Clash よくある質問

Clash Plus を例にすると、ダウンロードページから Windows 版インストーラーを取得して実行し、ウィザードに沿ってインストールを完了させる。初回起動後、サブスクリプション(設定)画面でリンクを貼り付けて保存すると、クライアントが即座にノードリストを取得する。メイン画面に戻ってシステムプロキシをオンにすれば、ブラウザや大半のデスクトップアプリがルールに従って振り分けられる。Clash Verge Rev や FlClash も手順は同じで、画面レイアウトのみ異なる。

関連クイックスタートガイド、ダウンロードページ

クライアントによって画面上の呼び名は多少異なるが、一般に設定(Profiles / サブスクリプション)画面で新規作成またはインポートを選び、サブスクリプション URL を貼り付けて名前を付けて確定すると、クライアントが内容を取得・解析する。インポート後はそのプロファイルを選択して有効化する必要があるが、自動で選択されるクライアントもある。以降は同じ画面から手動更新するか、自動更新間隔を設定してノードリストを提供元と同期できる。

まずリンク自体を確認する。サブスク URL をブラウザのアドレスバーに貼り付けて、テキストがダウンロードできればリンクは有効である。ブラウザではアクセスできてもクライアントで取得に失敗する場合、クライアントのサブスク更新処理がプロキシ設定や現在のノード状態と競合していることが多い。システムプロキシを一旦オフにしてから更新するか、サブスク更新時にシステムプロキシを使用する設定を切り替えて再試行する。ブラウザでもアクセスできない場合はリンクが失効しているため、提供元に新しいアドレスを求める必要がある。

これは Apple の公証を受けていないサードパーティアプリに対する Gatekeeper の標準的なブロックであり、インストーラー自体が破損しているわけではない。対処法は2つ。システム設定 → プライバシーとセキュリティで該当の通知を見つけ「このまま開く」を選ぶ方法と、ターミナルで xattr -cr /Applications/Clash Plus.app を実行して隔離属性を解除してから再起動する方法である。いずれも macOS でオープンソースクライアントを動かす際の一般的な手順である。

主要なクライアントは設定画面に自動起動のスイッチを備えており、オンにするだけでよく、手動でスタートアップ項目を追加する必要はない。起動後にトレイへ最小化する設定と組み合わせればサイレント起動が可能になる。Windows クライアントはスタートアップ項目やタスクスケジューラで自動起動を実現し、macOS はログイン項目を利用する。オフにしても残ってしまう場合はシステム設定 → 一般 → ログイン項目で確認・削除する。

ルールモード(Rule)は設定内のルール表を上から順に照合し、プロキシルールに合致すればノード経由、直結ルールに合致すれば直接接続、どれにも合致しなければ末尾の MATCH ルールで受け止める、日常的に推奨されるモードである。グローバルモード(Global)はルールを無視して全通信を選択中のノードへ流すもので、一時的にすべてをプロキシ経由にしたい場合に向く。直結モード(Direct)はすべてプロキシを経由せず、プロキシ機能を一時停止した状態に相当する。

設定内のプロキシグループ(proxy-groups)を利用する。プロキシグループは複数のノードを選択可能な出口としてまとめ、ルール側でどのドメインや IP をどのグループへ流すか指定する。例えば動画配信用グループには低遅延ノード、ダウンロード用グループには帯域の広いノードを割り当てるといった使い方である。クライアント画面ではグループごとに手動でノードを選択でき、url-test 型のグループは遅延に応じて自動選択する。ルールは上から順に合致した時点で確定するため、記述順が優先度を決める。

関連カスタムルールの書き方解説、ルールベース分岐の実践設定

ノードリストの遅延テストはノードへ1回 HTTP リクエストを送り、往復にかかった時間を表示する。この数値はノードサーバーへの接続性と遅延のみを反映し、実際のダウンロード帯域を示すものではない。ノード選定では遅延と帯域の両方を考慮する必要がある。タイムアウト表示のノードは現在利用できないため、別のノードに切り替えるか、サブスクを更新して再テストするとよい。

