协议与加密
连接格式与安全层
协议决定身份信息与数据如何组织，TLS、REALITY 等安全层负责不同阶段的连接保护。导入节点时，协议名称只是起点，传输方式和安全参数也必须相互匹配。
- VMess 协议
- VMess 是 Project V 生态中的应用层协议，包含身份验证、时间校验与数据传输机制。客户端通常需要填写用户标识、服务器地址、端口和额外标识等信息。服务端时间与本地系统时间偏差过大时，认证过程可能失败，因此排查连接问题时也要检查系统时钟。
- VLESS 协议
- VLESS 是结构较精简的代理协议，它把加密与传输安全交给 TLS、REALITY 等外层机制处理。节点能否连接，不只取决于 VLESS 名称，还取决于传输层、安全层和服务端配置是否一致。常见关键字段包括用户标识、流控方式、服务器名称和公钥信息。
- Trojan 协议
- Trojan 以密码作为认证信息，通常结合 TLS 建立连接。客户端配置需要与服务端的地址、端口、密码、服务器名称和传输方式保持一致。遇到证书名称不匹配或握手失败时，应先核对服务器名称字段，而不是只反复切换节点。
- REALITY 安全层
- REALITY 是 Xray 生态中的传输安全方案，常与 VLESS 搭配使用。客户端配置通常包含服务器名称、公钥、短标识和浏览器指纹等字段。任一关键字段缺失或复制不完整，都可能让连接停在握手阶段，此时应结合内核日志定位具体参数。
- TLS 传输安全
- TLS 是用于建立加密连接和验证通信端身份的通用安全协议。在客户端配置中，它常涉及服务器名称、证书验证、应用层协议协商和传输端口。出现证书错误时，需要区分系统时间异常、服务器名称不符和证书链问题，三者的处理方向并不相同。
内核与生态
客户端、内核与项目关系
图形客户端负责管理界面、订阅和设置，内核负责协议处理、DNS、路由和实际连接。把两者分开理解，有助于判断问题发生在界面配置、内核启动还是远端连接阶段。
- Project V 技术生态
- Project V 是围绕网络代理协议、路由能力和相关工具形成的开源技术生态。V2Ray 的配置思想、入站与出站模型，以及多种客户端工具都与这一体系有关。它不是某一个图形界面的名称，阅读文档时应注意区分项目概念、内核名称和客户端名称。
- V2Fly 内核分支
- V2Fly 是延续 V2Ray 技术体系的社区维护项目与内核分支。它提供协议处理、入站出站、DNS 和路由等基础能力，可由图形客户端生成配置并负责启动。使用 v2flyNG 时，界面中的设置最终会转换为内核可读取的配置。
- Xray 代理内核
- Xray 是与 V2Ray 配置理念相近的代理内核，支持 VLESS、REALITY 等能力。v2rayN 和 v2rayNG 可在相应配置下调用它处理实际连接。若界面显示节点存在但连接失败，应继续查看内核是否正常启动，以及日志中是否出现配置解析或握手错误。
- v2rayN 桌面客户端
- v2rayN 是面向 Windows、macOS 与 Linux 的桌面图形客户端。它用于管理订阅、节点、系统代理、TUN 模式、路由规则和内核进程。桌面版与 Windows 经典 WPF 版的界面实现不同，但核心工作流程都是导入配置、选择节点、启动内核并设置流量接管方式。
- v2rayNG Android 客户端
- v2rayNG 是面向 Android 的图形客户端，通常使用 Xray 内核处理连接。它通过系统提供的 VPN 服务接管应用流量，同时提供订阅管理、节点切换和路由设置。首次启动连接时，需要授予系统弹出的网络连接权限，否则界面操作不会形成有效的数据通道。
客户端功能
流量接管与连接测试
系统代理和 TUN 模式解决的是不同范围的流量接管问题，FakeDNS、局域网共享和延迟测试则服务于特定场景。功能开启得越多，越需要确认端口、权限和路由之间没有冲突。
- 系统代理 接管模式
- 系统代理是由客户端修改操作系统代理设置，使遵循系统设置的应用把流量发送到本地代理端口。浏览器通常会读取这项设置，但部分终端程序、独立网络工具或自行实现网络栈的应用不会自动跟随。遇到浏览器可用而终端不可用时，应分别检查系统代理和终端环境变量。
- TUN 模式 虚拟网络接口
- TUN 模式通过虚拟网络接口接管更多应用流量，覆盖范围通常比系统代理更广。它需要相应的网络权限，并会向系统路由表添加规则。若设备同时运行其他虚拟网络工具，可能出现路由争用、DNS 路径变化或连接反复切换，需要保留一个明确的流量接管入口。
- FakeDNS DNS 映射
