V2Ray 全平台安装配置

通用准备：客户端、内核与订阅

先分清三个对象。客户端负责展示窗口、保存订阅、选择节点和管理代理；内核负责解析连接参数、建立传输与执行路由；订阅则是配置入口，不是客户端本身。安装完成只说明程序已经就绪，还需要有效的节点配置才能建立连接。本站提供客户端选择与操作说明，不提供订阅服务，也无法替服务提供方修改账号状态、流量额度或服务器参数。

客户端与内核怎么对应

桌面平台优先选 v2rayN，覆盖 Windows、macOS 与 Linux；Android 优先选使用 Xray 内核的 v2rayNG，已有 V2Fly 配置需求时可考虑 v2flyNG。Project V 是相关技术生态的起点，V2Fly 延续 V2Ray 的维护与发展，Xray 则是另一条持续演进的内核路线。客户端界面相似，不代表内核实现和支持参数完全相同。遇到协议不支持、传输类型不识别时，先核对配置要求，再考虑切换内核，不能仅凭名称判断兼容性。

下载前确认操作系统、处理器架构和安装格式。x64 面向常见的 Intel、AMD 桌面处理器；arm64 面向相应的 ARM 设备。两者不是文件大小不同的同一包。桌面安装包与 Android 安装包也不能互换。进入客户端下载页按平台选择，安装前保留现有客户端的数据备份，避免在排查过程中同时改变程序、内核和订阅三个变量。

订阅链接与配置资料

准备完整订阅地址，复制时避免把说明文字、换行或末尾标点带进去。订阅地址可能包含访问令牌，作用接近账户凭据，不要贴进公开聊天、截图或日志分享中。二维码同样可能承载完整节点参数。需要求助时，保留错误类型和协议名称即可，把订阅地址、用户标识、密码及服务器信息做遮盖。订阅导入成功也不等于配置仍然有效，还要确认服务期限、额度和节点状态。

首次配置建议先关闭其他代理或 VPN，校准系统时间，确认普通网络本身可用。企业网络、校园认证页和酒店登录页需要先完成认证；代理程序无法替代这些步骤。记下当前的系统代理与 DNS 设置，后面每次只改一个项目。若设备由单位管理，证书、虚拟网卡和网络权限可能受策略控制，应先确认允许范围，而不是反复提升权限尝试绕过限制。

VMess、VLESS 与 REALITY 的边界

VMess、VLESS 是连接协议；TLS 和 REALITY 属于相关安全握手配置；TCP、WebSocket 等描述传输方式。这些字段需要组合匹配，不能把一个协议名当成完整连接方案。VMess 对设备时间较敏感；VLESS 本身不提供加密，需要结合配置要求使用相应安全机制。REALITY 不是可以随意套在所有节点上的加速开关，客户端仍需具备对应支持，并正确填写服务端提供的公钥、服务器名称等参数。

Windows：v2rayN 安装与系统代理

从Windows 下载入口选择 v2rayN。桌面版采用跨平台界面，经典 WPF 版延续熟悉的 Windows 操作方式；二者是界面与实现路线的区别，不是节点质量的区别。第一次使用可先选桌面版，已有稳定工作流则不必为了排查连接问题立刻更换界面。根据安装包提示完成安装，程序要求的运行环境以实际提示为准，不要凭旧教程预装一串无关组件。

安装、启动与数据位置

启动后先确认主窗口能正常打开，再看日志中是否有内核启动失败。若下载的是压缩分发形式，应完整解压到可写目录，不要直接在压缩包预览窗口运行。安装目录、用户数据目录和临时目录可能不同，备份应通过客户端提供的导出或备份功能进行，不能只复制桌面快捷方式。出现安全提示时，核对下载来源和系统说明，不建议通过永久关闭系统防护来解决启动问题。

普通系统代理通常不需要以管理员身份运行；TUN 创建虚拟网络接口时可能需要额外权限。先用普通权限完成订阅和节点连接，确认基础链路可用，再单独处理 TUN。若每次启动都报权限错误，查看具体失败对象：目录写入、端口绑定和虚拟网卡创建是不同问题，给整个程序提升权限并不总是正确修复。

