V2Ray 全平台
安装配置手册

准备工作：确认配置与接入链路

区分客户端、内核与服务配置

先区分三个部分。图形客户端负责管理服务器、订阅、路由和系统接入；内核负责执行连接与转发；服务配置则提供远端地址、端口、协议及认证参数。安装客户端不等于已经获得可用连接，导入一份配置也不代表远端服务一定在线。排查时将这三个部分分开检查，能避免在地址错误时反复修改系统代理，也能避免把界面启动成功误认为内核已经正常工作。

桌面平台优先使用 v2rayN，安卓平台优先了解 v2rayNG，需要 V2Fly 内核配置时再考虑 v2flyNG。三款客户端的界面与配置能力不完全相同，同一个分享链接能被识别，只说明语法可以解析，不代表其中所有传输选项均受支持。确认服务提供的协议、传输方式及所需内核能力，再选择客户端；不要为了导入成功而随意删除不认识的字段。

辨认系统版本、处理器架构与安装包类型。系统设置通常能显示处理器和操作系统信息，架构要看设备实际运行环境，而不是只看品牌。桌面端的安装程序、磁盘映像和发行版软件包有不同安装路径；安卓的通用包与架构专用包也不能仅凭文件大小决定。进入客户端下载页按平台选择，先阅读卡片中的架构说明，再执行安装。

准备订阅，记录原有网络设置

取得仍有效的订阅地址或单条分享链接。订阅通常包含可更新的服务器列表，单条分享链接则描述一个连接配置，两者的导入入口可能不同。复制时检查是否混入空格、引号和换行，不要把网页标题一起复制进去。订阅地址可能含个人访问凭据，应当按密码管理；截图、日志和公开求助内容都不应包含完整地址，更不要把他人的配置作为测试材料。

记录已有代理、其他隧道工具和手动 DNS 设置，确保后续可以还原。首次配置只启用一种接入方式：先用系统代理验证浏览器，再按需要尝试 TUN。同步开启多个客户端容易造成监听端口冲突、系统代理被覆盖或路由循环。单位与学校管理的设备还可能限制网络扩展和管理员权限，遇到策略阻止时先确认授权范围，不要通过修改安全策略强行安装。

建立最小可工作的测试环境

开始测试前校准系统日期与时区。加密连接可能依赖证书有效期，系统时间偏差会表现为握手失败。再确认本地网络可以正常联网，浏览器没有启用单独的代理扩展。选择一个已知可访问的测试站点作为基线，保持测试条件不变。客户端中的连通性测试、浏览器请求和其他应用流量走的入口可能不同，因此不能用其中一项的结果替代全部验证。

检查本地监听地址与端口。个人设备通常只需要监听回环地址，允许局域网连接会扩大可访问范围，不是解决连接失败的通用开关。混合端口能够在同一入口接受客户端支持的代理请求，但具体功能仍以参数设置为准。本页出现的 10808 只是常见示例值，实际操作必须读取当前设置，不能照抄后假定端口已被成功监听。

把首次成功的配置作为基线保存下来，记录所用客户端、接入方式、路由预设和本地端口即可，不必记录敏感凭据。以后调整 DNS、内核或 TUN 时，每次只改变一项，并在相同网络中复测。这样发生问题时可以直接回退到上一步，而不是同时猜测多项设置。若只需要完成第一次连接，返回快速上手主线，按准备、导入、选择模式和验证的顺序操作。

Windows：安装与系统代理配置

选择桌面版或 WPF 版

打开Windows 下载入口，在 v2rayN 卡片中选择桌面版或经典 WPF 版。桌面版采用跨平台界面，WPF 版面向 Windows，两者的布局、设置入口和运行依赖可能不同。不要把某一版的截图坐标当作另一版的固定操作位置。选择前阅读安装包说明，确认系统与架构匹配；如需比较界面差异，可查看桌面版与 WPF 版的选择说明。

安装程序按向导完成安装；如果拿到的是压缩分发形式，先完整解压到有写入权限的独立目录，再启动程序。不要从压缩软件的预览窗口运行，也不要混合不同分发包中的程序和内核文件。目录中保留可写空间，避免把配置放在临时清理位置。首次启动若提示缺少运行依赖，按对应发行包说明补齐，不要从不明来源单独下载同名系统文件覆盖。

