバシーとセキュリティ」で許可し、再起動後に確認します。Linux では root 権限が必要か、カーネルのバイナリにネットワーク管理ケイパビリティを付与します。承認が済んだら TUN を再度有効にすれば反映されます。

アーキテクチャに合ったカーネルのアーカイブをダウンロードし、展開して得られる単一の実行ファイルを config.yaml と systemd サービスで動かします。ルーターでは通常 OpenWrt のプラグインが管理するので、プラグイン画面にサブスクリンクを入力するだけで、設定を手で編集する必要はありません。カーネルに GUI はなく、調整はすべて設定ファイルとサービスの再起動で行います。

クライアントのルール画面でドメインサフィックスのルールを1件追加し、ポリシーに DIRECT を選び、より広いルールより前に置きます。設定ファイルの rules セクションに手で追加してもかまいません。ルールは上から順に照合され、一致した時点で確定するため、数より順序が重要です。保存後に設定を再読み込みすると反映され、接続ログでこのルールに一致したかを確認できます。

よくあるのは3つです。端末側でサブスクサーバーのドメイン名を解決できていない場合は、DNS を変えるか、先にプロキシを有効にしてから更新します。サブスクサーバーが一時的に利用できない場合は、数分おいて再試行します。システム時計のずれが大きいと TLS ハンドシェイクに失敗するので、時刻を合わせます。いずれもリンク自体の問題ではないため、まず再試行し、それから項目ごとに確認します。

クライアントの接続画面またはログ画面を開き、目的のサイトにアクセスして、その接続が一致したルールとポリシーを確認します。ログに表示されるのが想定したドメインルールではなく最後のフォールバックルールなら、ルールの書き方か順序に問題があります。プロキシ経由でしか開けないサイトを対照に使い、プロキシ経路そのものが通っているかを確かめる方法も有効です。

クライアント設定で自動起動を有効にし、あわせて「起動後はトレイに最小化」も有効にします。Windows で自動起動の項目が多すぎる場合は、タスクマネージャーのスタートアップでクライアントだけを残します。起動を本当に遅くしているのは、起動直後のサブスク取得と速度テストです。「起動時の更新確認」をオフにすると明らかに速くなります。

グローバルモードよりルールモードを優先し、不要なプロキシ接続を減らします。ログレベルを下げます。ログ出力自体にコストがかかります。使わないときはバックグラウンドで待機させず、接続を切ります。iOS ではオンデマンド接続を有効にすると、ネットワーク切替時にシステムが自動で接続するため、常時接続より消費電力を抑えられます。

まずモードをダイレクトに切り替え、ローカルネットワーク自体が正常か確認します。次にルールモードに戻し、クライアントのログを開いて接続確立の記録があるか見ます。すべての接続がタイムアウトする場合は、ノードが使えないか、システムプロキシのポートが占有されている可能性が高いです。一部のドメインだけ失敗する場合は、DNS 設定とルール表を確認します。ログのエラーは画面のメッセージより具体的です。詳しい手順は使用ガイドにまとめています。

まずブラウザにプロキシを乗っ取る拡張機能が入っていないか確認します。こうした拡張はシステム設定を上書きします。次に、システムプロキシ設定が他のソフトに書き換えられていないか確認します。クライアントを終了すればシステムプロキシの項目は自動的に元に戻るはずです。クライアント側はオンなのにシステム設定が変わらない場合は、クライアントを再起動し、システム設定を書き込む権限があるか確認します。

コマンドラインツールの多くはシステムプロキシを参照しないため、個別に設定が必要です。ターミナルに HTTP_PROXY と HTTPS_PROXY の環境変数を設定するか、ツール自身の設定ファイルでプロキシアドレスを指定します。Docker はデーモン側にも別途設定が必要です。TUN モードを有効にすればこうした通信をまとめて引き受けられるので、ツールごとの設定を省けます。

UWP アプリは既定でアプリコンテナのサンドボックス内で動作し、システムプロキシ設定を継承しません。Windows では UWP ループバック除外を有効にし、対象のアプリを除外リストに追加してアプリを再起動します。クライアント設定に専用のスイッチがあることが多く、Windows 付属のコマンドツールで手動追加もできます。除外はリストに追加したアプリにのみ有効です。

DNS リークとは、名前解決のリクエストがプロキシ経由ではなく、ローカルの ISP の DNS で行われ、接続先サイトに本当の解決元が見えてしまう状態です。判断するには DNS チェック系のサイトにアクセスし、返ってくるリゾルバーがプロキシ出口の地域のものかを確認します。ローカルの ISP が表示されればリークしています。クライアントの DNS 設定でリモート DNS を指定し、Fake-IP を有効にすれば防げます。

遅延テストは独立したプローブ要求で行われるため、タイムアウトはプローブが失敗したことだけを示し、接続が使えないという意味ではありません。プローブ用のポートを塞いでいるノードもあれば、テスト用アドレスが提供元でブロックされている場合もあります。実際にページが開けるかと接続ログを基準にし、遅延の数字だけで判断しないでください。ましてや全部タイムアウトしたからといって、まだ使えるノードを削除しないようにしましょう。

同じポートを別のプロセスが使用しているということです。終了し損ねたクライアントのプロセスか、他のプロキシソフトの可能性があります。OS のコマンドでポートを占有しているプロセスを特定して終了するか、クライアント設定で混合ポートを未使用の値に変更し、クライアントを再起動します。ポート競合が起きると、プロキシのスイッチが入らない、ブラウザが接続できないといった症状が出ます。