添加订阅并选定活动配置

打开「订阅分组」管理，新增分组并填入订阅地址，给分组起一个容易辨认的名称。保存后执行「更新订阅（不通过代理）」。首次尚未建立代理时，这条路径通常更容易判断结果；若订阅来源确实要求经代理访问，则需要先有可用节点，再选择「更新订阅（通过代理）」。更新日志应能说明是否获取到内容，主列表应出现节点。只保存地址、未执行更新，是常见的空列表原因。

选中需要使用的节点并设为活动配置，再查看内核是否正常运行。不要同时启动桌面版与 WPF 版测试同一个本地监听端口；后启动的进程可能因为地址占用而失败。订阅分组之间出现同名节点也很常见，确认当前选中的是哪个分组，避免更新了新订阅，却继续使用旧分组中的失效配置。

系统代理、TUN 与退出恢复

在托盘菜单的「系统代理」中选择「自动配置系统代理」，让读取 Windows 系统代理的应用连接本地入口。「清除系统代理」用于移除系统代理设置；「不改变系统代理」只是不主动修改现状，不等同于清除。浏览器可能还受扩展、企业策略或自身网络设置影响，某些命令行程序则根本不读取系统代理。因此，托盘状态正确只是接管条件之一，仍需要按应用验证。

需要接管不读取系统代理的程序时，再评估「启用 Tun」。启用前关闭其他 VPN，并确认规则不会把本地网关、局域网服务或客户端自身连接错误送入隧道。退出时先关闭 TUN、清除系统代理，再正常退出客户端。若程序异常关闭后浏览器无法联网，先检查 Windows「设置 → 网络和 Internet → 代理」中的手动代理是否仍指向已经停止的本地端口。

macOS：芯片选择、网络权限与代理恢复

进入macOS 下载入口前，先打开「苹果菜单 → 关于本机」。显示 Apple 芯片时选择 arm64，显示 Intel 处理器时选择 x64。架构选择影响程序能否原生运行，不会改变订阅内容。不要仅凭设备购买年份猜测芯片。下载 v2rayN 的对应磁盘映像，打开后按分发包说明将应用放到「应用程序」，避免长期从挂载映像或下载目录临时运行。

首次打开与系统授权

首次启动可能触发系统安全确认。先核对应用来源，再按 macOS 提供的界面完成确认；可在「系统设置 → 隐私与安全性」查看与该次打开相关的提示。具体提示受系统版本、签名状态及管理策略影响，不应预期每台设备都出现同样按钮。若系统说明应用损坏、架构不符或受到组织策略限制，应先读取错误原因，不要直接执行来源不明的终端命令修改整机安全设置。

主窗口能打开后，先确认客户端可以保存设置、启动内核，再处理网络接管权限。系统代理修改和虚拟接口创建是不同操作，授权其中一项并不代表另一项已经就绪。需要额外组件或管理员确认时，只按当前客户端明确提供的流程操作。公司管理设备可能禁止创建隧道接口，这种限制无法通过反复重装普通应用解决。

导入订阅与检查活动节点

在「订阅分组」中添加地址并保存，再执行对应的更新操作。首次可先使用「更新订阅（不通过代理）」确认普通网络能否访问订阅来源。若页面返回账户登录页、验证页面或错误说明，客户端即使收到了响应，也可能无法解析出节点。此时应在服务提供方的账户页面检查订阅状态，而不是把返回的网页文本复制为节点配置。

更新完成后选择一个节点作为活动配置，查看日志确认内核没有报参数错误。首次测试不要同时更换传输方式、指纹和安全参数；订阅通常已经携带服务端需要的组合。系统时间不正确可能导致证书有效期或协议认证判断异常，自动设置日期与时间是比关闭验证更合理的检查方向。需要手动修改时，先复制配置作为备份，避免下次订阅更新覆盖排查记录。

系统代理与 TUN 的选择

选择「自动配置系统代理」后，读取系统网络代理的应用通常会使用客户端。可在「系统设置 → 网络」中选中当前网络服务，进入详情查看代理；不同系统界面可能将选项放在「详细信息」或「高级」里。Wi-Fi 与有线网络属于不同网络服务，切换连接方式后需要重新确认。浏览器可访问而终端不通，并不自动说明节点坏了，终端程序可能需要独立配置代理。

