Proxy Cho Shadowrocket Và Clash: Cấu Hình Chi Tiết

Chuyên viên Kỹ thuật ProxyVN 10-19-2026 Đang tính... phút đọc

Proxy cho Shadowrocket và Clash là cách nhiều anh em dùng để đưa lưu lượng của điện thoại và máy tính qua proxy có chọn lọc. Hai ứng dụng này không cấp sẵn máy chủ, chúng chỉ là công cụ định tuyến theo quy tắc do anh em thiết lập. Bài viết của ProxyVN hướng dẫn nhập máy chủ, viết tệp cấu hình, chọn chế độ định tuyến và kiểm tra IP đầu ra.

Proxy cho Shadowrocket và Clash gồm những thành phần nào

Trước khi cấu hình, anh em cần phân biệt hai thứ thường bị nhầm là ứng dụng quản lý proxy và máy chủ proxy.

Proxy client khác nhà cung cấp proxy

Proxy client khác nhà cung cấp proxy

Ứng dụng quản lý không phải máy chủ

Theo hướng dẫn của Webshare về Clash, Clash là ứng dụng quản lý proxy dựa trên quy tắc, viết bằng ngôn ngữ Go. Nó không có địa chỉ IP nào, anh em phải tự cung cấp máy chủ proxy.

Shadowrocket cũng vậy. Webshare mô tả đây là tiện ích proxy dựa trên quy tắc cho thiết bị di động, chuyển hướng lưu lượng HTTP, HTTPS và TCP qua máy chủ proxy.

Điểm khác với proxy hệ thống

Cài proxy trong phần Wi-Fi của điện thoại chỉ áp dụng cho mạng Wi-Fi đó và đưa mọi thứ qua một máy chủ. Hai ứng dụng này hoạt động trên cả mạng di động lẫn Wi-Fi.

Quan trọng hơn, chúng xét từng yêu cầu và quyết định yêu cầu nào đi qua proxy, yêu cầu nào đi thẳng. Ứng dụng ngân hàng có thể dùng mạng thật trong khi trình duyệt đi qua proxy.

So sánh nhanh

So sánh nhanh
Tiêu chí	Shadowrocket	Clash
Nền tảng chính	iOS, có bản Android	Windows, macOS, Linux, Android, router
Cách cấu hình	Nhập trên giao diện	Tệp YAML
Chi phí ứng dụng	2,99 USD trên iOS, miễn phí trên Android theo Webshare	Miễn phí, mã nguồn mở
Thế mạnh	Thiết lập nhanh trên điện thoại	Quy tắc chi tiết, nhóm proxy, tự chọn nút nhanh nhất

Các bản Clash hiện nay

Webshare cho biết bản Clash gốc và Clash for Windows đã ngừng phát triển. Các ứng dụng hiện tại chạy trên lõi Clash Meta, còn gọi là mihomo, và dùng chung định dạng tệp cấu hình. Danh sách tham số đầy đủ nằm trong tài liệu của dự án mihomo.

Clash Verge Rev: cho Windows, macOS và Linux, phổ biến nhất.
ClashX Meta: cho macOS, gọn nhẹ trên thanh trình đơn.
Clash Meta for Android và FlClash: cho Android.
OpenClash: chạy trên router dùng OpenWRT.

Hiểu đúng vai trò của ứng dụng giúp anh em biết mình cần mua thêm gì và cấu hình ở đâu.

Chuẩn bị máy chủ trước khi cài proxy cho Shadowrocket và Clash

Cả hai ứng dụng đều cần cùng một bộ thông tin từ nhà cung cấp proxy.

Thông tin bắt buộc

Địa chỉ máy chủ: IP hoặc tên miền.
Cổng.
Tên đăng nhập và mật khẩu.
Giao thức: HTTP, HTTPS hoặc SOCKS5.

Chọn giao thức

Webshare nhận xét HTTP phù hợp với lưu lượng web thông thường. SOCKS5 nên dùng khi cần hỗ trợ UDP hoặc khi công cụ xử lý SOCKS ổn định hơn.

Với Shadowrocket, Webshare khuyên chọn loại Socks vì xử lý được mọi loại lưu lượng, kể cả HTTP và HTTPS. Bài cách sử dụng SOCKS5 proxy giải thích thêm.

Chọn loại proxy

Chọn loại proxy
Loại proxy	Tốc độ	Rủi ro bị nhận diện	Dùng tốt cho
Datacenter	Cao nhất	Cao hơn	Tự động hóa khối lượng lớn với đích dễ tính
Dân cư tĩnh hoặc ISP	Cao	Thấp	Phiên dài, quản lý tài khoản, cần IP cố định
Dân cư xoay	Trung bình	Thấp nhất	Thu thập dữ liệu, định vị theo quốc gia

Với việc duyệt web và dùng ứng dụng hằng ngày trên điện thoại, Webshare gợi ý proxy dân cư tĩnh để kết nối ổn định và nhất quán.

