外观
开着 Clash 却打不开路由器、NAS 和打印机？局域网访问异常的排查与修复
很多人启用 Clash 后，会碰到一种很容易误判的问题：国际网站可以打开，但浏览器里输入 192.168.1.1 后，路由器后台却一直转圈；家里的 NAS、打印机、智能电视管理页面突然访问不了；公司的内部 Git、OA、文件服务器也显示超时。
这通常不代表局域网设备离线，更不一定是 Clash “坏了”。真正的原因往往是：本应留在本地网络中的请求，被系统代理、TUN 虚拟网卡、规则组或 DNS 解析送进了代理链路。代理节点无法替你访问你家路由器或公司内网，于是就出现了“开代理不能访问，关代理立刻恢复”的现象。
本文以 Clash Meta 内核及其常见桌面、移动端客户端的通用逻辑为基础，介绍如何安全定位问题。不同客户端的菜单名称会略有区别，但排查顺序基本一致。
先理解：局域网流量为什么会被代理
局域网设备常见的访问地址大致分两类：
- 直接使用 IP 地址：如
192.168.x.x、10.x.x.x、172.16.x.x到172.31.x.x。 - 使用本地域名或主机名：如
nas.local、printer.local、公司内部的intranet.example，或者路由器自动分配的设备名。
前一类属于私有地址范围，理论上应当直接通过本地网关访问；后一类则依赖 DNS、mDNS 或公司内部 DNS。只要其中任意一环被错误代理，访问就可能失败。
尤其在 全局模式 下，客户端可能会将绝大多数连接交给当前节点；在 TUN 模式 下，系统级流量会被虚拟网卡接管，规则遗漏的影响会更明显。如果配置中没有明确让私有 IP、局域网域名和内网网段直连，问题就会出现。
第一步：确认问题是 Clash 引起的
不要一上来就修改配置。先做一个简单对照，可以避免把设备故障误认为规则故障。
- 保持电脑或手机连接原来的 Wi-Fi 或网线。
- 记录无法打开的地址，例如
http://192.168.1.1或 NAS 的地址。 - 暂时关闭 Clash 的“系统代理”或停止 TUN 模式。
- 刷新页面，并注意浏览器是否仍使用缓存；必要时开无痕窗口重新访问。
如果关闭代理后能够立即打开，而重新启用后又失败，排查重点就应放在 Clash 的模式、规则和 DNS 上。
如果关闭 Clash 后依然打不开，则先检查设备 IP 是否变化、电脑与设备是否在同一网络、访客 Wi-Fi 是否开启了客户端隔离，以及设备本身是否正常开机。
第二步：不要用全局模式访问局域网
全局模式适合临时验证某个代理节点是否可用，但不适合作为日常工作模式。它会弱化甚至绕开原本精细的分流规则，局域网请求可能被直接交给代理组处理。
遇到内网访问异常时，先把 Clash 切换为：
- 规则模式（Rule）：日常最推荐；
- 或在客户端中选择能够保留本地直连的模式。
切换后再次访问路由器或 NAS。如果问题恢复，说明核心原因就是全局代理范围过大。之后应继续检查规则是否完整，而不是长期依赖“每次访问内网都先关 Clash”。
注意：有些客户端即使显示为规则模式，TUN 的路由设置仍可能影响局域网流量。因此规则模式恢复不了时，继续进行下一步。
第三步：检查规则中是否包含局域网直连
一个适合日常使用的配置，通常应让私有网段明确走 DIRECT。在 Clash 配置的规则区域中，相关规则应放在较宽泛的代理规则之前，因为 Clash 通常按从上到下的顺序匹配，先命中就停止。
常见的直连规则思路如下：
rules:
- IP-CIDR,127.0.0.0/8,DIRECT,no-resolve
- IP-CIDR,10.0.0.0/8,DIRECT,no-resolve
- IP-CIDR,172.16.0.0/12,DIRECT,no-resolve
- IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
- IP-CIDR,169.254.0.0/16,DIRECT,no-resolve
- GEOIP,LAN,DIRECT,no-resolve这些规则分别覆盖本机回环地址、常见私有网段和链路本地地址。no-resolve 的作用是避免客户端为了匹配 IP 规则又去额外解析域名；对于已经是 IP 地址的局域网访问，它通常更干净。
不过有两个细节值得注意：
- 不要盲目编辑订阅原文件。 订阅更新后，本地直接改过的内容可能丢失。优先使用客户端提供的“覆写（Override）”“扩展脚本”“规则集”或“追加规则”功能，把自定义局域网规则独立保存。
- 规则位置比规则内容同样重要。 若你的配置在前面已经有一条将所有流量交给代理组的兜底规则，那么后面新增的
