v2rayN 全平台安装配置

通用准备：先确认配置与网络边界

区分客户端、内核与服务配置

v2rayN 是管理配置的图形客户端，负责保存服务器资料、生成运行配置，并调用可用内核处理流量。Xray 与 V2Fly 属于相关代理生态中的不同内核实现，协议和扩展能力并非完全相同。安装客户端只是准备本地工具，不会自动获得远端服务器。开始前，准备有权使用的订阅链接或完整连接参数，并确认提供方说明了适配客户端、传输方式及必要的认证信息。

订阅链接是一份配置入口，不等于服务器地址。手动配置则需要逐项填写地址、端口、协议认证和传输参数。拿到资料后，先判断它属于订阅、单条分享链接还是内核配置文件，再选择对应导入方式。不要把一段完整链接直接填入地址栏，也不要把网页说明当成订阅内容。资料不完整时，先向配置提供方确认，靠猜测补齐字段通常只会增加排查范围。

建立可恢复的本机基线

先关闭其他正在接管网络的代理或虚拟网卡工具，保留一个客户端负责测试。打开普通网页，确认当前网络本身能访问；在系统设置中启用自动日期与时间，检查时区是否正确。系统时间明显偏差会影响证书验证，也可能影响带时间校验的协议。若电脑由组织管理，先了解代理、证书和网络扩展的管理要求，不要覆盖已有策略。

记录原有的系统代理、手动 DNS 和网络接口设置，截图时遮住账号与链接。配置过程中每次只改一类设置：先验证服务器，再启用系统代理，最后考虑 TUN。这样失败时能回退到上一状态。首次连接不建议同时导入复杂规则、更换内核和修改 DNS；几个变量一起改变，即使恢复连接，也很难确认真正生效的是哪一项。

选择接管范围，再安排验证

系统代理只影响愿意读取系统代理配置的应用。浏览器通常可以使用，但命令行程序、游戏或自带网络栈的应用未必跟随。TUN 通过虚拟网络接口接收更多流量，覆盖面更广，同时需要正确的权限、路由和 DNS 配合。首次配置优先测试系统代理；只有确认目标应用不使用它，或者确有全设备分流需求，再进入 TUN 设置。

验证时分清“配置已保存”“内核已启动”和“网页已通过预期路径访问”三个状态。窗口里出现服务器行，不代表认证成功；托盘显示运行，也不代表浏览器已经交出流量。准备一个原本可访问的页面和一个需要走指定出站的目标，依次检查普通访问、代理访问和直连规则。测试结果应结合日志判断，不能只凭一个图标或单次测速下结论。

下载入口统一在客户端下载页。先按平台打开相应区域，再核对架构与包类型。本文不假定某个固定菜单布局：找不到同名入口时，优先查看订阅分组、设置、系统代理等功能区域。若只想先完成一次可用连接，转到快速上手，完成后再回来阅读备份与排错章节。

macOS：芯片选择、安装与网络权限

识别 Apple 芯片与 Intel 安装包

打开苹果菜单中的“关于本机”，查看“芯片”或“处理器”。显示 Apple 芯片时，在macOS 下载区选择 Apple Silicon 安装包；显示 Intel 时选择 Intel 安装包。两者对应不同的处理器架构，不应仅凭电脑外观判断。已有转译环境也不意味着应优先使用另一架构，原生匹配更便于判断内核、辅助组件和权限是否正常。

打开下载的磁盘映像，将 v2rayN 拖入“应用程序”，再从该目录启动。不要长期在磁盘映像内运行，以免升级、配置保存和辅助组件定位受到影响。若系统提示无法打开，先确认文件来自下载页指定入口、架构匹配且下载完成，再查看“系统设置 → 隐私与安全性”中的具体提示。不要为了启动单个应用而关闭全局安全保护。

完成导入与系统代理验证

首次打开后，进入订阅分组管理，新增一个用途明确的分组，将完整订阅链接粘贴到地址字段，保存后执行更新订阅。若更新入口区分是否通过代理，而当前还没有可用连接，先尝试不通过代理更新；若该地址必须经代理访问，则需要先有一条可用的独立连接。更新成功后检查分组内是否出现可选服务器，再将目标设为当前活动项。

