先核对固件与插件

本文以已能打开 PassWall 后台为起点。PassWall 与 PassWall2 是不同插件，不把它们的配置目录、菜单或备份文件直接互换。安装前按官方项目核对固件、架构、软件包格式与配套依赖；不要在同一路由器上同时开启多个透明代理。

导入的是节点，不是整份 Clash 配置

先在 Roxi 网站登录自己的账户，打开订阅区域，复制“第三方客户端”订阅地址。不要复制官网首页、邀请链接或浏览器地址栏里的登录地址。客户端不附送节点；套餐、流量、到期时间和设备限制以账户页为准。

把原 /sub/个人标识 改为 /sub/nodes/个人标识，得到明确的 Base64 节点列表。它只包含节点，不附带这个客户端的完整分流配置。

下面的 /sub/... 仅表示原链接中的路径。保留账户提供的域名、个人标识和查询参数；只替换一次路径，不把示例占位符当作真实地址，也不要重复加成 /sub/clash/clash/。已有专用链接时直接使用。不要将订阅 URL 发给公共转换站。

  1. 在服务 → PassWall 中找到节点订阅管理，新增 URL 与名称并手动更新；不同固件汉化可能有差别。
  2. 确认节点列表本轮新增/更新成功，再打开一条节点查看协议与所选核心。界面识别了 URI 不等于已安装支持该协议的可执行核心。
  3. 在基本设置选择默认节点或自己配置的分流节点，按现有拓扑核对 DNS 和访问控制，保存应用。
  4. 先让一台测试终端进入接管范围，再观察连接与日志，不直接给全网套新规则。

最容易混淆的三种结果

结果含义
订阅返回了 YAML/JSON 解析错误拿错资源类型；本文需要节点列表
有节点但服务无法启动检查选中的核心、传输支持和依赖
路由器能访问，终端不能检查访问控制、网关、DNS 和防火墙链路

独立验证 TCP 与 UDP

测试终端应先关闭自己的 VPN/系统代理。网页可以访问后，再测试实际语音或游戏；TCP 代理成功不证明 UDP 规则与节点能力正确。仅少数域名失败时查看分流命中，不把 DNS、核心和节点同时改掉。失败时停止插件接管，恢复原网关/DNS，再用旧配置恢复服务。

怎样确认真正连通

  1. 确认这次更新成功、节点数大于零，并选中了刚导入的配置。更新失败时可能仍在使用旧缓存，不能只看列表里还有节点。
  2. 固定一个节点，访问实际要用的网站或应用，再查看连接或日志中的目标、规则与出口。延迟数字、VPN 图标和“已启动”都不能单独证明业务成功。
  3. 同时检查一个平时可直连的网站；随后断开连接，确认基础网络恢复。只在全局模式可用时回到规则排障，不把全局作为长期修复。