启动后先观察主界面日志，确认内核没有立即退出。窗口被关闭时，程序可能仍在托盘运行；再次打开前先检查托盘，避免启动第二个实例。安装路径包含个人文件时，升级前先导出配置并保留旧目录。不要在客户端仍运行时直接覆盖正在使用的文件，也不要只复制可执行文件而遗漏同一分发包内的资源。升级完成后还要重新验证监听端口和系统代理状态。

导入订阅并启用一种代理入口

从订阅分组设置中新建分组，填写便于辨认的名称与订阅地址，保存后执行该分组的更新。若拿到的是单条分享链接，使用从剪贴板导入的对应功能。更新后检查服务器列表是否出现预期条目，选中其中一个并设为活动服务器。导入只改变配置列表，不一定自动替换正在使用的服务器。具体界面区块可对照v2rayN 主窗口说明查找。

首次验证选择自动配置系统代理，并保持 TUN 关闭。系统代理把本机代理地址写入系统设置，但只影响遵循这些设置的应用。浏览器通常可以用于第一轮验证，游戏、更新程序和自带网络设置的软件则可能不跟随。若浏览器已有代理扩展，先停用扩展再测试。需要手动配置应用时，填写客户端实际监听的回环地址和端口，代理类型也要与该监听入口一致。

需要接管更多应用流量时，再尝试 TUN。它通过虚拟网络接口与路由接入流量，通常涉及管理员权限，具体取决于当前客户端与系统环境。先清除系统代理，再按界面提示启用 TUN，观察日志中是否出现权限、接口创建或路由错误。保持内核运行并确认活动服务器未变化。TUN 启用成功也不表示所有网络都适合这一方式，其他隧道、虚拟网卡和管理策略仍可能形成冲突。

处理端口占用与退出后的断网

遇到监听失败，先看错误行是否明确包含地址已被使用。以下命令只用于诊断本机端口，不会自动结束进程。示例检查 10808，请替换成当前参数设置中的值。输出最后一列为进程编号，可以在任务管理器中对应查找。确认它属于哪个程序后，再决定关闭重复实例或调整端口；不要仅凭端口号就结束系统进程。

netstat -ano | findstr :10808

修改端口后，同时更新手动设置过的应用。使用自动系统代理时，重新应用一次代理设置，确认系统没有继续指向旧端口。更完整的定位过程见本地端口占用排查。防火墙弹窗应按实际用途决定网络范围，个人设备仅供本机使用时，不必为了测试而开放局域网监听，也不应通过关闭整套防护来替代逐项定位。

退出客户端前先清除系统代理，关闭 TUN，再正常退出。若程序异常结束后浏览器断网，打开系统代理设置，检查是否残留回环代理地址；确认客户端已停用后清除残留，再测试直接联网。休眠唤醒或切换无线网络后发生异常，可以先重新连接当前服务器，再重新应用接入方式。不要反复重装来处理代理残留，因为重新安装未必会修复系统层面的旧设置。

macOS：芯片选择与网络权限

匹配芯片并完成首次启动

进入macOS 下载入口，按“关于本机”显示的芯片类型选择 v2rayN。Apple Silicon 对应 arm64，Intel 对应 x64。不要根据外观或购买年份猜测架构，也不要认为兼容层能够解决所有网络扩展问题。下载完成后打开磁盘映像，按分发包提供的方式将应用放入应用程序目录，再从目标目录启动，避免长期直接运行挂载映像里的副本。

首次打开时，系统可能要求确认来自网络下载的应用。核对文件来源和应用名称，按照系统设置中针对该应用的提示处理。不要为了打开一个程序而全局关闭安全检查，也不要直接执行来源不明的解除限制命令。如果提示架构不兼容或系统版本不满足要求，回到下载说明重新选择，而不是重复修改文件权限。应用尚未成功启动时，先不要进入订阅或 DNS 排查。

确认应用可以保存参数并在重新打开后保留设置，再继续导入。应用程序目录与用户配置目录承担不同作用，升级时应使用客户端的备份或导出功能，不要只保留应用图标便认为配置也已保存。系统备份能够提供额外恢复手段，但恢复客户端配置后仍需检查本机端口、权限和网络接口，因为这些项目可能与原设备不同，不能机械沿用。