Xoay và giữ phiên

Tài liệu của Decodo phân biệt hai kiểu. Phiên xoay đổi IP theo từng yêu cầu hoặc theo chu kỳ. Phiên giữ cố định duy trì một IP, trong ví dụ của họ là tối đa 60 phút, và được khuyến nghị cho việc duyệt liên tục để tránh mất kết nối.

Bài sticky session proxy là gì hướng dẫn chọn thời gian giữ phiên.

Có đủ thông tin và chọn đúng loại, anh em chuyển sang cấu hình từng ứng dụng.

Cấu hình proxy cho Shadowrocket trên iOS và Android

Shadowrocket phù hợp với anh em muốn thiết lập nhanh ngay trên điện thoại.

Nhập máy chủ trong Shadowrocket

Nhập máy chủ trong Shadowrocket

Yêu cầu

Theo Webshare, bản iOS yêu cầu hệ điều hành từ phiên bản 12.0 trở lên. Anh em tải từ cửa hàng ứng dụng chính thức của nền tảng.

Thêm máy chủ trên iOS

Các bước theo tài liệu của Decodo:

Mở ứng dụng và chọn Add Server.
Chọn loại giao thức, HTTP, HTTPS hoặc SOCKS5.
Điền các trường theo bảng dưới đây rồi lưu.

Thêm máy chủ trên iOS
Trường	Nội dung	Ghi chú
Host	Địa chỉ máy chủ, ví dụ gate.decodo.com	Lấy từ nhà cung cấp
Port	Cổng, ví dụ 7000	Lấy từ nhà cung cấp
User	Tên đăng nhập	Không để khoảng trắng thừa
Password	Mật khẩu	Không để khoảng trắng thừa
Remarks	Tên gợi nhớ	Ví dụ ghi quốc gia của proxy

Thêm máy chủ trên Android

Theo Webshare và Decodo:

Chạm biểu tượng thư mục ở góc trên bên phải, chọn Type manually.
Chọn giao thức Socks.
Nhập Remarks, địa chỉ IP, cổng, tên đăng nhập và mật khẩu.
Lưu cấu hình.

Kết nối

Trên iOS, gạt công tắc kết nối sang trạng thái bật. Trên Android, chạm biểu tượng máy bay giấy ở phía dưới.
Lần đầu, hệ thống hỏi quyền thêm cấu hình VPN. Anh em chấp thuận để ứng dụng có thể chuyển hướng lưu lượng.
Chạy Connectivity Test để xem máy chủ có phản hồi hay không.

Ứng dụng dùng cơ chế VPN của hệ điều hành để bắt lưu lượng, nhưng điểm ra vẫn là máy chủ proxy anh em đã nhập.

Chế độ định tuyến

Decodo mô tả mục Global Routing với hai chế độ đáng chú ý:

Proxy: ép toàn bộ lưu lượng đi qua proxy.
Config: định tuyến có chọn lọc theo quy tắc cho từng ứng dụng hoặc tên miền.

Với chế độ Config, ứng dụng ngân hàng có thể tiếp tục dùng kết nối 4G hoặc 5G trực tiếp trong khi phần còn lại đi qua proxy.

Xác minh

Mở trình duyệt và truy cập một trang kiểm tra IP. Địa chỉ và quốc gia hiển thị phải là của proxy.

Để ngắt, anh em gạt tắt công tắc hoặc chạm lại biểu tượng máy bay giấy.

Thiết lập trên điện thoại chỉ mất vài phút khi đã có sẵn thông tin máy chủ.

Viết tệp cấu hình proxy cho Clash

Clash đòi hỏi viết tệp YAML, đổi lại anh em có toàn quyền kiểm soát việc định tuyến.

Viết tệp cấu hình Clash

Viết tệp cấu hình Clash

Ba tầng của tệp cấu hình

Webshare tóm tắt cấu trúc như sau:

proxies       → WHAT your nodes are (actual servers)
proxy-groups  → WHICH node gets used (selection logic)
rules         → WHAT TRAFFIC goes where (routing decisions)

Một yêu cầu đi vào Clash, được so với các quy tắc từ trên xuống. Quy tắc khớp đầu tiên đưa nó tới một nhóm, và nhóm chọn ra một nút cụ thể.

