Clash-Proxy einrichten: Konfiguration, Gruppen, Regeln und TUN-Modus

Um einen Clash-Proxy einzurichten, bearbeitest du eine einzige Datei namens config.yaml. Darin legst du fest, welchen Upstream-Proxy der Client verwenden soll, wie er gruppiert wird und welcher Datenverkehr darüber läuft. Diese Anleitung erklärt die Datei, fügt einen HTTP- oder SOCKS5-Proxy-Eintrag hinzu und zeigt, wann du den System-Proxy und wann den TUN-Modus nutzen solltest.

Clash ist ein regelbasierter Proxy-Client, der in Go geschrieben wurde. Dieser Leitfaden behandelt die modernen Forks, die tatsächlich verwendet werden: Clash Meta (mihomo), Clash Verge und ClashX. Am Ende hast du einen funktionierenden Node, eine Routing-Regel und eine Möglichkeit, die Änderung deiner Exit-IP zu prüfen.

DataImpulse ist ein ethischer Proxy-Anbieter mit mehr als 90 Millionen Residential-, Mobile- und Datacenter-IP-Adressen in 195 Ländern. Das Pay-as-you-go-Modell beginnt bei 1 Dollar pro GB und das Datenvolumen verfällt nicht. Es wird für Web Scraping, Anzeigenverifizierung, Preisüberwachung, Marktforschung und die Verwaltung mehrerer Konten genutzt.

Was ist das Clash-Proxy-Tool?

Clash ist ein regelbasierter, in Go geschriebener Proxy-Client, der deinen Netzwerkverkehr anhand von Regeln in einer YAML-Konfigurationsdatei über Upstream-Proxys leitet. Es hostet selbst keine Proxys, sondern ist ein Router, der sich mit einem bereits vorhandenen Proxy verbindet.

Da die ursprünglichen Projekte Clash und Clash for Windows archiviert wurden, verwenden die meisten Nutzer heute einen gepflegten Fork: Clash Meta (der mihomo-Core), Clash Verge Rev (eine plattformübergreifende GUI auf diesem Core) oder ClashX Meta unter macOS. Sie verwenden dasselbe config.yaml-Format, daher gelten die folgenden Schritte für alle. Clash ist weder ein Proxy-Anbieter noch ein VPN-Dienst und auch keine Möglichkeit, kostenlos anonyme IPs zu erhalten. Du gibst die Upstream-Zugangsdaten selbst an, zum Beispiel aus einem Tarif für Residential-Proxys.

Wie leitet Clash Datenverkehr über einen Proxy?

Clash leitet Datenverkehr mit einer dreiteiligen Konfiguration, dem Clash-Routing-Modell mit drei Ebenen: proxies definieren die Nodes, proxy-groups bestimmen den verwendeten Node und rules entscheiden, welcher Datenverkehr zu welcher Gruppe geht. Diese drei Ebenen zu verstehen, ist der entscheidende Punkt.

Hier ist das kleinste sinnvolle Grundgerüst. Der mixed-port öffnet einen lokalen Port, der sowohl HTTP- als auch SOCKS5-Client-Verbindungen akzeptiert; 7890 ist der traditionelle Standard.

mixed-port: 7890
allow-lan: false
mode: rule
log-level: info

proxies: []
proxy-groups: []
rules: []

Die drei Ebenen arbeiten von oben nach unten:

• proxies (Ebene 1): die tatsächlichen Upstream-Nodes mit jeweils Server, Port und Zugangsdaten.
• proxy-groups (Ebene 2): benannte Auswahlen oder automatische Tester, die einen Proxy aus einer Menge auswählen.
• rules (Ebene 3): Matcher wie DOMAIN-SUFFIX oder GEOIP, die passenden Datenverkehr an eine Gruppe senden.

Eine Anfrage erreicht den lokalen Port, Clash liest die rules von oben nach unten, die erste passende Regel benennt eine Gruppe und die Gruppe leitet an einen Proxy weiter. Die grundlegende Idee erläutern wir in unserem Artikel über was ein Web-Proxy ist.

Wie fügst du einen DataImpulse-Proxy zu Clash hinzu?

Um einen Proxy hinzuzufügen, legst du unter dem Schlüssel proxies einen Eintrag mit Typ, Server, Port und Login an. Clash unterstützt die Proxy-Typen socks5 und http, du kannst also jedes von deinem Anbieter bereitgestellte Protokoll verwenden.

