统一代理服务
MSM 把 Clash 与 Sing-Box 收拢到同一个 代理服务 菜单。页面会跟随当前活动核心切换数据源，节点、规则、连接和日志不再分散到旧的 /mihomo、/singbox 地址。
只提供管理能力
MSM 只管理用户自行提供且有权使用的 Clash / Sing-Box 内核、配置、规则、节点和订阅。项目不提供节点、订阅、网络接入、内容分发或任何违法违规服务，也不为未授权访问、侵权或其他违法违规行为提供授权或背书。详见 合规使用规范。
使用前检查
- 在 系统设置 → 系统更新 确认目标代理组件已安装。
- 在 进程管理 确认只有当前活动核心负责透明代理。
- 打开 代理服务 → 概览，确认版本、运行状态、控制器和网络信息可以读取。
- 更新订阅并完成一次节点延迟测试。
- 发起真实访问，在连接管理和日志中确认流量进入当前核心。
当前可选方案
| 方案 | 适合场景 | 权限与注意事项 |
|---|---|---|
| Clash Meta | 成熟兼容性；Meta 稳定版或 Alpha 预览版 | 基础方案 |
| Clash Smart | Smart 核心、专属模板和策略组 | 需要 Pro 的代理管理能力 |
| Sing-Box | reF1nd Sing-Box 核心及原生 JSON 配置 | 基础方案 |
概览：确认当前核心和网络状态
截图中的方案选择器来自保留上游内核名称的界面版本；本文统一称为 Clash Meta。
概览页主要看四类信息：
- 标题旁的版本和 运行中 状态。
- 右上角当前方案选择器，例如 Clash Meta。部分旧版界面或截图仍使用上游内核名称，对应的就是此方案。
- 实时连接数、上传下载曲线、CPU 和内存。
- 代理端口、绑定地址、透明代理、GeoData、Keep-Alive、TUN 等运行配置。
图中的数值来自测试流量。连接数为 0 并不代表核心异常；发起一次经过代理的请求后，曲线、累计流量和连接管理应同步变化。
安全切换方案
在右上角选择目标方案并确认后，MSM 会依次执行：
- 检查或下载目标二进制。
- 检查核心家族与配置格式。
- 停止旧核心，迁移兼容配置并启动目标核心。
- 重建透明代理和 DNS 相关网络规则。
- 验证控制器、策略组、订阅和配置接口。
- 同步最终活动核心状态。
切换会短暂中断现有连接。进度窗口未结束时，不要刷新、重复切换、更新同一组件或手工启停两个代理核心。
切换不是“停止一个、启动另一个”
手工在进程管理中交替启停会跳过配置迁移、网络规则重建和控制器验证。跨核心必须使用概览页的切换流程。
代理节点：订阅、策略组和测速
节点页可以在 代理组 与 代理节点 之间切换，并提供运行模式、自动刷新、筛选、排序和搜索。
推荐操作顺序：
- 更新订阅或 Provider，确认页面没有解析错误。
- 先对单个节点测试延迟，再对策略组批量测试。
- 用协议、Provider、可用性或关键词筛选。
- 在目标策略组选择节点，确认选中状态发生变化。
- 根据需要选择 规则 / 全局 / 直连 模式。
- 发起真实访问，到连接管理核对实际代理链。
订阅编辑同时提供表单与 YAML 模式。Clash Provider 的自定义请求头必须保留在 header 下，例如 header.User-Agent；节点来源前缀 / 后缀使用 override.additional-prefix / additional-suffix。YAML 模式会保留有语义的引号和空格，例如 additional-prefix: "MESL | "，避免保存后节点名称发生变化。
代理组、规则和配置策略支持拖动排序。保存后顺序会写回当前配置并经过依赖与核心校验；拖动规则时应特别注意更宽泛规则不能遮蔽后面的精确规则。
如何理解节点状态
- 延迟数值是到测试地址的连通结果，不等于所有站点体验。
timeout或不可用先检查订阅参数、节点网络和测试地址。- 策略组显示的节点是最终选择；仅在节点列表点亮某节点不一定改变所有规则。
- 自动测速组会按配置周期更新，手动选择组只在用户操作后切换。
规则管理：确认流量为什么走这个策略
规则页分为 规则 和 供应商 两个标签：
- 规则列表按实际匹配顺序展示类型、内容和最终策略链。
- 供应商页展示 Rule Provider / Rule Set 的更新时间、条目数和更新操作。
- 搜索框可按域名、规则内容、Provider 或策略名称定位。
排查某个站点时：
- 在规则页搜索域名或相关规则集。
- 记录规则类型及目标策略。
- 在代理节点确认该策略当前选择的节点。
