구독
구독은 클라이언트가 노드나 전체 설정을 가져오는 원격 경로이며, 보통 접근 정보가 포함된 링크 형태입니다. 제공처에 따라 응답 형식이 다를 수 있으므로 브라우저에서 열린다고 해서 현재 클라이언트에 바로 가져올 수 있는 것은 아닙니다. 구독을 갱신하면 원격 내용만 새로 받아오며 클라이언트 프로그램은 업데이트되지 않습니다. 화면을 공유할 때는 구독 주소도 가려야 합니다.
설정 항목 · 연결 기록 · 클라이언트 설정
Clash 용어 정리
설정을 읽기 전에 연결 입구, 커널, 출구부터 구분해 보세요. 이 페이지에서는 자주 쓰이는 용어 25개를 5개 분야로 나누어 의미와 사용 조건, 혼동하기 쉬운 점을 설명합니다.
처음 설정한다면 입문 가이드를 먼저 확인하세요. 전체 사용 흐름은 사용 설명서에서 살펴볼 수 있습니다. 용어 옆의 링크를 저장하거나 공유할 수도 있습니다.
핵심 개념
세 가지를 먼저 확인하세요. 설정은 어디서 가져오는지, 트래픽은 어디로 들어오는지, 연결은 최종적으로 어디에 전달되는지입니다.
노드
노드는 프록시 서버에 연결하는 데 필요한 설정값의 묶음으로, 보통 서버 주소, 포트, 프로토콜, 인증 정보가 포함됩니다. 노드 이름은 제공자가 붙인 표시일 뿐 실제 출구 위치나 현재 부하를 보장하지 않습니다. 문제를 해결할 때는 노드 연결 실패와 구독 가져오기 실패를 구분하세요. 전자는 연결 설정과 네트워크 경로를, 후자는 설정 제공처를 확인해야 합니다.
지연 시간
클라이언트에 표시되는 지연 시간은 지정된 테스트 주소와 방식으로 측정한 응답 시간이며, ICMP ping과 다를 수 있습니다. 테스트 결과는 대상 서버, 연결 재사용, 시간 제한, 현재 네트워크 상태에 영향을 받습니다. 지연 시간이 짧다고 대역폭이 넓은 것은 아니며, 시간 초과가 모든 서비스의 사용 불가를 의미하지도 않습니다. 비교하려면 먼저 테스트 조건을 통일하세요.
시스템 프록시
시스템 프록시는 운영체제 설정에 로컬 프록시 주소를 등록해 해당 설정을 따르는 앱이 클라이언트의 프록시를 사용하도록 합니다. 브라우저는 대개 지원하지만 일부 게임, 명령줄 도구, 자체 네트워크 설정을 사용하는 앱은 따르지 않을 수 있습니다. 시스템 프록시를 켜는 것과 규칙 모드를 선택하는 것은 별개의 동작입니다. 전자는 트래픽의 진입점을, 후자는 커널에 들어온 뒤의 라우팅 방식을 제어합니다.
TUN 모드
TUN은 가상 네트워크 장치로 IP 패킷을 받은 뒤 커널에 전달해 연결을 처리합니다. 시스템 프록시를 따르지 않는 앱을 다룰 때 유용합니다. 실제 트래픽을 가로채는 범위는 시스템 라우팅, 실행 권한, 제외 항목, DNS 설정에 따라 달라지며, TUN을 켠다고 모든 연결이 포함되는 것은 아닙니다. 먼저 시스템 프록시로 노드가 작동하는지 확인한 다음 TUN 설정을 하나씩 살펴보면 진입점 문제와 노드 문제를 구분하기 쉽습니다.
프록시 프로토콜
프로토콜은 연결을 설정하고 데이터를 전송하는 방식을 설명할 뿐, 속도 순위를 의미하지는 않습니다. 선택하기 전에 커널과 서버가 해당 프로토콜을 지원하는지 확인하세요.
