# Clash fake-ip导致无法访问局域网？一文读懂原因与解决方案
在使用Clash等代理工具时，不少用户会遇到一个棘手的问题：开启代理后，原本可以正常访问的局域网设备（如NAS、路由器后台、打印机等）突然无法连接。这背后的“元凶”往往就是**Clash fake-ip模式**。本文将深入剖析fake-ip的工作原理、导致局域网访问失败的根因，并提供一套行之有效的解决方案，帮助你彻底告别这个网络难题。
## 什么是Clash fake-ip模式？它如何工作？
要理解为何**Clash fake-ip导致无法访问局域网**，首先需要明白fake-ip的本质。Clash支持两种DNS解析模式：redir-host（真实IP模式）和fake-ip（虚拟IP模式）。
在**fake-ip模式**下，Clash会为每个域名分配一个假的、保留网段内的IP地址（通常是198.18.0.0/16）。当你的设备请求解析某个域名时，Clash直接返回这个假IP，而不是真实的服务器IP。随后，当设备向该假IP发起连接时，Clash会拦截该流量，根据域名映射关系，将请求转发到真实的服务器。
这种设计的优势在于：
- **极大减少DNS解析延迟**：无需等待真实DNS响应
- **避免DNS污染**：假IP不经过真实DNS查询
- **规则匹配更高效**：Clash可以直接根据域名规则进行分流
然而，这种“偷梁换柱”的做法也带来了副作用——特别是当你试图访问**局域网内设备**时。
## 为什么fake-ip会导致无法访问局域网设备？
### 1. 局域网IP被误判为“假IP”
当你的设备通过Clash的fake-ip模式请求局域网内设备的域名（例如`nas.local`或`router.asus.com`）时，Clash会返回一个198.18.x.x的假IP。但问题是，局域网内的设备（如路由器、NAS）并不认识这个假IP，它们只接受真实的局域网地址（如192.168.1.1）。
更糟糕的是，如果你的规则中没有明确将这些局域网域名排除在代理之外，Clash会尝试通过代理服务器去访问这个假IP，结果自然是**连接超时或拒绝**。
### 2. 流量被强制走代理
默认情况下，fake-ip模式会将所有流量（包括局域网流量）纳入代理规则判断。如果你的规则集没有设置`IP-CIDR`对局域网网段（如`192.168.0.0/16`、`10.0.0.0/8`）进行直连（DIRECT）处理，那么这些流量也会被送往代理服务器。而代理服务器通常无法访问你的家庭局域网，因此请求失败。
### 3. 域名解析冲突
部分局域网设备使用mDNS或NetBIOS协议进行域名解析。这些协议依赖广播或组播，而fake-ip模式会拦截常规的DNS查询，导致这些特殊解析无法正常工作。最终，你的设备无法获取局域网设备的真实IP地址。
## 如何解决Clash fake-ip导致的局域网访问问题？
针对以上原因，以下是四种经过验证的解决方案，你可以根据自身需求选择最适合的方法。
### 方案一：在Clash配置中添加局域网直连规则（最推荐）
这是最根本的解决方式。你需要编辑Clash的配置文件（`.yaml`格式），在`rules`部分添加以下规则，确保局域网流量绕过代理：
```yaml
rules:
# 局域网直连规则（必须放在最前面）
- IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
- IP-CIDR,10.0.0.0/8,DIRECT,no-resolve
- IP-CIDR,172.16.0.0/12,DIRECT,no-resolve
- IP-CIDR,127.0.0.0/8,DIRECT,no-resolve
- IP-CIDR,100.64.0.0/10,DIRECT,no-resolve # 运营商级NAT
- DOMAIN-SUFFIX,local,DIRECT # 捕获.local域名
# 其余规则...
```
**操作步骤**：
1. 打开Clash的配置文件（通常在`~/.config/clash/`或Clash客户端的“配置”页面）。
2. 在`rules`列表的**最顶部**添加上述规则（顺序很重要，Clash按顺序匹配）。
3. 保存并重新加载配置。
这样，所有发往局域网IP的流量都会被强制直连，彻底解决fake-ip干扰问题。
### 方案二：关闭fake-ip，切换为redir-host模式
如果你不依赖fake-ip的加速和防污染特性，可以直接切换DNS模式。在Clash的配置文件中，将`dns`部分修改为：
```yaml
dns:
enable: true
enhanced-mode: redir-host # 改为redir-host
nameservers:
- 223.5.5.5
- 114.114.114.114
```
**优点**：局域网设备域名会返回真实IP，兼容性最好。
**缺点**：DNS解析延迟增加，且可能遭受DNS污染（但可以用DoH解决）。
### 方案三：使用独立端口绕过Clash核心（适用于特定客户端）
部分Clash客户端（如Clash for Windows、ClashX）支持“局域网连接”设置。你可以：
- 开启“允许局域网连接”功能，但为Clash设置一个**代理端口**（例如7890），然后手动为需要访问局域网的应用配置系统代理或PAC文件，并排除局域网地址。
- 或者，在系统网络设置中，将局域网设备的IP地址或域名添加到“不使用代理”列表中。
这种方法适合临时访问，但每次都要手动配置，不够优雅。
### 方案四：为局域网设备使用IP直连而非域名
最懒但有效的方法：直接使用局域网IP地址访问设备。例如，用`http://192.168.1.1`代替`http://router.asus.com`。因为fake-ip只劫持域名解析，**纯IP流量不会经过fake-ip处理**，所以可以正常访问。
**缺点**：如果设备IP经常变化（DHCP），需要频繁修改地址。可以配合静态IP分配使用。
## 预防措施：如何避免未来再次遇到这个问题？
解决问题后，更重要的是养成正确的配置习惯：
1. **规则顺序至关重要**：在Clash的所有配置中，`rules`的匹配顺序是从上到下，**一旦匹配则停止**。所以局域网直连规则必须放在最前面。
2. **定期审查规则集**：从网上下载的规则集（如`Loyalsoldier/clash-rules`）可能不会包含完整的局域网段，建议自己添加。
3. **理解fake-ip的边界**：fake-ip只适用于**公网域名**，对于内网域名或特殊协议（如P2P、局域网游戏），应尽量使用`DIRECT`策略。
## 总结
**Clash fake-ip导致无法访问局域网**是常见的配置问题，但根源在于规则集不完善。通过添加局域网IP-CIDR直连规则、切换DNS模式或使用IP直连，你可以快速恢复对局域网设备的访问。推荐优先使用**方案一**，因为它不影响fake-ip带来的性能优势，同时一劳永逸地解决问题。
如果你还在为其他Clash相关问题困扰，不妨看看
Clash配置文件常见错误排查或
如何优化Clash代理规则，这些内容能帮你更深入地掌握Clash的使用技巧。记住，合理的规则配置是稳定、高效代理体验的基石。