导入配置并核对系统代理

在订阅分组中添加地址，保存并更新，选定活动服务器后观察运行日志。若导入的是单条分享链接，先确认内容完整，再使用剪贴板导入。来自桌面其他平台的链接通常可以作为输入，但不能直接复制整份程序生成配置替代本机设置。配置中如果包含仅在原机器存在的证书路径、脚本路径或接口名称，应回到界面逐项重设，不要让旧路径继续参与启动。

先使用系统代理完成浏览器验证。macOS 的代理设置与网络服务相关，当前使用无线网络还是有线网络，会影响应该检查的服务。自动设置后若浏览器没有变化，到系统网络设置中查看当前服务的代理项目，确认地址指向本机，端口与客户端一致。切换网络服务后重新检查，不要只看到某一个未使用服务中的代理已开启，就认为当前网络已经接入。

命令行工具和自带代理设置的应用不一定遵循系统代理。需要单独测试时，可以显式指定代理入口，把应用行为与系统设置分开。以下命令适用于当前混合入口接受 HTTP 代理请求的情况，仅验证一次请求能否通过本地入口，不修改系统代理。返回响应说明请求已完成，但是否使用了预期远端出口，还需要结合路由日志与出口测试结果判断。

curl -I --proxy http://127.0.0.1:10808 https://example.com

启用 TUN 并处理网络切换

需要 TUN 时，先记录可工作的系统代理状态，清除系统代理后再启用。按照客户端提示完成必要的权限授权，授权窗口的具体形式取决于系统和分发方式。若日志显示操作不允许、虚拟接口创建失败或路由添加失败，先检查授权是否完成，不要继续修改远端协议参数。TUN 解决的是流量如何进入客户端，无法修复服务器地址、认证信息或传输方式错误。

与其他隧道工具同时运行时，要特别注意默认路由和 DNS 的归属。测试阶段只保留一个接管网络的客户端，避免两个程序交替改写设置。连接公司网络、热点或公共无线网络后，可能需要先完成网络自身的登录流程，再重新连接代理。若直接联网都失败，应先处理基础网络；此时反复更换服务器通常不能解决网络认证页面打不开的问题。

休眠唤醒后如果只有部分网站失败，先重新建立连接，观察 DNS 错误和路由是否更新。不要立即清空所有系统网络配置。可以先退出客户端，确认系统代理已还原，再验证直接联网，随后重新开启一种接入方式。手动 DNS、浏览器安全 DNS 和客户端内核 DNS 是不同层次，保留多个自定义来源时更难判断实际请求走向，建议按本页路由章节逐层核对。

正常退出时先停止 TUN，再清除系统代理，最后退出应用。卸载前同样要完成这些步骤，删除应用不等于自动清除所有网络设置。如果退出后仍无法联网，检查当前网络服务中的代理项目是否指向已停止的本机端口。保留一份正常连接时的参数记录，特别是本地端口与接入方式，能让后续系统更新或换机后的恢复更直接，不必重新猜测每个选项。

Linux：软件包与桌面代理接入

选择包格式和处理器架构

打开Linux 下载入口，按发行版选择 v2rayN 的 deb 或 rpm 软件包，再核对 x64 或 arm64 架构。包格式不能仅凭桌面外观判断，使用同一种桌面的发行版也可能采用不同包管理系统。优先从系统关于页面确认发行版与架构；需要辅助检查时，可运行下面的只读命令。常见的 x86_64 对应 x64，aarch64 通常对应 arm64。

uname -m

使用发行版的图形软件安装器打开对应软件包，查看依赖信息后再安装。若软件安装器提示依赖无法满足，先确认系统发行版本和软件源状态，不要通过强制忽略依赖来完成表面安装。安装结束后从桌面应用菜单启动，观察窗口和日志。图形界面能显示但内核退出时，应继续检查内核日志，不要把界面渲染问题与网络协议错误混为一谈。

保留用户配置目录的正常所有权。不要为了使用普通代理功能长期以最高权限运行整个图形客户端，否则可能生成普通用户无法写入的配置文件。以后使用正常用户启动时，就会出现保存失败、订阅不更新或日志无法写入等症状。若曾经改变运行身份，应先定位受影响的目录，再按发行版文档恢复权限，不要对整个主目录递归放宽访问控制。

导入订阅，区分桌面设置与应用设置

订阅导入流程与其他桌面平台相同：新建分组、填写地址、保存、更新，再选择活动服务器。更新失败时先检查该请求是否需要通过已有代理，不要同时调整订阅地址和网络模式。若从其他设备迁移，优先使用客户端支持的分享链接或导出功能；涉及本地路径的配置需要重建。确认内核启动后再配置应用入口，避免应用不断连接一个尚未监听的端口。