启动内核后，在系统代理菜单选择“自动配置系统代理”。此处的“自动配置”是客户端提供的设置动作，不应直接等同于浏览器中的脚本代理模式。进入“系统设置 → 网络”，打开当前正在使用的网络服务，在详细信息中的代理区域核对代理主机与端口是否对应客户端本地监听。无线与有线连接是不同服务，切换网络后需要重新确认实际生效的接口。

先用浏览器验证，再检查其他应用。浏览器扩展、应用自身的代理选项和开发工具的环境变量都可能覆盖系统设置。如果浏览器正常而某个应用仍直连，先查看该应用是否读取系统代理，不要立即更换服务器。结束测试时使用“清除系统代理”；“不改变系统代理”通常表示客户端不再主动改动设置，不能把它当作清除动作来使用。

TUN 与休眠后的恢复顺序

系统代理已验证可用后，才考虑启用 Tun。不同安装形式与运行环境可能需要辅助服务、网络扩展或管理员授权，按客户端及系统提示完成必要授权，再确认内核成功创建虚拟接口。若授权窗口反复出现，不要连续点击重试；先退出多余实例，查看日志中的权限、服务安装或接口创建错误，再按对应流程处理。公司设备上的管理限制需要交由管理员确认。

合盖休眠、唤醒或从无线切到有线后，如果连接失效，先关闭 TUN，确认普通网络恢复，再重启内核并重新启用接管。若系统代理遗留在本地地址，而客户端已经退出，网页可能整体打不开；重新启动客户端清除代理，或在对应网络服务中恢复之前记录的设置。不要在客户端关闭时留下指向无人监听端口的代理条目。

升级前先备份订阅分组与自定义规则，退出旧实例后替换应用。若系统提示应用仍在使用，检查菜单栏图标和后台进程，不要在新旧实例同时运行时继续导入配置。替换完成后先验证普通代理，再验证 TUN 和自动启动；这样能区分升级后的配置兼容问题与系统授权问题，而不是把所有连接失败归因于安装包。

Windows：桌面版、WPF 与系统代理

按界面与兼容需求选择入口

Windows 下载区为 v2rayN 提供桌面版和经典 WPF 版。桌面版采用新一代跨平台界面，WPF 版保留经典使用习惯。首次安装可优先评估桌面版；已有成熟配置和操作流程时，先备份再决定是否迁移。两者界面与配置存放方式可能不同，不应假设安装后会自动共享所有数据，也不要把两个程序当作互不影响的代理同时启动。

安装前确认系统与处理器架构符合下载卡片说明，并保留足够的用户目录写入权限。按安装向导完成安装；如果使用需要解压的发行形式，应完整解压后再启动，不要从压缩软件的预览窗口直接运行。遇到运行环境缺失提示时，按提示核对依赖与系统支持情况，不要把不明来源的单个动态库复制进程序目录来尝试修复。

导入订阅并核对本地端口

启动 v2rayN 后创建订阅分组，填入订阅地址，保存并更新。订阅能拉取只说明配置入口可访问，仍需选择活动服务器并启动内核。手动导入分享链接时，先检查协议、地址、端口和传输字段是否完整，再确认它被保存到预期分组。若已有历史配置，先用一个明确的分组测试，避免默认分组和订阅分组里存在同名条目而选错。

在设置中查看本地监听地址、HTTP 或混合代理端口。端口应与客户端实际启用的入站对应，不能从其他教程照抄一个常见值。默认只供本机使用时，保持回环地址监听；若启用允许局域网连接，需要额外考虑认证、防火墙和可访问范围。发现端口被占用时，先定位占用程序，再决定停止旧实例或更换端口，修改后同步所有手动填写该端口的应用。

在系统代理菜单启用自动配置后，打开“设置 → 网络和 Internet → 代理”，核对手动代理是否与客户端一致。浏览器里如果启用了独立代理扩展，应暂时关闭扩展再测试。部分应用会缓存网络设置，切换后可能需要重启应用。系统设置里出现本地代理地址并不意味着内核在监听，还需要确认客户端日志没有启动失败或端口绑定错误。