Cấu hình tối thiểu

Đây là mẫu chạy được của Webshare, anh em thay máy chủ, cổng và tài khoản bằng thông tin của mình:

mixed-port: 7890
allow-lan: false
mode: rule
log-level: info
 
proxies:
  - name: "Webshare"
    type: http
    server: p.webshare.io
    port: 80
    username: "YOUR_USERNAME"
    password: "YOUR_PASSWORD"
    tls: false
 
proxy-groups:
  - name: "PROXY"
    type: select
    proxies:
      - Webshare
      - DIRECT
 
rules:
  - GEOIP,PRIVATE,DIRECT,no-resolve
  - MATCH,PROXY

Ý nghĩa các thiết lập chính:

mixed-port: 7890: một cổng cục bộ nhận cả kết nối HTTP lẫn SOCKS5.
allow-lan: false: chỉ máy này dùng proxy. Đặt true nếu muốn chia cho thiết bị khác trong mạng.
mode: rule: định tuyến theo phần rules. Hai chế độ còn lại là global và direct.
GEOIP,PRIVATE,DIRECT,no-resolve: luôn đặt đầu tiên để lưu lượng mạng nội bộ không đi qua proxy.

Khai báo nút SOCKS5

proxies:
  - name: "Webshare-SOCKS"
    type: socks5
    server: p.webshare.io
    port: 1080
    username: "YOUR_USERNAME"
    password: "YOUR_PASSWORD"

Khai báo nhiều IP riêng lẻ

Khi có danh sách IP tĩnh, mỗi địa chỉ thành một nút riêng để chọn thủ công:

proxies:
  - name: "WS-01"
    type: http
    server: 198.51.100.10
    port: 8080
    username: "YOUR_USERNAME"
    password: "YOUR_PASSWORD"
 
  - name: "WS-02"
    type: http
    server: 198.51.100.11
    port: 8080
    username: "YOUR_USERNAME"
    password: "YOUR_PASSWORD"

Chọn quốc gia và kiểu phiên

Một số nhà cung cấp mã hóa tùy chọn vào tên đăng nhập. Trong ví dụ của Webshare, hậu tố rotate bật chế độ xoay, mã nước chọn quốc gia và một dãy số tùy ý tạo phiên giữ cố định:

proxies:
  - name: "WS-US"
    type: http
    server: p.webshare.io
    port: 80
    username: "YOUR_USERNAME-us-rotate"
    password: "YOUR_PASSWORD"
 
  - name: "WS-DE-Sticky"
    type: http
    server: p.webshare.io
    port: 80
    username: "YOUR_USERNAME-de-4471"
    password: "YOUR_PASSWORD"

Quy ước này khác nhau giữa các nhà cung cấp. Anh em đọc tài liệu của đơn vị mình dùng để biết cú pháp đúng.

Nạp tệp vào ứng dụng

Trong Clash Verge Rev, anh em nhập tệp cấu hình ở phần hồ sơ, chọn hồ sơ đó rồi bật chế độ proxy hệ thống. Người chuyển từ Clash for Windows chỉ cần nhập lại tệp cũ vì định dạng không đổi.

Tệp cấu hình tối thiểu đã đủ để chạy, các phần sau giúp anh em khai thác thế mạnh của Clash.

Nhóm proxy và quy tắc định tuyến trong proxy cho Clash

Đây là phần tạo ra khác biệt giữa Clash và việc đặt một proxy đơn lẻ.

Bốn kiểu nhóm

Mẫu của Webshare minh họa đủ bốn kiểu:

proxy-groups:
  - name: "PROXY"
    type: select
    proxies:
      - AUTO
      - WS-US
      - WS-DE-Sticky
      - DIRECT
 
  - name: "AUTO"
    type: url-test
    proxies:
      - WS-US
      - WS-DE-Sticky
    url: "http://www.gstatic.com/generate_204"
    interval: 300
    tolerance: 50
 
  - name: "FALLBACK"
    type: fallback
    proxies:
      - WS-US
      - WS-DE-Sticky
    url: "http://www.gstatic.com/generate_204"
    interval: 300
 
  - name: "BALANCE"
    type: load-balance
    strategy: consistent-hashing
    proxies:
      - WS-01
      - WS-02
    url: "http://www.gstatic.com/generate_204"
    interval: 300

select: anh em tự chọn nút trên giao diện.
url-test: tự chọn nút có độ trễ thấp nhất, đo lại sau mỗi 300 giây.
fallback: dùng nút đầu tiên còn hoạt động theo thứ tự liệt kê.
load-balance: chia kết nối qua nhiều nút. Với chiến lược consistent-hashing, cùng một tên miền luôn đi qua cùng một nút, nên phiên làm việc không bị đổi IP.