Ein SOCKS5-Eintrag für DataImpulse sieht so aus. Ersetze Server, Port, Benutzername und Passwort durch die Werte aus deinem Dashboard. DataImpulse unterstützt HTTP, HTTPS und SOCKS5, Länder-Targeting ist im Grundpreis enthalten.

proxies:
  - name: "di-socks"
    type: socks5
    server: gw.dataimpulse.com
    port: 823
    username: "YOUR_USERNAME"
    password: "YOUR_PASSWORD"
    udp: true

Wenn du HTTP bevorzugst, sieht derselbe Node im http-Format so aus:

proxies:
  - name: "di-http"
    type: http
    server: gw.dataimpulse.com
    port: 823
    username: "YOUR_USERNAME"
    password: "YOUR_PASSWORD"
    tls: false

Als Nächstes referenzierst du diesen Node in einer proxy-group, damit du Nodes wechseln kannst, ohne deine rules anzupassen. Eine select-Gruppe ermöglicht die manuelle Auswahl, eine url-test-Gruppe wählt automatisch den schnellsten Node.

proxy-groups:
  - name: "PROXY"
    type: select
    proxies:
      - di-socks
      - di-http
      - DIRECT
  - name: "AUTO"
    type: url-test
    url: http://www.gstatic.com/generate_204
    interval: 300
    proxies:
      - di-socks
      - di-http

Zum Schluss fügst du rules hinzu, damit der Datenverkehr die Gruppe tatsächlich verwendet. Rules werden von oben nach unten gelesen und der erste Treffer gewinnt. Spezifische rules sollten daher über der allgemeinen MATCH-Zeile stehen.

rules:
  - DOMAIN-SUFFIX,ipify.org,PROXY
  - GEOIP,CN,DIRECT
  - MATCH,PROXY

Lade die Konfiguration in deiner GUI neu oder starte den Core neu. Der Node sollte dann in der PROXY-Gruppe zur Auswahl erscheinen. Informationen zur Kontoeinrichtung und zu Zugangsdatenformaten findest du in unserem Leitfaden zur Proxy-Authentifizierung.

Solltest du in Clash den System-Proxy-Modus oder den TUN-Modus verwenden?

Verwende den System-Proxy-Modus für den alltäglichen Browser- und App-Datenverkehr und den TUN-Modus, wenn du Apps erfassen musst, die Proxy-Einstellungen ignorieren. Der System-Proxy-Modus weist das Betriebssystem an, unterstützende Anwendungen auf den lokalen Clash-Port zu verweisen, während der TUN-Modus einen virtuellen Netzwerkadapter erstellt, der fast den gesamten Datenverkehr auf IP-Ebene abfängt.

Der praktische Unterschied: Der System-Proxy betrifft nur Programme, die die Proxy-Einstellung des Betriebssystems beachten, etwa Browser und viele CLI-Tools. Der TUN-Modus erfasst Raw Sockets, Spiele und hartnäckige Apps, die diese Einstellung umgehen. Deshalb bietet Clash Verge einen TUN-Schalter. Hier ist die Entscheidungshilfe:

• Verwende den System-Proxy-Modus, wenn du hauptsächlich einen Browser oder Skripte über einen Proxy leitest, einen unkomplizierten Ein-/Aus-Schalter möchtest und keine Administratorrechte hast.
• Verwende den TUN-Modus, wenn eine App den Proxy ignoriert, du Routing für das ganze Gerät brauchst oder auf rules angewiesen bist, die UDP- und Nicht-HTTP-Datenverkehr erkennen müssen.
• Vermeide den TUN-Modus, wenn dir Admin- oder Root-Rechte fehlen, da ein virtueller Adapter installiert werden muss, oder wenn ein Unternehmens-VPN bereits die Routing-Tabelle kontrolliert.

In Clash Verge sind beide separate Schalter, sodass du beides nutzen kannst. Für das Testen eines neuen Node ist der System-Proxy allein jedoch die schlankere und besser vorhersehbare Wahl.

Wie schneidet Clash beim Laden eines Proxy im Vergleich zu Shadowrocket und V2Ray ab?