Linux 桌面的系统代理支持取决于桌面环境与具体应用。某些应用读取桌面代理设置，某些读取环境变量，另一些只认自身设置。客户端显示系统代理已设置，并不能推导出每个程序都使用该入口。先用浏览器完成基础验证，再单独检查其他应用。遇到托盘图标不显示时，也不要立即判断程序未运行，可以查看应用窗口与进程状态，确认是否只是桌面托盘集成差异。

显式指定代理的单次请求有助于定位接入层问题。下面的命令要求本地端口接受 SOCKS 请求，socks5h 会把目标主机名交给代理入口处理，而不是由这次请求先在本地解析。它不代表所有后续 DNS 都必然通过远端服务器，最终行为仍由内核的路由与 DNS 配置决定。替换端口后执行，不需要把它写入全局环境配置。

curl -I --proxy socks5h://127.0.0.1:10808 https://example.com

不建议第一次测试就修改系统级环境文件。环境变量可能只影响新启动的进程，已经运行的浏览器不会自动继承新值，图形桌面启动的程序也未必读取终端配置。若确有命令行应用需要代理，先在单个应用范围验证，再决定是否持久化。不要同时配置桌面代理、应用代理和全局环境变量后，仅凭某一个程序可以联网就认定整套设置正确。

核对 TUN 权限与监听状态

TUN 需要虚拟接口与路由管理能力，启用方式受发行版、内核和客户端分发方式影响。按当前客户端提示完成授权，不要套用其他系统的权限操作。启用前停用其他接管路由的工具，启用后查看是否真的创建接口及应用规则。图形开关保持开启但日志显示权限不足，实际流量可能根本没有进入 TUN，继续更换服务器不能修复这一层的问题。

本地入口不通时，可使用 ss -lntp 查看监听中的 TCP 端口；进程信息的可见范围取决于当前权限。找不到目标端口时，先检查内核是否退出和配置是否加载。若端口已被另一进程使用，确认进程用途后关闭重复实例或更换监听值。远端连接失败则继续看 DNS、认证和传输日志，不要通过把监听地址改成所有接口来处理远端错误。

切换网络、休眠或退出客户端后，检查桌面代理是否残留。卸载软件包不会保证每一个手动设置过代理的应用都自动恢复，终端环境变量也需要单独撤销。建议把修改范围控制在能够明确还原的位置，记录改动后再操作。完成测试后分别验证浏览器、所需应用与直接联网回退，确认三者行为符合预期，才算完成桌面环境的安装配置。

Android：安装、授权与后台运行

选择客户端并安装对应架构

进入Android 下载入口，优先查看使用 Xray 内核的 v2rayNG；需要 V2Fly 内核配置时，再使用 v2flyNG 作为备选。主流较新的设备通常使用 arm64，但最终应以设备支持的应用架构为准。无法确认时可考虑通用包，而不是连续安装多个架构包碰运气。安装失败可能来自系统版本、架构或已有应用签名冲突，错误原因需要分别处理。

通过浏览器或文件管理器打开安装包时，系统可能要求允许该来源安装应用。授权对象通常是当前用于打开文件的应用，完成安装后可以按需要收回该授权。若系统提示与已安装应用冲突，先确认现有应用来源并导出配置，不要直接卸载后才考虑数据恢复。不同客户端的应用数据独立，安装另一个客户端不会自动继承原来的订阅、服务器和路由设置。

首次打开后，先检查通知与网络相关提示，再进入订阅管理。安卓客户端使用系统的 VPN 服务接口建立流量入口，这里的系统授权不等同于已经连接到远端服务器。授权只允许应用创建网络通道，之后仍需要有效配置和正常内核。设备若受工作资料或管理策略控制，系统可能限制可用的 VPN 服务，应先确认管理要求，而不是重复安装同一软件包。

导入订阅并确认连接范围

在订阅设置中新建分组，填入名称和订阅地址，保存后执行更新。若只有单条分享链接，使用从剪贴板导入功能；需要扫描配置时，只有对应扫描功能才需要相机权限。导入后核对服务器名称、协议和传输设置是否完整，再选中一个配置启动。不要把已经失效的订阅地址不断作为单条分享链接导入，这两个入口处理的内容不同，反复尝试不会改变地址有效性。