HTTP 프록시
HTTP 프록시는 앱이 프록시 서버에 접속하는 방식으로, 로컬 진입점이나 원격 노드에 모두 사용할 수 있습니다. HTTPS 사이트에 접속할 때는 보통 CONNECT로 터널을 만들며, 사이트의 TLS 연결은 브라우저와 대상 사이트 사이에서 협상됩니다. 이 프록시를 켰다고 클라이언트가 HTTPS 본문을 복호화하는 것은 아닙니다. 인증서 오류가 발생하면 시스템 시간, 인증서 체인, 연결 환경을 따로 확인하세요.
SOCKS5
SOCKS5는 TCP 연결을 전달하고 UDP 전달 방식도 정의하는 범용 프록시 프로토콜입니다. 다만 앱과 서버가 UDP를 각각 지원하는지 확인해야 합니다. 프로토콜 자체는 트래픽을 암호화하지 않으므로 SOCKS5를 사용한다는 사실만으로 전송 보안을 판단할 수 없습니다. 도메인을 기기와 프록시 서버 중 어디서 조회하는지는 앱이 도메인 이름을 전달하는지, 이미 조회된 IP를 전달하는지에 따라 달라집니다.
Shadowsocks
Shadowsocks는 양쪽에서 합의한 암호화 방식과 키를 사용해 프록시 서버에 연결하며, 설정에는 보통 type: ss로 표시합니다. 암호화 방식, 비밀번호, 확장 전송 설정이 서버와 일치해야 하므로 프로토콜 이름만 바꿔 변환할 수는 없습니다. 일부 최신 알고리즘에는 최신 커널이 필요합니다. 가져오기 오류가 나면 먼저 오류 메시지에 나온 항목과 커널 지원 여부를 확인하세요.
Trojan
Trojan은 보통 TLS로 프록시 연결을 보호하며, 클라이언트의 서버 주소, 포트, 인증 설정이 서버와 일치해야 합니다. TLS 핸드셰이크에는 SNI와 인증서 도메인도 영향을 줄 수 있으므로 노드 주소에 연결된다고 해서 핸드셰이크까지 성공하는 것은 아닙니다. 인증서 문제가 생기면 도메인, 시간, 서버 설정을 먼저 확인하고 인증서 검증 해제를 상시 해결책으로 사용하지 마세요.
Hysteria2
Hysteria2는 QUIC 기반이므로 UDP 네트워크 경로를 사용할 수 있어야 하며 클라이언트 커널도 해당 프로토콜을 지원해야 합니다. 인증, TLS, 선택 사항인 난독화 설정이 서버와 일치해야 하며, 이전 Hysteria 설정이 그대로 호환된다고 볼 수는 없습니다. 네트워크에서 UDP를 제한하면 같은 서버의 TCP 서비스가 정상이어도 이 프로토콜은 연결되지 않을 수 있습니다.
규칙과 라우팅
규칙이 사용할 정책을 정하고, 정책 그룹이 연결 출구를 선택합니다. 이 두 단계의 관계를 이해하는 것이 모드를 계속 바꾸는 것보다 도움이 됩니다.
규칙 라우팅
규칙 라우팅은 도메인, IP, 프로세스 등의 조건으로 연결 경로를 정하며, 보통 위에서 아래로 검사해 처음 일치한 규칙을 적용합니다. 구체적인 규칙은 대체로 포괄적인 규칙보다 앞에 두고, 기본 규칙은 맨 끝에 둡니다. 규칙 모드에서 예상과 다른 출구를 사용한다면 연결 기록의 매칭 규칙과 정책 경로를 먼저 확인한 뒤 순서나 조건을 수정하세요.
프록시 그룹
프록시 그룹은 노드나 다른 정책을 하나의 참조 가능한 모음으로 구성하므로, 규칙에서 특정 노드 대신 그룹 이름을 지정할 수 있습니다. select는 보통 수동 선택, url-test는 테스트 결과에 따른 선택, fallback은 사용 가능 여부에 따른 순차 전환에 사용합니다. 자동 그룹의 동작은 테스트 주소와 주기에 따라 달라지며 모든 서비스에 같은 최적 출구를 보장하지 않습니다.