Zum einfachen Laden eines HTTP- oder SOCKS5-Proxy ist Clash die regelorientierteste Option, Shadowrocket auf iOS am einfachsten und V2Ray bei den Protokollen am flexibelsten, aber am wenigsten einsteigerfreundlich. Alle drei können einen Standard-Proxy verwenden, unterscheiden sich jedoch bei Plattform, Konfigurationsstil und Routing-Tiefe.

Um einen Browser auf einen Node zu verweisen, eignet sich jeder dieser Clients. Clash ist im Vorteil, sobald du bedingtes Routing möchtest und nur bestimmte Domains über einen Proxy leitest, während alles andere direkt bleibt. Sieh dir unsere Datacenter-Proxys an, wenn du günstige Nodes für dieses aufgeteilte Routing suchst.

Wie testest du die Exit-IP nach der Einrichtung?

Teste deine Exit-IP, indem du eine Anfrage über den lokalen Clash-Port sendest und die zurückgegebene Adresse überprüfst. Weicht die IP von deiner echten ab und entspricht dem Land des Proxy, funktioniert das Routing.

Im System-Proxy-Modus verweist du curl direkt auf den Mixed-Port:

curl -x http://127.0.0.1:7890 https://api.ipify.org
# expected: the proxy exit IP, not your home IP

Bei aktivem TUN-Modus benötigst du das Flag -x nicht, da der virtuelle Adapter die Anfrage bereits abfängt:

curl https://ipinfo.io/json
# check the "ip" and "country" fields match your node

Wenn die IP unverändert bleibt, prüfe die Ebenen der Reihe nach: Kontrolliere, ob der Node in seiner Gruppe einen Latenzwert zeigt, ob eine rule diesen Datenverkehr an die Gruppe sendet und ob die App den gewählten Modus berücksichtigt. Das entspricht dem Clash-Routing-Modell mit drei Ebenen und grenzt Fehler schnell ein.

Welche Einschränkungen gibt es beim Betrieb eines Proxy über Clash?

Clash ist ein Router, keine Proxy-Quelle. Seine Zuverlässigkeit hängt daher vom eingesetzten Proxy und davon ab, wie sorgfältig du rules schreibst. Bevor du dich darauf verlässt, solltest du einige Einschränkungen kennen.

• Keine eigenen IPs: Clash kann dich ohne einen echten Upstream-Proxy nicht anonym machen; ein schlechter oder kostenloser Node kann weiterhin Daten preisgeben oder blockiert werden.
• Fehler bei der Regelreihenfolge: Da die erste passende rule gewinnt, kann eine zu weit oben platzierte, allgemeine rule Datenverkehr unbemerkt falsch leiten.
• TUN benötigt Berechtigungen: Der TUN-Modus installiert einen virtuellen Adapter und erfordert Admin- oder Root-Rechte. Zudem kann er mit einem vorhandenen VPN kollidieren.
• Abweichungen zwischen Forks: Das ursprüngliche Clash ist archiviert, daher können sich Konfigurationsschlüssel zwischen Clash Meta, Verge und älteren Builds von Clash for Windows leicht unterscheiden.
• Keine Scraping-Lösung: Clash leitet Datenverkehr, unternimmt aber nichts gegen CAPTCHAs, Fingerprints oder Sperren. Lies dazu unseren Artikel über Scraping ohne blockiert zu werden.

DataImpulse liefert den Upstream-Node mit rotierenden oder Sticky Sessions in 195 Ländern, verkauft jedoch keine statischen ISP-Proxys, ist keine verwaltete Scraping-API und kein kostenloser Web-Proxy-Dienst. Clash übernimmt das Routing, der Proxy-Tarif stellt die IPs bereit.

Häufig gestellte Fragen

Verwandte Leitfäden

• Einen Proxy in V2Ray einrichten
• Rotierende Proxys in Scrapy
• Wie viel kosten Proxys?

Hol dir einen Proxy-Node für deine Clash-Konfiguration

Sobald deine config.yaml fertig ist, fehlt nur noch ein zuverlässiger Exit-Node. Du kannst ein DataImpulse-Konto erstellen und die SOCKS5- oder HTTP-Zugangsdaten direkt in deinen proxies-Block einfügen. Das Pay-as-you-go-Datenvolumen enthält Länder-Targeting.