点击连接后，阅读系统 VPN 授权对话框并确认。观察常驻通知和客户端日志，确保服务没有立即停止。安卓通常在同一用户环境中只允许一个活动 VPN 服务，另一个网络工具可能替换当前连接。测试时先停用其他同类服务，尤其是同样使用 VPN 接口的过滤工具。系统显示 VPN 标记，只能说明通道已建立，仍要通过实际请求验证远端连接与分流结果。

检查分应用代理设置。启用允许列表时，未被选中的应用可能不进入代理；启用排除列表时，列出的应用可能直接联网。两种含义相反，不能只看列表里有没有某个应用。为了建立基线，先使用默认连接范围测试浏览器，再逐步添加所需应用。浏览器自身的安全 DNS、缓存与连接复用也会影响观察结果，改完规则后应重新发起请求，而不是只刷新已打开的页面。

平衡后台保活与电池消耗

连接在熄屏后中断时，先确认是系统停止了服务，还是服务仍在但网络请求失败。前者应检查应用的电池优化、后台活动和自启动限制，后者则要看日志、当前网络和服务器状态。不同设备厂商的设置入口不同，应按实际系统查找功能相同的项目。不要一次性放开所有后台限制；先调整直接影响运行的一项，再观察熄屏与唤醒后的行为。

常驻通知用于提示服务状态，通知消失不一定能单独证明服务被停止，但可以作为排查线索。需要长期连接时，保留能识别连接状态的通知更便于判断。耗电偏高则要检查高频连通性测试、反复重连、过高日志级别以及后台应用持续流量。把应用加入电池优化白名单主要改善持续运行条件，不会直接让内核更省电，也不能修复远端连接不稳定。

无线网络切换到移动网络时，原连接可能失效，需要重新建立。若某一网络下失败，先确认该网络本身可以联网，再用同一个服务器和相同配置对比测试。公共网络可能要求先完成登录页面认证，移动网络还可能受省流量和后台数据权限影响。不要因为切换网络后第一次请求超时，就立即重建全部订阅，先观察重连结果和日志更容易定位。

停止使用时，从客户端内断开连接，再确认系统连接标记和常驻通知状态。更换客户端前先停止原服务，避免把授权切换当成服务器故障。需要细化后台限制和电量取舍时，可阅读v2rayNG 后台与省电设置。保留必要日志后再清理数据，清除应用数据会删除本地配置，不能作为每次断线的常规处理步骤。

订阅与迁移：维护可恢复的配置

选择正确的导入入口

订阅地址、分享链接和完整配置文件承担不同任务。订阅地址用于定期获取列表，分享链接用于传递单个连接参数，完整配置文件则可能同时包含本地入口、出站、路由和 DNS。客户端支持其中一种格式，并不代表另外两种也能走同一个入口。导入前先确认内容类型，尤其不要把普通网页地址当作订阅，也不要把完整配置文本直接粘贴到仅接受链接的输入框。

为订阅建立清晰分组，名称应表达来源或用途，不必包含凭据。保存后先更新单个分组，再核对结果。分组更新成功但列表为空时，应检查是否返回了空内容、订阅格式不兼容或过滤条件隐藏了条目。更新后出现重复名称，也不应只凭显示名称删除服务器，名称不是唯一标识。先确认分组与当前活动服务器的关联，再整理旧条目，避免删除仍需使用的配置。

维护时区分订阅管理的条目与手动添加的条目。订阅更新可能覆盖远端提供的参数，在订阅条目上直接修改传输设置，下一次更新后可能丢失。确需临时实验时，使用客户端支持的复制或独立配置方式，标记测试用途，并保留原始条目。不要把临时修补后的配置当成长期来源，远端服务发生变更时应优先更新订阅或向配置提供方确认参数。

定位订阅更新失败的阶段

先确定更新请求是否已经发出。地址为空、格式错误或复制了额外字符，会在连接之前失败；域名解析失败发生在建立连接之前；超时、证书错误与拒绝访问则属于后续阶段。某些地址会跳转到登录页或返回错误页面，网络请求成功并不意味着返回内容就是订阅。查看日志的状态与错误摘要，避免把服务到期、访问限制或内容格式问题统称为“客户端打不开”。