규칙 세트
규칙 세트는 도메인이나 IP 항목을 기본 설정에서 분리해 별도로 관리하고 업데이트하기 쉽게 합니다. rule-providers에 리소스를 선언한 뒤 규칙 목록에서 RULE-SET으로 참조해야 합니다. 다운로드에 성공해도 라우팅에 자동으로 적용되는 것은 아닙니다. 리소스 형식은 behavior 등의 설정과 일치해야 하며, 업데이트에 실패하면 로그의 파싱 오류도 확인하세요.
GeoIP와 GEOSITE
GeoIP는 IP 주소 분류 정보를, GEOSITE는 도메인 목록을 기준으로 분류하므로 사용 데이터와 매칭 대상이 다릅니다. 분류 결과는 데이터 출처, 수록 범위, 업데이트 상태에 따라 달라지며 실시간 물리적 위치나 웹사이트 소유권을 판단하는 정보가 아닙니다. IP 기반 규칙은 도메인 조회를 일으킬 수도 있으므로 DNS 설정과 함께 매칭 결과를 살펴보세요.
직접 연결, 거부, 기본 규칙
DIRECT는 기기의 네트워크를 통해 직접 연결하고 REJECT는 연결을 거부하는 정책으로, 둘 다 규칙에서 참조할 수 있습니다. MATCH는 나머지 연결에 적용하는 규칙 유형이므로 사용할 정책을 뒤에 지정해야 합니다. 예를 들어 MATCH,PROXY에서 PROXY는 이미 정의한 정책 이름이어야 합니다. MATCH를 너무 앞에 두면 뒤에 있는 일반 규칙은 매칭될 기회가 없습니다.
더 알아보기: 규칙 순서와 연결 확인.
네트워크와 DNS
도메인 조회 경로와 웹사이트 연결 경로는 각각 따로 확인해야 합니다.
DNS
DNS는 도메인에 대응하는 IP 등의 레코드를 조회하며, 앱은 주소를 받은 뒤 연결을 시작합니다. 운영체제, 브라우저, 프록시 커널은 각각 결과를 캐시하거나 서로 다른 리졸버를 사용할 수 있습니다. DNS 문제를 확인하려면 먼저 누가 조회를 시작했고 요청이 어디로 전달되는지 살펴보세요. 시스템 DNS만 바꾸면 커널과 브라우저도 함께 바뀔 것이라고 단정해서는 안 됩니다.
Fake-IP
Fake-IP는 앱에 가상 주소를 반환하고 커널에 주소와 도메인의 매핑을 저장해 이후 연결을 도메인 기준으로 처리합니다. 가상 주소는 대상 서버의 실제 주소가 아니며, 관련 트래픽은 매핑을 보유한 커널로 돌아와야 합니다. 실제 주소에 의존하는 일부 앱에는 제외 설정이 필요할 수 있습니다. DNS 모드를 바꾼 뒤에는 이전 캐시가 확인 결과에 영향을 주는지도 살펴보세요.
DNS 누출
DNS 누출은 보통 조회가 의도한 경로를 벗어나는 현상입니다. 예를 들어 프록시로 처리하려던 도메인 조회를 앱이 로컬 리졸버에 직접 보낼 수 있습니다. 이상 여부는 라우팅 목적에 따라 판단해야 하며, 직접 연결할 트래픽에서 로컬 DNS를 사용하는 것이 반드시 문제는 아닙니다. 검사 페이지에 표시되는 리졸버는 재귀 조회 경로의 일부일 수도 있으므로 브라우저의 암호화 DNS, 시스템 설정, 실제 조회 기록을 함께 확인하세요.
리졸버 그룹
nameserver와 fallback은 mihomo DNS 설정에서 사용할 수 있는 리졸버 목록이며, 결과 선택에는 필터와 정책 설정도 영향을 줍니다. fallback은 기본 서버가 실패한 뒤에만 쓰는 단순한 백업 주소 목록이 아닙니다. fallback-filter도 결과 선택에 관여합니다. 수정하기 전에 도메인별 리졸버 지정 정책이 현재 설정에 포함되어 있는지 확인하세요. 일부 설정만 보고 판단하지 않도록 주의해야 합니다.