TUN モードは仮想ネットワークアダプタを作成して端末全体の TCP/UDP 通信を横取りする方式で、アプリ側のプロキシ設定に依存しない。既定のシステムプロキシ方式はシステムプロキシ設定に従うアプリにしか効かず、ゲームや一部のコマンドラインツールなどシステムプロキシを無視するアプリには TUN モードでなければ対応できない。TUN の有効化には管理者権限が必要で、仮想ネットワークアダプタのドライバもインストールされる。通常のブラウジングでは有効化不要で、こうした対応困難なアプリをプロキシ経由にしたい場合にのみ有効化すればよい。

2つの方法がある。1つはルールの前方に直結ルールを追加する方法で、例えば DOMAIN-SUFFIX,example.com,DIRECT のように書けば合致時に直結される。もう1つは Windows クライアントのシステムプロキシ設定でバイパスリストを管理する方法で、リスト内のアドレスは完全に Clash を経由しなくなり、LAN アドレスや常時直結させたいドメインに向いている。一時的な用途では対応するプロキシグループを DIRECT に切り替えたり、モード全体を直結モードにしてもよい。

以下の順で確認する。まずサブスクを更新し、ノードリストが古いバージョンでないか確認する。次に Wi-Fi からスマホのテザリングへ切り替えるなどネットワーク環境を変えて、ローカルネットワークがプロキシポートに干渉していないか除外する。さらにシステム時刻を校正する。Trojan や VLESS など TLS 系プロトコルは時刻のずれに敏感で、1〜2分の誤差でもハンドシェイクに失敗する。別のデバイスやクライアントで同じサブスクを試し、問題がノード側か端末側かを切り分ける。複数のネットワークで試してもすべてのノードがタイムアウトする場合は、サブスク自体が失効している可能性が高い。

まずクライアントのシステムプロキシが確実にオンになっており、リスニングポートが他のプロキシソフトに占有されていないか確認する。2つのプロキシクライアントを同時に動かしているケースが最も多い原因である。次にブラウザにプロキシ機能を内蔵した拡張機能が入っていないか確認する。拡張機能によるプロキシはシステムプロキシより優先されるため、競合時は拡張機能側が有効になる。最後にシステムプロキシの設定が 127.0.0.1 とクライアントのリスニングポート(多くは 7890)を指しているか確認する。

TUN には OS レベルの権限が必要である。Windows では管理者としてクライアントを実行するか、クライアントのサービスモードを有効にして常駐サービスに権限を持たせる。macOS では初回有効化時にパスワード入力を求められ、ヘルパーツールのインストールを許可する。Linux では root 権限が必要か、実行ファイルに cap_net_admin 権限を付与する必要がある。権限を与えても失敗する場合は、他の VPN や高速化系ソフトとの競合を確認する。複数の仮想ネットワークアダプタがルーティングテーブルを奪い合うと作成に失敗するため、競合するソフトを終了して再試行する。

原因は UWP のサンドボックスによるループバック制限にある。UWP アプリは既定で 127.0.0.1 へのアクセスが禁止されており、Clash のローカルプロキシポートに接続できない。解決策は2つ。TUN モードを有効化してネットワークアダプタ層で通信を横取りする方法(ループバック制限の影響を受けない)と、対象アプリのループバック分離を解除する方法である。一部のクライアントには UWP ループバックツールが内蔵されており、対象アプリにチェックを入れるだけでよい。解除後は UWP アプリも通常のデスクトップアプリと同様にシステムプロキシを経由できるようになる。

典型的な症状は、ドメイン名でアクセスできないのに IP を直接指定すると正常に繋がる、あるいはサイトにアクセスすると誤ったページへ誘導される、といったものである。Clash には DNS モジュールが内蔵されており、設定内の nameserver が通常の解決を担当し、fallback が汚染されたドメインの処理を担う。調査の際はまずクライアントの DNS 設定が有効になっているか確認し、次にブラウザのセキュア DNS(DoH)が Clash の解決と競合していないか確認する。ブラウザの DoH は Clash の DNS を回避してしまうため、一時的にオフにして比較テストするとよい。

関連Clash DNS 設定の詳解