“更新订阅时不通过代理”只影响更新请求的路径，不改变普通应用流量的路由。当前服务器不可用，而更新又依赖该服务器时，可以测试直接更新；订阅地址只有在代理路径可达时，则需要先准备可工作的连接再更新。每次只改变这一项，保留错误结果进行对比。不要同时切换 DNS、活动服务器和更新方式，否则即使更新成功，也难以确认真正起作用的条件。

更新后核对活动服务器是否仍有效。远端列表可能删除旧条目或更改内部参数，客户端是否自动替换当前选择，取决于具体实现。不要只看到“更新完成”便关闭窗口，继续测试当前连接，并确认分组筛选没有隐藏新条目。必要时手动重新选择服务器。若全部条目同时失败，优先检查订阅内容、账号状态和本地网络共同因素，而不是逐条重复修改端口。

迁移配置并验证恢复结果

迁移前先使用客户端提供的导出或备份功能，并确认导出范围。有的功能只导出服务器链接，有的包含订阅与界面设置，不能仅凭文件名判断。将订阅来源与必要的自定义规则单独记录，放在受保护的位置。不要为了方便迁移而开启局域网共享整个配置目录，也不要把包含凭据的文件放进公开同步目录。备份能否恢复，应在原设备仍可使用时先做确认。

跨平台迁移优先转移通用的服务器信息和订阅地址，再在目标设备重设本地端口、系统代理、TUN 与文件路径。Windows 的路径和网络接口名称不能直接用于 Linux 或 macOS，安卓的分应用名单也不等同于桌面应用配置。内核不同还可能影响支持的协议字段。导入后检查客户端是否忽略了某些参数，不能把“没有报错”当作全部字段已经完整迁移。

恢复完成后，先测试单个服务器，再恢复路由和 DNS，最后设置自动更新与后台运行。每一阶段成功后保存记录，形成可以回退的检查点。升级客户端前同样适用这套顺序：导出、停止运行、完成升级、核对端口、验证请求。不要在缺少可恢复备份的情况下直接清理旧目录，也不要把旧程序生成的整个运行配置强行覆盖到新界面管理的目录中。

路由与 DNS：区分入口、规则和出口

先区分系统接入与路由决策

系统代理与 TUN 决定流量怎样进入客户端，路由决定进入之后走哪个出口，两者不是同一个开关。开启系统代理但应用不遵循它，流量就不会进入内核；开启 TUN 后仍然可以由规则选择直连。客户端所称的全局代理通常表示默认选择代理出口，不代表所有系统进程都必然被接管。分析结果前，先确认请求入口，再检查路由，最后确认远端连接是否成功。

首次使用先选客户端提供的路由预设，建立可工作的基线。之后再增加确有需求的规则，并留意匹配顺序。常见规则按顺序判断，较宽的条件放在前面可能覆盖后面的精细条件。局域网地址直连有助于访问路由器、打印机和本地服务，但是否覆盖全部本地环境，仍取决于预设内容。企业内部域名可能解析到私有地址，不能只靠公开域名列表处理。

编辑自定义规则前，明确匹配对象。域名条件、目标地址条件与应用条件属于不同维度，不能互相替代。应用直接连接数字地址时，单纯的域名规则未必生效；开启流量嗅探后可能获得额外域名信息，但也不是对所有连接都有效。规则没有命中时，应查看实际目标、匹配顺序与默认出口，不要立刻把整个规则集清空，否则会丢失原本正常的分流行为。

阅读规则片段并对应真实出口

下面展示 Xray/V2Fly 风格的路由对象：局域网地址直连，示例域名及其子域名使用代理。它是语法参考，不是可以直接粘贴到任意客户端文本框的完整配置。必须确认当前内核支持所用字段，并且生成配置中确实存在名为 direct 与 proxy 的出站标签。使用客户端图形规则编辑器时，应填写对应条件，不要把整个对象放入仅接受域名列表的位置。

{
  "routing": {
    "domainStrategy": "AsIs",
    "rules": [
      {
        "type": "field",
        "ip": ["geoip:private"],
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "domain": ["domain:example.com"],
        "outboundTag": "proxy"
      }
    ]
  }
}

片段中的私有地址规则依赖内核可用的地理数据资源，缺失时可能导致配置加载失败。不同内核的规则语法与资源组织不能混用。保留客户端生成配置作为只读排查材料更稳妥，直接编辑生成文件常会在保存界面设置或重启后被覆盖。修改后先观察配置是否加载成功，再测试规则命中；如果内核启动就失败，应先处理语法与资源错误，而不是分析网页访问结果。