TUN 面向需要更广接管范围的场景，但它也会影响 DNS、路由以及局域网访问。先用系统代理验证一个明确请求，再启用 TUN，才能知道故障发生在哪个阶段。运行其他 VPN、远程办公软件或网络过滤工具时，可能存在路由竞争。暂时只保留一个接管入口，确认网络可用后再逐项恢复，不要让多个工具同时写默认路由。

切换网络、从睡眠恢复或更换扩展坞后，如果访问异常，先看活动网络服务是否改变，再检查客户端内核是否仍运行。正常退出前清除系统代理并关闭 TUN。若客户端已经停止而网络仍指向本机代理，进入当前网络服务的代理设置恢复；不要在未记录原值的情况下批量清空单位要求的 DNS 或自动代理地址。

Linux：安装格式、桌面代理与 TUN 权限

Linux 先确认发行版的软件包体系，再确认处理器架构。Debian、Ubuntu 系通常选择 deb；Fedora 等 RPM 系发行版选择 rpm。x64 与 arm64 需要和设备对应，包格式相同并不代表架构相同。进入Linux 下载入口选择 v2rayN，优先用系统的软件安装器打开文件，让包管理器处理依赖与安装登记，而不是手动复制应用内部文件。

安装后先检查运行环境

图形安装器提示依赖不足时，先刷新系统软件源并查看具体缺少的组件。不同发行版的库名称、桌面环境和显示服务存在差异，不适合照抄其他系统的依赖清单。若应用没有出现在菜单中，可先重新登录桌面会话再确认。程序启动失败时，从桌面启动器或系统日志中读取错误；找不到窗口、内核未启动和托盘不可见是三个不同现象。

GNOME 等桌面环境的托盘显示依赖桌面本身的支持。托盘图标缺失不一定表示进程已退出，先查看主窗口与进程状态，避免连续启动多个实例。也不建议为了显示托盘而随意安装来路不明的桌面扩展。数据备份应包括客户端设置与自行维护的规则；迁移到另一台机器时，重新确认本地路径、端口和权限，不能默认旧系统的环境完全相同。

订阅导入与桌面系统代理

在「订阅分组」中新增地址、保存并执行更新，节点出现后选定活动配置。首先使用普通用户启动客户端，确认内核能够监听本地端口。若日志提示地址被占用，检查是否残留旧进程或运行了其他代理程序；修改端口后，所有显式引用旧端口的应用也要同步更新。只改客户端端口而不改浏览器或终端设置，会形成看似随机的连接失败。

「自动配置系统代理」能否影响应用，取决于桌面环境及应用的代理读取方式。GNOME、KDE 与独立窗口管理器不一定共享同一套代理设置，沙盒应用还可能有自己的限制。先在桌面网络设置中核对实际代理地址，再用浏览器测试。图形程序正常、包管理器不通时，优先检查包管理器的代理配置，而不是直接切换节点。

# 查看当前终端会话中已有的代理环境变量
printenv | grep -iE '^(http|https|all|no)_proxy='

# 只清除当前终端会话中的常见代理变量
unset http_proxy https_proxy all_proxy no_proxy
unset HTTP_PROXY HTTPS_PROXY ALL_PROXY NO_PROXY

上面的检查与清理只作用于当前 shell，不会替你修改桌面代理、系统服务或其他已启动程序。若变量来自 shell 启动文件，新开终端后还会重新出现，应找到原配置来源。环境变量大小写的支持随应用而异，不能以一条变量存在就推断所有程序已经接管。使用提权运行的程序也未必继承普通用户环境。

TUN、路由与局域网边界

TUN 需要系统支持虚拟网络接口，并允许客户端按其设计创建接口和配置路由。具体授权方式以当前客户端提示为准，不要长期用 root 身份运行整个桌面会话，也不要照抄未经核实的权限授予命令。首次启用前关闭其他 VPN，记录原默认路由和 DNS 状态；若只有启用 TUN 后才断网，重点检查接口创建、权限、路由和 DNS 接管日志。

容器网络、虚拟机桥接和公司 VPN 可能与 TUN 的路由范围重叠。局域网地址应保留合理的直连路径，本地监听默认限定在回环地址；只有明确需要共享时才开放到其他接口，并配置防火墙和认证。退出后若系统解析仍异常，先检查桌面网络服务和实际 DNS 管理组件，不要同时修改多个解析配置文件，否则下一次联网可能又被自动覆盖。