DNS 가로채기
TUN 설정에서 DNS 가로채기는 보통 조건에 맞는 DNS 요청을 커널 리졸버로 전달하는 기능입니다. 트래픽을 가로채는 설정이지 웹사이트 인증서를 수정하는 기능은 아닙니다. 요청이 TUN에 들어오는지, 규칙이 해당 프로토콜과 포트에 매칭되는지에 따라 적용 여부가 달라집니다. 앱이 직접 만든 DoH 또는 DoT 연결은 일반 DNS 가로채기만 설정했다고 자동으로 처리되지 않으므로 연결 경로를 별도로 살펴봐야 합니다.
더 알아보기: DNS 설정과 문제 해결 순서.
클라이언트와 커널
인터페이스는 조작을 담당하고 커널은 연결 처리를 담당합니다. 호환성 문제를 해결하려면 두 계층을 모두 확인해야 합니다.
GUI 클라이언트
GUI 클라이언트는 구독 가져오기, 정책 선택, 로그 확인, 프록시 켜기 등의 기능을 제공합니다. 백그라운드에서 별도의 커널 프로세스를 실행할 수도 있습니다. 같은 커널을 사용하더라도 클라이언트마다 설정 관리, 권한 요청, 시스템 연동 방식이 다를 수 있습니다. 클라이언트를 고를 때는 인터페이스뿐 아니라 포함된 커널이 현재 설정과 프로토콜을 지원하는지도 확인하세요.
mihomo 커널
mihomo는 이전에 Clash Meta로 불린 프록시 커널로, 프로토콜 연결, 규칙 매칭, DNS 처리를 담당합니다. GUI 클라이언트에서 호출하거나 독립적으로 실행할 수 있습니다. 기존 Clash와 일부 설정 방식은 공유하지만 지원하는 항목과 프로토콜은 완전히 같지 않습니다. 설정 호환성 문제가 생기면 클라이언트 이름에 Clash가 포함되는지만 볼 것이 아니라 실제 실행 중인 커널과 해당 문서를 확인하세요.
YAML
YAML은 Clash 설정에 흔히 사용하는 데이터 직렬화 형식으로, 들여쓰기로 계층을 표현하고 목록과 키-값 쌍으로 내용을 구성합니다. 들여쓰기에는 공백을 사용해야 하며 특수 문자가 포함된 값에는 따옴표 규칙을 주의해야 합니다. 같은 키가 중복되면 예기치 않게 기존 값이 덮어써질 수도 있습니다. 문법 검사는 첫 단계일 뿐입니다. 정책 이름 참조, 필드 유형, 커널 지원 범위는 설정 검사나 시작 로그로 확인해야 합니다.
설정 오버라이드
설정 오버라이드는 구독 원본에 병합, 패치, 스크립트를 적용해 최종 실행 설정을 만드는 방식으로, 로컬 DNS나 규칙 변경을 저장할 때 유용합니다. 목록의 교체와 추가 순서, 우선순위 처리 방식은 클라이언트마다 다를 수 있으므로 다른 클라이언트의 사용법을 그대로 적용할 수 없습니다. 변경 사항이 적용되지 않는 것 같다면 구독 편집기에 표시된 원본이 아니라 최종 실행 설정을 확인하세요.
외부 제어 인터페이스
external-controller는 커널 제어 API가 요청을 받는 주소를 지정합니다. GUI는 이 API를 통해 연결 정보를 읽고, 정책을 전환하거나 설정을 관리할 수 있습니다. 웹 브라우징용 프록시 포트가 아니므로 시스템 프록시 주소로 지정해도 기대한 대로 작동하지 않습니다. 로컬에서만 관리한다면 루프백 주소로 제한하세요. 다른 기기에서 접속해야 할 때는 인증과 방화벽 접근 범위도 설정해야 합니다.