- FakeDNS 会向应用返回映射地址，并在客户端内部保存该地址与原始域名的对应关系。它常用于 TUN 场景，让流量进入内核后仍能按域名规则匹配，而不是只剩下目标 IP。启用后应保证 FakeDNS 地址段与现有局域网网段不冲突，并让相关 DNS 请求经过预期的处理链。
- 真连接延迟 连接测试
- 真连接延迟通过实际建立协议连接来测量节点响应时间，比单纯测试服务器是否可达更接近客户端真实工作过程。它仍只是某一时刻、某一目标和某种探测方式下的结果。延迟较低不等于吞吐能力一定更高，选择节点时还应结合连续连接表现和实际使用场景。
订阅与节点
配置来源与节点管理
订阅是节点配置的来源，节点是客户端实际选择和连接的单条记录。更新、分组和延迟测试属于管理动作，不能替代对配置完整性与连接日志的检查。
- 订阅 配置集合
- 订阅是由服务端提供、包含一组节点配置的地址或数据集合。客户端保存订阅地址后，可以按需请求并解析其中的节点。订阅地址应完整复制，本地对订阅节点的部分修改可能在下一次更新时被覆盖，因此长期调整更适合放在客户端路由或分组设置中。
- 节点 连接配置
- 节点是客户端中一条可选择的服务器连接配置。它通常由地址、端口、协议、认证信息、传输层和安全层等字段共同组成。节点名称只是便于识别的标签，重命名通常不会改变连接参数，但遗漏用户标识、公钥或服务器名称等字段会直接影响连接。
- 延迟 响应时间
- 延迟是从客户端发起探测到收到响应所经历的时间，通常以毫秒表示。不同测试功能可能使用 TCP 建连、协议握手或访问指定目标等不同方法，因此结果不能直接横向混用。延迟只反映响应速度，不单独代表可用带宽、持续吞吐或长时间稳定性。
- 订阅分组 来源管理
- 订阅分组是客户端按订阅来源对节点进行归类的管理方式。它便于单独更新、筛选、启用或整理某一来源的节点，也能减少多个来源混在一起时的识别成本。删除分组前应确认操作范围，因为客户端可能同时移除该分组下已经导入的节点记录。
- 订阅更新 同步操作
- 订阅更新是客户端重新请求订阅地址并同步节点列表的过程。更新失败时，应依次检查订阅地址是否完整、当前网络能否访问该地址、系统时间是否准确，以及日志中的请求状态。更新成功但列表未变化，可能表示订阅内容本身没有改变，也可能是当前分组筛选隐藏了部分节点。
路由与分流
匹配条件与流量出口
路由模块读取域名、IP、端口或进程等信息，再按规则顺序选择出口。DNS 解析发生在哪一层，会直接影响域名规则和 IP 规则能否取得预期输入。
- 路由规则 匹配条件
- 路由规则根据域名、IP、端口、协议或进程等条件决定流量出口。规则通常按顺序匹配，命中后就不再继续判断后面的同类条件，因此具体规则与宽泛规则的位置需要合理安排。排查规则不生效时，应先确认客户端当前启用了哪套路由配置，再检查目标是否以预期的域名或 IP 形式进入内核。
- 分流 出口选择
- 分流是把不同目标或应用的流量分配到代理、直连或阻断等出口的过程。它不是单一开关，而是路由规则、DNS 解析、入站信息和默认出口共同作用的结果。修改分流规则后，已有长连接可能继续沿用旧路径，验证时可重新启动相关应用或客户端连接。
- GeoIP IP 规则集
- GeoIP 是按 IP 地址所属地区或类别进行匹配的数据集合。它只能在目标已经解析为 IP，或路由模块直接取得目标 IP 时参与判断。GeoIP 数据具有时效性，地址归属发生变化后，旧数据可能产生与预期不同的分类结果，因此客户端更新时也应关注规则数据版本。
- GeoSite 域名规则集
- GeoSite 是按域名类别整理的规则数据集合，可供路由模块匹配目标域名。它与 GeoIP 的判断对象不同，前者面向域名，后者面向 IP 地址。若请求进入内核时只保留了 IP，GeoSite 规则可能无法命中，此时需要检查 DNS 策略、嗅探设置和 TUN 流量处理方式。
- DNS 泄漏 解析路径偏离
- DNS 泄漏指应用的域名查询没有经过预期 DNS 路径，而是被系统或其他解析器直接处理。排查时要同时检查客户端 DNS、系统 DNS、浏览器安全 DNS、TUN 路由和应用自身的解析策略。仅修改一个 DNS 地址不一定能改变全部应用的查询路径，验证时应先明确由谁发起查询、由谁接管以及最终发往哪里。
- 直连 出站方式
- 直连表示流量不经过代理节点，而是使用当前网络连接直接访问目标。它通常由路由规则明确指定，也可能作为未匹配流量的默认出口。直连失败不一定与代理节点有关，应分别检查本地网络、DNS 解析、目标地址和防火墙设置。