TUN、权限与后台实例

启用 TUN 前，先阅读当前客户端对服务或管理员权限的提示。某些运行方式需要提权或安装辅助服务，但普通系统代理测试不应因此一概改为高权限运行。按所需范围授权后，检查虚拟网卡创建、路由写入和 DNS 接管是否完成。若安全软件阻止网络组件，先查看拦截详情与文件位置，再按组织策略处理，不要通过关闭整套防护来排错。

Windows 上常见的混淆来自多个托盘实例、开机启动项与旧服务。关闭主窗口不一定退出程序，检查托盘菜单中的退出操作。若重启电脑后代理又被改写，查看启动应用和已有网络工具，确认谁在登录时接管系统代理。迁移客户端时先退出旧程序并停止其相关接管，再启动新程序；否则两个实例可能轮流写系统设置，表现为连接时好时坏。

如果浏览器可用而终端程序失败，检查该程序是否使用系统代理，或是否配置了自己的代理环境变量。只有确认所需协议与监听类型后再手动填写地址。若网页全部失败，回到本地端口、内核启动和系统代理三项逐个验证。更完整的浏览器排查路径见已连接却打不开网页排查清单，不必一开始就重装整个客户端。

Linux：包格式、桌面代理与 TUN

同时核对发行版与处理器架构

Linux 安装包需要匹配两组条件：发行版所用的软件包格式，以及设备的处理器架构。Debian、Ubuntu 等系统通常选 deb，Fedora 等系统通常选 rpm；具体仍以发行版的软件管理方式为准。常见个人电脑多为 x64，部分开发板与桌面设备为 arm64。进入Linux 下载区后，先确认格式，再确认架构，不要把包格式误当作处理器类型。

可以在终端执行下面两条只读命令查看信息。输出中的 x86_64通常对应 x64，aarch64通常对应 arm64；发行版信息用于判断包管理体系。它们只检查本机，不会安装或修改客户端。如果设备使用其他架构，不应强装不匹配的软件包，先核对下载页是否提供适合该环境的入口。

uname -m
cat /etc/os-release

优先使用发行版的软件安装器打开下载的软件包，查看依赖与安装提示后完成操作。遇到依赖缺失时，应由系统包管理器解析，不要跨发行版复制库文件。安装后从应用菜单启动 v2rayN，确认普通用户可以保存设置。如果以前以高权限启动过客户端，用户配置目录可能留下所有权问题；先确认具体目录与权限，再修复，不要递归修改整个家目录的权限。

导入配置与桌面代理的差异

在订阅分组内保存链接并更新，选择服务器后启动内核，先确认本地监听正常。Linux 桌面环境对系统代理的实现并不统一：有的客户端操作可以写入桌面代理设置，有的环境需要在系统网络面板手动填写。GNOME、KDE 与不同应用读取设置的方式也可能不同。看到客户端显示已设置代理时，仍应到当前桌面网络设置中核对实际地址和端口。

命令行程序通常不会因为桌面代理已打开就自动走代理。它们可能使用环境变量、命令参数或各自的配置文件。先查看目标程序的代理文档，再选择与客户端监听类型匹配的设置。HTTP 代理与 SOCKS 代理不能只换名字共用所有语法，远程解析域名的行为也因程序而异。测试期间不要把代理变量全局写入多个启动文件，否则后续很难判断从哪里继承了旧端口。

最小权限与虚拟接口检查

TUN 需要内核虚拟网络接口和适当的网络管理权限，图形程序可启动并不表示具备这些条件。按客户端支持的方法设置服务或授权，避免长期用高权限运行整套桌面程序。若日志提示接口不存在、操作不允许或路由写入失败，先确认系统是否提供 TUN 设备、容器或受限会话是否允许相关操作，再判断是权限问题还是内核启动问题。