- 在连接管理搜索同一域名，核对实际命中规则和代理链。
- 仍不一致时刷新规则供应商，并查看核心日志。
规则是自上而下匹配的。更宽泛规则放在前面可能遮蔽后面的精确规则；修改后必须用新连接验证，已有连接不会自动重新匹配。
连接管理：用真实流量验证配置
连接页顶部显示活动 / 已关闭数量、累计流量和实时速率。表格主要字段包括：
- 主机与目标地址
- TCP / UDP 类型
- 命中规则
- 实际代理链
- 当前上传下载速率和累计流量
- 建立时间与持续时间
可以按活动状态、TCP / UDP、客户端和关键词过滤。排查完成前可暂停刷新，避免列表移动。详情弹窗按区块展开原始数据，并提供一键复制；展开、滚动和复制不会因为后台刷新而自动跳回顶部。
关闭连接
- 行首关闭按钮只结束一条连接。
- 关闭所有活跃连接 会中断当前核心的全部连接。
- 关闭后应用程序可能立即重连，并按最新规则重新匹配。
关闭连接不是修复配置；它只适合让新规则立即用于后续连接，或终止异常长连接。
日志查看：定位核心错误
日志页支持搜索、级别筛选、暂停、刷新、下载和清理，并统计总日志数、ERROR 与 WARN。常见定位方式：
| 现象 | 搜索内容 |
|---|---|
| 节点连接失败 | 节点地址、端口、timeout、refused、TLS 错误 |
| 规则未命中 | 目标域名、RuleSet / Provider 名称、策略组名称 |
| 订阅更新失败 | Provider 名称、下载 URL 对应主机、HTTP 状态 |
| 核心启动失败 | config、parse、invalid、监听端口 |
| 透明代理异常 | tproxy、redir、tun、nftables、路由标记 |
日志中的 WARN 不一定是故障，应结合发生时间和实际请求判断。分享日志前删除订阅地址、节点凭据、内网结构和公网地址。
高级设置与配置编辑
高级设置用于可视化维护策略、规则和高级核心参数，配置编辑用于直接编辑 Clash YAML 或 Sing-Box JSON。这两类写操作受 Pro 能力和用户角色共同限制。
配置变更流程：
- 先创建备份或确认有可回滚历史。
- 在结构化页面修改能覆盖的字段。
- 只有结构化页面无法表达时才进入完整配置编辑。
- 保存前运行校验并检查差异。
- 按页面提示应用或重启。
- 从概览、节点、连接和日志四处验证。
不要同时在全局配置管理和代理专属编辑器修改同一文件。详见 配置管理。
远程回家
远程回家为当前代理核心创建公网入站，并生成外出设备可导入的客户端配置。它涉及公网入口、家庭网段、协议凭据、Docker 端口映射和外网验证，详见 远程回家。
权限边界
| 操作 | 查看者 | 运维员 | 管理员 | 其他限制 |
|---|---|---|---|---|
| 查看概览、节点、规则、连接、日志 | ✓ | ✓ | ✓ | 仍受模块能力限制 |
| 更新节点、切换策略、关闭连接 | — | ✓ | ✓ | 需要对应操作权限 |
| 修改远程回家和运行配置 | — | ✓ | ✓ | 某些字段需要 Pro |
| 切换代理方案 | — | — | ✓ | Smart 需要 Pro |
| 高级设置、完整配置编辑 | — | 按授权 | 按授权 | 需要细分 Pro 能力 |
常见故障顺序
页面显示运行中，但没有流量
- 确认客户端或主路由实际把流量送到当前核心。
- 检查代理端口、绑定地址、TUN / TProxy / Redir 模式。
- 在连接管理搜索目标主机。
- 查看核心日志和 MSM 网络规则日志。
- 运行系统诊断检查端口归属。
节点可测速，但网站打不开
- 在连接管理看实际命中规则与代理链。
- 检查 DNS 返回结果是否与代理模式一致。
- 测试 TCP / UDP、IPv4 / IPv6 的差异。
- 检查节点是否只对测试 URL 可用。
两个核心都显示运行
这是异常状态。不要继续切换或让两者同时接管网络；先从进程和日志确认应保留的活动核心，再通过统一切换流程恢复。
旧地址为什么跳转
/mihomo/* 与 /singbox/* 只是兼容入口。新版正式路径是 /proxy/*，跳转前会同步当前活动核心。
变更后的验证清单
- [ ] 概览显示正确活动核心、版本和运行状态
- [ ] 只有一个代理核心接管透明代理
- [ ] 订阅更新成功且目标节点可用
- [ ] 规则页的目标策略与节点页选择一致
- [ ] 连接页出现真实请求及正确代理链
- [ ] 日志中没有与本次变更对应的持续错误
- [ ] DNS 的 A / AAAA / FakeIP 行为与代理模式一致