Kiểu fallback là cách dựng cơ chế dự phòng đơn giản. Anh em đọc thêm bài proxy failover.

Viết quy tắc

Quy tắc được xét từ trên xuống, khớp đầu tiên thắng. Thứ tự vì vậy rất quan trọng.

rules:
  - GEOIP,PRIVATE,DIRECT,no-resolve
  - IP-CIDR,127.0.0.0/8,DIRECT,no-resolve
 
  - DOMAIN-SUFFIX,amazon.com,WS-US
  - DOMAIN-SUFFIX,amazon.de,WS-DE-Sticky
 
  - PROCESS-NAME,python,PROXY
  - PROCESS-NAME,scrapy,PROXY
 
  - MATCH,DIRECT

Các loại quy tắc

Các loại quy tắc
Loại quy tắc	Khớp theo	Ví dụ
DOMAIN	Tên miền chính xác	DOMAIN,api.example.com,PROXY
DOMAIN-SUFFIX	Tên miền và tên miền con	DOMAIN-SUFFIX,example.com,PROXY
DOMAIN-KEYWORD	Chuỗi con trong tên miền	DOMAIN-KEYWORD,shopify,PROXY
IP-CIDR	Dải IP	IP-CIDR,10.0.0.0/8,DIRECT,no-resolve
GEOIP	Quốc gia của đích	GEOIP,VN,DIRECT
PROCESS-NAME	Ứng dụng trên máy	PROCESS-NAME,chrome,PROXY
MATCH	Mọi thứ còn lại	MATCH,DIRECT

Webshare lưu ý chỉ được có một quy tắc MATCH. Mọi quy tắc đặt sau nó bị bỏ qua mà không báo lỗi.

Định tuyến theo ứng dụng

Quy tắc PROCESS-NAME cho phép chỉ đưa một chương trình qua proxy. Anh em có thể để công cụ thu thập đi qua IP dân cư, còn trình duyệt và ứng dụng nhắn tin vẫn dùng mạng thật.

Điểm mạnh nhất của Clash là sự chọn lọc. Proxy chỉ gánh phần lưu lượng cần nó, phần còn lại đi thẳng để nhanh và tiết kiệm băng thông.

Gợi ý cho người dùng tại Việt Nam

Thêm quy tắc đưa các đích trong nước đi thẳng giúp trang nội địa tải nhanh và không tốn băng thông proxy. Ngân hàng và ví điện tử cũng nên đi thẳng để tránh bị cảnh báo đăng nhập từ IP lạ.

Viết quy tắc cẩn thận một lần, anh em có một hệ thống định tuyến chạy ổn định lâu dài.

Chế độ System Proxy và TUN khi dùng proxy cho Clash

Có tệp cấu hình rồi, anh em còn phải chọn cách Clash bắt lưu lượng trên máy.

System Proxy

Chế độ này đặt proxy HTTP và SOCKS của hệ điều hành trỏ về cổng cục bộ của Clash. Cách làm đơn giản và dễ hoàn tác.

Hạn chế là những ứng dụng không tuân theo proxy hệ thống sẽ đi thẳng, bỏ qua Clash.

TUN

Chế độ TUN tạo một bộ điều hợp mạng ảo và bắt mọi thứ ở tầng mạng. Nó cần quyền quản trị nhưng bắt được cả lưu lượng của ứng dụng bỏ qua cài đặt proxy.

tun:
  enable: true
  stack: mixed
  auto-route: true
  auto-detect-interface: true
  dns-hijack:
    - any:53

Dòng dns-hijack chuyển các truy vấn tên miền vào Clash để xử lý. Điều này giúp giảm rò rỉ truy vấn ra ngoài tuyến proxy, vấn đề được giải thích thêm trong bài proxy tunnel là gì.

Nên dùng chế độ nào

Webshare khuyên dùng System Proxy cho việc duyệt web và chạy mã, chỉ bật TUN khi có ứng dụng không chịu đi theo proxy.

Chia sẻ cho thiết bị khác

Đặt allow-lan thành true cho phép thiết bị trong cùng mạng trỏ proxy về máy đang chạy Clash. Bản OpenClash trên router áp dụng cho cả mạng nhà mà không cần cài gì trên từng thiết bị.

Khi mở cho mạng nội bộ, anh em nên đặt thêm xác thực để người lạ trong mạng không dùng nhờ được.

Chọn đúng chế độ bắt lưu lượng bảo đảm quy tắc đã viết thật sự được áp dụng.

Kiểm tra và xử lý lỗi với proxy cho Shadowrocket và Clash

Giao diện báo đã kết nối chưa có nghĩa lưu lượng đi đúng tuyến. Anh em cần kiểm tra IP đầu ra thực tế.