Android：客户端选择、订阅与 VPN 接管

Android 优先选择 v2rayNG，使用 Xray 内核；需要 V2Fly 内核配置时，v2flyNG 是备选。两款应用的数据、权限和运行状态分别管理，不要以为安装了备选客户端就会自动继承原有订阅。前往Android 下载入口，主流 arm64 设备优先选对应安装包；无法确认处理器兼容性时再考虑通用包，后者体积通常更大，不代表连接性能更好。

安装来源授权与升级保留

系统可能要求给浏览器或文件管理器授予安装应用的权限。只给实际用于安装的应用临时授权，安装结束后可按需要关闭。提示无法安装时，先区分架构不符、系统要求不满足、空间不足和签名冲突。覆盖安装失败不应立即卸载，因为卸载可能同时删除本地配置；先通过客户端支持的导出方式备份，且把备份文件当作敏感资料保管。

同一款应用从不同分发来源安装时，签名兼容情况可能不同。系统报冲突并不等于订阅有问题，重新更新订阅也不会修复安装层错误。已有客户端能正常使用时，先保留现状，读清安装提示再决定迁移。更新应用后第一次打开，应确认原分组、活动配置和路由选项仍符合预期，不要只看图标是否还在桌面。

订阅分组、剪贴板与二维码

打开订阅设置或分组管理，添加名称与完整地址，保存后从菜单执行更新订阅。客户端界面可能把订阅管理和服务器列表分开，新增分组后需要返回列表并切到对应分组。剪贴板导入适合完整节点链接；二维码扫描适合单个配置，但二维码也可能指向订阅地址。导入后检查协议和名称是否合理，列表为空时先看更新结果，不要反复扫描同一个码。

选中节点后启动连接，首次会出现 Android 的 VPN 连接确认。该授权允许客户端建立本地虚拟网络接口来接管流量，不表示远端节点已经连接成功。状态栏出现钥匙或 VPN 标记，只能证明系统层的接口已建立；还要通过真实网页请求和客户端日志确认传输是否正常。参数解析失败或服务端拒绝连接时，系统标记仍可能保持显示。

按应用代理与后台运行

Android 客户端常通过系统 VPN 接口接管应用流量，与桌面端修改系统代理不是同一种方式。若启用分应用规则，先弄清列表表示「仅代理所选应用」还是「绕过所选应用」；方向选反会让浏览器测试结果完全相反。首次验证建议使用范围明确的默认设置，连接稳定后再按需缩小接管范围，每次调整后重新测试相同应用。

Android 通常只允许一个普通 VPN 服务处于活动状态。其他 VPN、部分防火墙或基于本地 VPN 的过滤工具可能抢占同一入口。始终开启的 VPN 与阻止非 VPN 连接选项还会影响断开后的网络表现，停止客户端前先确认这些系统设置。不要把全部应用失去网络简单归为节点故障，系统可能正按你的阻断策略工作。

锁屏后断连而前台正常，重点查看电池优化、后台活动和厂商的自启动限制。可对实际使用的客户端设置适当后台权限，但不需要批量关闭整机省电策略。Wi-Fi 与移动网络切换后，也应观察连接能否恢复；若只在一个网络失败，比较该网络的 DNS、认证和可达性。测试时固定节点、应用和访问目标，避免把网络切换与订阅更新混在一起。

路由与 DNS：按规则决定流量出口

系统代理和 TUN 决定流量怎样进入客户端，路由规则决定进入后走哪里。两层不能互相替代：应用没有进入客户端，切换「全局」也不会自动接管它；应用已经进入客户端，也可能被规则判定为直连。先确认入口，再检查出口，能少走很多弯路。桌面菜单里的「绕过大陆」「黑名单」「全局」对应预设策略，实际规则内容应以客户端当前配置为准。

匹配顺序与直连例外

内核路由通常按规则顺序匹配，先命中的规则决定处理方式。用于保留局域网访问的规则应与业务规则协调安排；过宽的直连规则放在前面，可能让后面的代理规则永远没有机会命中。域名规则只能在内核掌握域名时发挥作用，直接访问 IP、应用预先解析或连接复用都会影响观察结果。切换规则后最好用新建连接验证，旧连接可能继续沿用原路径。