分层检查 DNS 与连接复用

DNS 可能发生在系统、浏览器、应用或内核内部。修改客户端 DNS，不会自动替换所有应用自己的解析策略。浏览器安全 DNS 与系统私有 DNS 也可能改变实际查询路径。排查时先记录谁负责解析目标域名，再确认查询是否通过预期出口。不要把某一个公开 DNS 地址视为万能修复方案，不同网络的可达性、延迟和返回结果可能不同，需要结合实际请求验证。

还要区分服务器域名的解析与目标网站的解析。建立远端连接前，客户端可能先需要找到服务器地址；如果这一步依赖尚未建立的代理通道，就可能出现循环依赖。客户端预设通常会处理相关引导需求，自定义时不要随意删除。连接日志中出现解析超时，应先辨认出错域名属于服务器还是目标网站，再决定检查基础网络、内核 DNS 或应用自己的解析设置。

修改规则后关闭原连接或重新启动测试应用，避免连接复用掩盖变化。浏览器缓存和既有长连接可能继续沿用旧结果，立即刷新并不总能创建全新连接。验证时选择明确目标，记录命中的出口和错误阶段，同时保留一个直接联网对照。路由成功只说明选择了预期路径，远端服务仍可能拒绝请求；把这两个结论分开，能避免不断调整已经正确的规则。

配置常见问题：按层定位故障

先判断故障影响范围

遇到连接异常，先写清楚“哪里失败”：客户端不能启动、内核启动后退出、订阅无法更新、浏览器不能访问，还是只有一个应用失败。再记录问题出现在安装后、升级后、网络切换后，还是修改某个选项之后。范围越明确，下一步越直接。不要把所有现象统一称为节点不可用，也不要先清空配置，这会丢失最有价值的变化线索。

按本地网络、客户端内核、本地入口、远端连接和目标请求逐层检查。直接联网失败时先处理基础网络；内核退出时先看首个错误；端口没有监听时先修正启动与冲突；只有某个应用失败时检查它的代理入口和分应用名单。若所有目标都失败，再考虑共同的 DNS、认证或远端可达性因素。一次只验证一层，避免同时切换多个服务器和多组路由造成结果混乱。

客户端的连通性测试成功，浏览器却失败，并不矛盾。测试工具可能直接调用当前服务器，而浏览器可能没有进入系统代理，也可能命中直连规则。反过来，某项延迟测试失败，也不能单独证明真实业务请求一定失败。使用相同目标和明确入口复测，必要时借助本页中的显式代理命令区分接入问题。结论应来自请求路径，而不是某一个状态图标。

读懂错误阶段，保留最少必要日志

“连接被拒绝”通常表示请求到达的地址与端口没有接受连接，可能是本地入口未启动，也可能是远端端口不匹配，必须结合日志中的目标判断。“超时”只说明规定时间内没有完成某个阶段，可能发生在解析、建立连接或握手过程中，不能直接等同于服务器离线。查看错误前后的相关行，确认失败发生在本地还是远端，再调整对应设置。

握手失败要检查系统时间、服务器名称、传输参数及服务端要求是否一致。证书错误不能通过随意关闭证书验证当作长期修复，否则会改变连接的安全边界。认证失败则优先重新导入有效配置，避免手工修改标识内容导致更多偏差。配置解析错误应先定位字段和内核兼容性。更详细的阅读方式可参考运行日志常见报错说明。

需要临时提高日志级别时，只保留复现问题所需的短时间窗口，完成后恢复日常级别。长期详细记录会增加存储与性能负担，也可能暴露访问目标。公开求助前删除订阅地址、认证内容、个人路径和设备标识，保留错误类型、发生阶段和相关选项即可。不要整份上传生成配置，也不要为了证明问题存在而展示完整分享链接。

按问题回到对应设置

恢复正常后，记录真正生效的修改，并撤销临时实验。若发现只是端口冲突，就保留新端口及应用对应设置；若只是网络切换导致连接失效，就不必继续保留试验过的 DNS 和路由。需要重新建立最小配置时，沿教程中的代理模式步骤回到单一入口，再逐项恢复必要功能，让最终配置保持可以解释、可以复现、可以回退。