可用下面的只读命令查看地址与路由。比较启用前后的变化时，关注新增接口和默认路由的去向，不要仅凭接口名字判断连接是否成功。若同时运行其他虚拟网络工具，路由优先级可能互相影响。先保留一个接管来源，确认普通代理可用，再启用 TUN；关闭后也应确认系统路由恢复，而不是只观察客户端开关。

ip address show
ip route show

若 Linux 上直连正常、代理失败，先看本地监听与内核日志；若只有域名失败，继续检查解析链路。系统 DNS 可能由网络管理服务、解析服务或连接配置分别维护，不建议直接覆盖解析文件来碰运气。升级时保留用户配置备份，按包管理器流程替换程序，再逐一确认桌面代理、后台服务与自动启动，避免旧服务继续指向已经更换的程序路径。

Android：v2rayNG 与 v2flyNG 配置

先选客户端，再选安装包架构

安卓端首选 v2rayNG，使用 Xray 内核；需要 V2Fly 内核兼容路径时，再评估 v2flyNG。两款客户端不应同时接管系统网络，先确定资料要求的协议与内核能力。进入Android 下载区选择对应入口。较新的主流手机通常适合 arm64，但系统架构仍是最终依据；不确定时可考虑通用版，不能只凭处理器宣传名称判断系统实际运行的架构。

打开安装包时，系统可能要求允许当前浏览器或文件管理器安装应用。只为本次使用的来源授权，安装完成后可按需要收回。若出现无法安装，先检查系统要求、安装包是否完整下载、架构是否匹配，以及是否已有同名但签名不同的应用。升级失败不应立即卸载旧应用；先备份配置，因为卸载通常会同时移除应用私有数据。

订阅、分享链接与活动配置

打开客户端的订阅设置或分组管理，新增订阅名称与完整地址，保存后返回主界面更新。菜单名称因界面不同可能略有差异，但操作顺序是先保存来源，再拉取内容，最后选择活动配置。单条分享链接可通过对应的剪贴板导入入口添加；二维码导入前确认来源可信，不要将包含认证信息的二维码上传到公开识别服务。

导入完成后打开配置详情，核对协议、远端地址、端口和传输安全参数。来自订阅的条目通常由提供方维护，本地手改可能在更新后丢失。需要临时排错时，先复制为独立配置并记录差异。选中目标条目后再点击连接，防止误用上次保留的活动项。列表有内容、连接按钮可点击，并不能替代一次实际的内核启动检查。

VPN 授权与按应用代理

首次连接时，Android 会弹出建立 VPN 连接的系统授权。允许后，客户端才能通过系统提供的虚拟网络接口接收流量。这里的 VPN 是接管网络的系统机制，不意味着远端服务一定使用传统 VPN 协议。连接期间观察系统状态与客户端日志，确认服务没有启动后立刻退出。若已有其他 VPN 应用连接，需要先停止原连接再测试。

按应用代理通常支持只接管选中的应用，或绕过选中的应用，两种列表含义相反。保存前读清当前模式，再用一个目标应用验证。不要因为应用名字出现在列表中，就直接判断它一定走代理。工作资料中的应用、独立用户空间和某些系统组件可能处于不同环境；如有管理策略，以设备授权范围为准，不要通过反复切换权限尝试覆盖组织限制。

路由模式仍决定进入客户端后的流量如何出站，按应用代理则决定哪些应用先进入客户端，两者不是同一个层级。若浏览器被排除，切换全局路由也不会让它自动进入代理。排错时先临时采用容易理解的接管范围，再核对路由；确认后逐步恢复按应用分流，避免同时维护两套含义不明的白名单和绕过规则。

后台限制与网络切换

若熄屏后频繁断开，查看应用的电池优化、后台活动和厂商省电限制。只对需要持续连接的客户端做必要调整，再观察锁屏与唤醒后的行为，不必全局关闭省电。无线与移动网络切换后，原有连接可能需要重建；先确认手机本身有网络，再重连服务。订阅更新与连接服务也应分开判断，后台更新失败不一定表示当前服务器已经不可用。

v2rayNG 与 v2flyNG 之间迁移时，优先重新导入同一份有效订阅，再对照恢复路由、DNS 和按应用设置，不要直接覆盖彼此的数据目录。需要求助时提供脱敏日志、系统环境与失败步骤，隐藏订阅、认证和完整二维码。协议参数的取舍可继续阅读四种代理协议对比，不要把换客户端当作修复所有远端问题的方法。