下面是 Xray 风格的路由片段，仅演示私有地址直连；它不是能独立运行的完整配置。合并前必须确认实际配置存在名为 direct 的直连出站，并按现有规则顺序放置。图形客户端可能在启动时生成配置，直接编辑生成文件可能被下一次启动覆盖，长期规则应通过客户端支持的规则管理入口维护。

{
  "routing": {
    "rules": [
      {
        "type": "field",
        "ip": [
          "geoip:private"
        ],
        "outboundTag": "direct"
      }
    ]
  }
}

域名解析与规则数据库

GeoIP 数据主要用于 IP 分类，GeoSite 数据主要用于域名集合匹配，二者不是同一份名单。geoip:private 面向私有地址分类，geosite:cn 则引用相应域名集合。数据库缺失、规则引用名称不受支持或格式与内核不兼容，都可能让规则加载失败。更新后先查看日志确认加载成功，再测试具体请求，不能只凭下载进度完成就判断规则已经生效。

DNS 决定域名解析过程，路由决定连接出口，但二者会互相影响。选择错误的解析路径，可能得到不可达地址，或者让需要按域名判断的连接只剩 IP。先明确由应用、系统还是内核负责解析，再确认 DNS 请求本身走直连还是代理。系统浏览器启用独立的安全 DNS 时，也可能不按客户端预想的方式查询；排查期间固定一种解析路径，避免多处同时改动。

FakeDNS 与 TUN 的使用边界

FakeDNS 通过虚拟 IP 与域名之间的映射，帮助内核在后续连接中恢复域名信息。它并不意味着真实服务器变成了这个虚拟地址，也不保证所有应用都兼容。应用缓存、分流排除和未经过同一映射流程的 DNS 请求，可能导致虚拟地址被错误使用。只有确认客户端、内核和接管路径配套时再启用，不能把它当作所有解析故障的通用修复选项。

局域网打印机、内部域名和公司网络尤其需要保留正确解析路径。发现启用新 DNS 设置后只有内部服务失效，应先恢复原设置，再补充明确的直连与解析例外。更多字段关系可查阅config.json 结构解析；规则资料更新见GeoIP 与 GeoSite 数据库说明；虚拟地址机制见FakeDNS 工作原理。

连接验证：从本地入口到实际请求

验证连接不要只看一个「已启动」状态。完整路径包含客户端进程、内核监听、应用接管、路由匹配、远端握手和目标服务响应。前一层正常，不能推导后一层一定正常。建议先用系统代理完成一条浏览器请求，再测不读取系统代理的应用，最后评估 TUN；这样每一步都有清晰边界。Android 则先确认 VPN 接口建立，再核对活动节点与应用范围。

建立一次可复现的测试

记录当前网络、活动节点、代理模式、路由模式和测试目标，随后只改变一个项目。先打开一个明确可达的普通页面确认基础网络，再在启用代理后访问需要验证的目标。测试页面应使用新连接，必要时关闭旧标签页或重新启动测试应用，避免缓存让结果看起来一直成功。客户端显示测试成功，只能说明相应测试项目通过，不等于所有业务请求都能访问。

浏览器正常但某个程序失败时，查看该程序是否读取系统代理，是否设置了独立代理，以及是否使用不同协议。HTTP 代理能处理常见网页请求，不代表任意 UDP 业务都能沿同一路径运行。TUN 也只是提供接管方式，远端节点和内核仍需支持实际业务。应用提示网络错误时，先分清连接超时、证书错误、解析失败和服务端拒绝，不要把它们统称为速度慢。

按层读取日志与检查结果

日志中的认证失败通常需要核对节点参数与服务状态；连接被拒绝可能是目标端口未开放或服务未运行；超时则只能说明在期限内没有完成预期步骤，原因仍可能在本地网络、线路或服务器。错误文字应结合发生阶段阅读。若日志完全没有对应请求，先查应用入口，不要急着改远端参数。需要更详细日志时临时提高级别，问题定位后恢复常用级别，避免长期记录过多访问信息。