Kiểm tra IP đầu ra

Kiểm tra IP đầu ra

Kiểm tra trên Clash

Webshare nhấn mạnh không nên tin vào giao diện mà phải kiểm tra điểm ra thật:

# Through Clash local port
curl -x http://127.0.0.1:7890 https://ipv4.webshare.io/
 
# With system proxy or TUN enabled
curl https://ipv4.webshare.io/

Kết quả phải là IP của proxy. Với nút xoay, chạy vòng lặp sau để xem IP có đổi sau mỗi lần gọi không:

for i in {1..5}; do curl -s -x http://127.0.0.1:7890 https://ipv4.webshare.io/; echo; done

Anh em có thể thay địa chỉ kiểm tra bằng bất kỳ dịch vụ trả về IP nào.

Kiểm tra trên Shadowrocket

Chạy Connectivity Test trong ứng dụng, sau đó mở trình duyệt vào trang kiểm tra IP. Decodo lưu ý nên ưu tiên xác minh bằng trình duyệt hơn là phép thử ping.

Bảng xử lý lỗi

Bảng xử lý lỗi
Hiện tượng	Nguyên nhân thường gặp	Cách xử lý
Không kết nối được	Sai địa chỉ, cổng hoặc mật khẩu	Nhập lại, thử proxy khác
Báo hết thời gian khi ping	Phép thử không phản ánh đúng, hoặc chọn sai giao thức	Kiểm tra bằng trình duyệt, đổi giữa HTTP và SOCKS5
Ứng dụng vẫn đi thẳng	Chế độ định tuyến chưa đúng	Chuyển Global Routing sang Proxy, hoặc bật TUN trên Clash
Lỗi xác thực	Thừa khoảng trắng trong tên đăng nhập, mật khẩu	Nhập lại cẩn thận
Tốc độ chậm	Proxy ở xa hoặc quá tải	Đổi nút, dùng nhóm url-test
Quy tắc không có tác dụng	Đặt sau MATCH hoặc sai thứ tự	Đưa quy tắc lên trên dòng MATCH

Lỗi do tệp YAML

YAML phân biệt thụt lề bằng dấu cách. Một dấu cách sai vị trí khiến cả tệp không nạp được, nên anh em dùng trình soạn thảo có hỗ trợ kiểm tra cú pháp.

Bảo mật tệp cấu hình

Tệp cấu hình chứa tên đăng nhập và mật khẩu proxy ở dạng văn bản. Anh em không chia sẻ tệp công khai, và cẩn trọng với tệp cấu hình tải từ nguồn lạ vì có thể chứa máy chủ theo dõi lưu lượng.

Bài free proxy có an toàn không phân tích rủi ro của máy chủ không rõ nguồn gốc.

Kiểm tra điểm ra thật sau mỗi thay đổi là cách duy nhất để chắc lưu lượng đi đúng nơi mong muốn.

Muốn có máy chủ để nhập vào Shadowrocket hoặc Clash, anh em có thể mua proxy giá rẻ tại ProxyVN, proxy được cấp kèm user và password.

Tiêu chí chọn nhà cung cấp proxy cho Shadowrocket và Clash

Ứng dụng tốt cần máy chủ tốt. Anh em đánh giá nhà cung cấp theo các điểm sau.

Hỗ trợ HTTP và SOCKS5 có xác thực bằng tài khoản: hai ứng dụng đều dùng cách này.
Có IP tĩnh và cổng xoay: tĩnh cho duyệt hằng ngày, xoay cho thu thập dữ liệu.
Chọn được quốc gia và kiểu phiên: tốt nhất là qua tham số để khai báo thành nhiều nút.
Đường truyền ổn định, độ trễ thấp: nhất là khi dùng trên mạng di động.
Hỗ trợ UDP với SOCKS5: cần cho một số ứng dụng thời gian thực.
Hỗ trợ kỹ thuật liên tục.

ProxyVN cung cấp proxy với kết nối ổn định, hạn chế mất kết nối giữa phiên. Đội kỹ thuật hỗ trợ 24/24 khi anh em cần kiểm tra thông tin máy chủ hoặc cấu hình.

Tóm lại, anh em nhập đúng máy chủ, cổng và tài khoản, chọn chế độ định tuyến theo quy tắc để chỉ lưu lượng cần thiết đi qua proxy, rồi kiểm tra IP đầu ra thật. Cần tư vấn, liên hệ Proxy.vn - Nhà cung cấp dịch vụ proxy chất lượng hàng đầu Việt Nam để chọn proxy cho Shadowrocket và Clash.