GEOIP,LAN,DIRECT不会生效。局域网直连规则应放在通配规则、最终规则之前。
公司网络还有一种常见情况：内部系统使用的并不是标准私有网段，而是特定的公网 IP 段、专用域名或 VPN 网段。这时不能只依赖 GEOIP,LAN，而要向网络管理员确认内部网段，并针对实际范围添加 IP-CIDR、DOMAIN-SUFFIX 或 DOMAIN 直连规则。
第四步：TUN 模式下重点检查“绕过”和路由设置
TUN 模式通过虚拟网卡接管系统流量，兼容性更强，但也更依赖正确的路由策略。不同客户端会把相关选项写成“绕过局域网”“绕过私有地址”“Route Exclude Address”“Exclude Routes”或“自动路由”。
处理原则很简单：私有地址必须保留在本地网络，不应被导向代理接口。
可以按以下方式逐项排查：
- 确认客户端已启用局域网绕过或私有地址直连选项。
- 如果客户端支持自定义排除路由，加入家庭或公司实际使用的网段，例如
192.168.1.0/24。 - 退出并重新开启 TUN，必要时重启客户端，让系统路由表重新写入。
- 若使用第三方安全软件、虚拟机、远程办公 VPN，也要留意它们会不会同时创建虚拟网卡。
多个虚拟网卡并存时，系统会根据路由优先级决定数据从哪里走。表现出来可能是：网页能打开，但 SMB 文件共享打不开；能访问 NAS 管理页，却无法发现网络打印机。这种情况下，临时关闭不必要的 VPN、加速器或虚拟机网络适配器，再测试一次，通常有助于缩小范围。
第五步：能访问 IP，不能访问设备名称，多半是 DNS 或 mDNS
如果 http://192.168.1.50 可以打开 NAS，但 `（示例地址已省略） 不行，问题通常不在代理节点，而是名称解析。
其中 .local 后缀常依赖 mDNS（多播 DNS）发现设备。它不像普通域名那样总是发往公共 DNS 服务器，因此以下操作可能造成影响：
- 开启了强制 DNS 劫持或 DNS 重定向；
- DNS 模式设置不当，使本地解析请求被远程 DNS 接管；
- TUN 模式没有正确处理局域网多播流量；
- 设备、手机和电脑不在同一个 VLAN，或路由器开启了无线隔离。
最直接的临时解决办法，是在路由器 DHCP 静态租约中为 NAS、打印机等固定设备保留 IP，然后通过 IP 访问。更稳妥的长期方案是：让本地 DNS 或路由器负责解析内网域名，并在 Clash DNS 配置中将这些域名交给本地 DNS。
例如，公司域名为 corp.example，可建立“该后缀使用公司 DNS 或本地 DNS，其余域名按现有策略处理”的分流思路。具体写法取决于客户端和现有配置，不建议在不了解 DNS 来源的情况下直接复制复杂模板，以免影响正常联网。
第六步：用日志确认请求究竟走到了哪里
当规则很多、问题反复出现时，最可靠的办法不是猜，而是看 Clash 的连接列表或日志。
打开客户端的 Connections、连接记录或日志页面，然后访问一次无法打开的局域网地址，关注以下信息：
- 目标地址：是否确实是你要访问的内网 IP 或域名；
- 命中的规则：是否显示
DIRECT、MATCH、某个规则集； - 实际出口：是否被分配到了代理组和节点；
- DNS 记录：域名是否被解析成意料之外的地址。
理想状态下，访问 192.168.1.1 应显示为直连。若日志中显示它命中了代理组，就回到规则顺序和 TUN 排除设置继续检查。若显示直连但依然超时，则问题更可能在本机防火墙、设备地址、Wi-Fi 隔离或网络拓扑。
一份更省事的日常检查清单
以后遇到“开 Clash 后局域网失联”，可以按这份顺序处理：
- 关闭系统代理或 TUN，对比内网地址能否恢复；
- 将运行模式改为规则模式，避免长期使用全局模式；
- 检查私有 IP 网段是否有
DIRECT规则； - 确保局域网规则排在最终代理规则之前；
- 在 TUN 设置中开启绕过局域网或添加排除路由；
- 分别测试“直接 IP”和“设备名称”，区分路由问题与 DNS 问题；
- 查看连接日志，确认实际命中的规则；
- 若是公司网络，确认内部网段、内部 DNS 与办公 VPN 的要求。
结语
Clash 的价值在于分流，而不是把所有数据一股脑送往同一个出口。路由器、NAS、打印机、家庭服务器和公司内部系统本来就应该留在本地网络中访问。把局域网直连、TUN 绕过和 DNS 分流这三部分理顺后，代理与内网设备完全可以稳定共存。
配置完成后，建议保存一份独立的覆写或自定义规则备份。订阅更新、客户端升级、系统重装后，只要重新应用这份小配置，就能避免反复遇到“代理开着，家里设备却全没了”的问题。