延迟、下载速度与稳定性分开看

连通性测试、握手耗时和大文件吞吐衡量的是不同东西。较低的探测延迟不保证持续下载更快，单次速度高也不证明长连接稳定。测试应固定同一目标、相近时段和相同网络，并留意本地 Wi-Fi 信号、带宽占用与服务端负载。不要一次并发测试全部节点后，拿某个瞬时结果作为唯一选择依据；并发本身可能占满线路，影响测量。

只有某个节点持续失败，可换另一条配置进行对照；全部节点在某个网络失败，而换网络正常，优先检查本地网络路径；只有 TUN 失败而系统代理正常，优先检查权限、路由和 DNS 接管。把这些结果写下来，比反复重装更有效。进一步的分层方法见V2Ray 速度慢排查，其中的比较思路也适用于间歇断连。

配置常见问题：更新、迁移与故障恢复

这一章处理跨平台都会遇到的收尾问题。先确定故障是否出现在更新、切网、休眠、修改规则或退出程序之后，再决定恢复哪一层。配置越复杂，越要保留一个能工作的基线：一个已知可用的节点、一组明确的代理设置、一份可恢复的规则备份。每次只恢复一个变化，才能判断真正的原因。新手常见菜单疑问也可对照v2rayN 新手十问。

订阅更新成功，为什么还是不能连接

更新成功表示客户端完成了某种获取或解析过程，不表示每个节点都在线。检查主列表是否真的出现配置、当前活动节点是否属于刚更新的分组，以及账户服务是否仍有效。如果订阅提供方重置了地址，旧链接可能继续返回错误内容；应从账户页面重新获取完整地址。若更新后部分字段不被识别，核对客户端与内核对协议的支持，不要随意删除安全参数来强行保存。

手动改过的订阅节点可能在下一次更新时被覆盖。需要长期保留的自定义配置，应按客户端支持的方式复制到独立分组，并记录修改目的。不要把复制后的节点误认为仍会自动获得原订阅的全部更新；两者之间可能已没有同步关系。迁移设备时同样需要确认导入的是订阅地址、节点快照还是完整客户端备份，这三类资料的更新行为不同。

更新客户端与切换内核的顺序

更新前导出必要资料，停止正在进行的传输，再正常退出旧程序。更新后先使用原节点和原模式完成验证，确认基础功能正常，再考虑切换内核或调整规则。客户端与内核不是始终同步变化，图形界面能够识别某字段，也不代表当前运行的内核支持该组合。排查时记录实际使用的内核名称与错误类型，比只说「已经更新」更有帮助。

桌面端切换内核时，重点核对协议、安全机制、传输类型与规则格式。相同配置在两个内核中的支持范围可能不同；不能把一个内核的自定义字段原样套用到另一个内核。Android 的 v2rayNG 与 v2flyNG 则是两款应用，切换应用还涉及独立的订阅导入、VPN 授权和后台权限。若只有切换后失败，先回到已知可用组合，保留对照结果再查兼容性。

退出后断网，怎样按顺序恢复

桌面端先看系统代理是否仍指向本机已停止的端口，再看 TUN 是否已经关闭，最后检查 DNS 和其他 VPN 状态。浏览器有独立代理扩展时，还要单独检查扩展。Android 则核对始终开启的 VPN 和阻止非 VPN 连接选项，确认系统没有按既定策略阻止流量。重启可以清理部分临时状态，但若错误设置持久保存，重启后仍会重现。

恢复时保留单位或家庭网络原本要求的代理与 DNS，不要直接把所有设置归零。电脑需要访问局域网服务时，先关闭新增接管功能验证原网络，再逐条恢复例外规则。如果问题只影响一台设备，先查该设备；同一网络所有设备同时异常，则先确认路由器、上游连接或认证状态。客户端只能处理进入它的连接，无法修复整个网络的基础故障。

提交排查信息时保留哪些内容

描述操作系统、客户端名称、内核类型、接管方式、故障发生步骤和已经做过的对照测试。日志只截取对应时间附近的错误，遮盖订阅、用户标识、密码和可识别的服务器资料；不必发送整份配置。能复现的问题写成「切到某模式后，某应用出现某错误」，比「一直连不上」更容易定位。若只需重新走一次安装与连接顺序，返回使用指南；需要换安装格式或架构，再去下载页核对。