订阅管理：更新、迁移与配置备份

把订阅来源与服务器条目分开管理

订阅分组保存来源地址与更新策略，服务器列表保存拉取后得到的连接资料。两者需要分开理解：删除一条服务器，不一定删除订阅来源；再次更新时，该条目也可能重新出现。建议按用途或来源建立分组，名称写清工作、测试或备用等实际用途，不必把完整地址放进分组名。分组越清楚，更新失败时越容易定位到具体来源。

首次导入订阅时，粘贴后检查前后空格、换行和被截断的部分。聊天软件可能把长链接折叠显示，复制可见文字未必等于复制完整地址。订阅内容也可能需要提供方指定的格式或客户端支持范围。出现空列表时，先判断返回的是配置、登录页面还是错误说明，不要连续重复导入。若地址已失效，应由提供方更新来源，而不是修改随机字符尝试恢复。

选择更新路径与自动更新间隔

“更新订阅（不通过代理）”适合当前网络可以直接访问来源的情况，也能避免可用连接依赖订阅、订阅更新又依赖该连接的循环。通过代理更新则要求代理已经可以工作。两种方式的区别是请求路径，不是订阅内容格式。排查时各测试一次并查看错误，再固定可用方式；不要在完全没有可用服务器时只反复选择通过代理更新。

自动更新间隔应兼顾来源变化频率、使用习惯和请求限制。稳定来源不需要过度频繁拉取，移动设备还需考虑流量与后台执行限制。界面以分钟显示时，按实际单位输入，避免把小时数直接当成分钟数。设定后先手动更新成功，再等待一次自动执行；设备休眠、应用被系统停止或网络受限时，自动任务可能延后，并非精确到点运行的保证。

更新订阅可能删除已撤下的条目，并覆盖来源管理的部分参数。需要保留的临时配置先复制到独立分组，再修改别名、路由关联或传输设置。不要依靠服务器行号作为长期标识，更新后排序可能改变。若使用自动选择或分组策略，更新后检查活动服务器是否仍符合预期，再确认普通访问与路由行为，避免只看到更新成功提示就结束检查。

备份范围与敏感信息处理

备份至少覆盖订阅来源、独立配置、自定义路由、DNS、监听端口和按应用设置。优先使用客户端提供的导出或备份功能；若需要复制数据文件，先完全退出客户端，确认文件位置与当前运行实例相符。仅复制程序文件通常不能保存用户配置，反过来，完整复制用户数据也可能携带不适合另一台设备的路径、服务状态与接口名称。

跨平台迁移优先使用订阅链接与通用分享格式，系统代理、TUN 服务和程序路径则在目标设备重新设置。同一个配置能导入，不代表全部扩展字段都被另一内核接受。先恢复一条基础连接并验证，再恢复路由与 DNS。若源设备有大量自定义规则，保存一份文字说明，比直接覆盖整套配置更容易发现平台差异和不兼容字段。

更换订阅后，应停用旧来源的自动更新，再清理不再需要的条目。如果链接曾公开，单纯删除本地记录不能撤销他人的访问，需要在来源侧更换或撤销。遇到更新报错，可按订阅更新失败与间隔设置继续排查网络路径、时间、证书和返回内容，先定位失败环节，再考虑重新导入。

路由与 DNS：接管范围之后的出站决策

先分清系统代理、TUN 与路由模式

系统代理和 TUN 负责让流量进入客户端，路由规则负责决定进入后的流量去向。选择全局路由，通常表示让已接管的流量走指定代理出站，并不自动覆盖所有应用；选择绕过大陆等分流模式，则根据域名、地址或规则集决定直连与代理。判断一个应用为什么没有走预期路径，先问它有没有进入客户端，再看它匹配了哪条规则。

多数路由系统按顺序匹配，前面的宽泛规则可能遮住后面的精细规则。调整时先写明确的域名、应用或目标范围，再放兜底策略，并确认使用的内核实际支持这些字段。不要把不同内核的配置语法混在一起。客户端提供的预设路由可以作为基线；自定义前先导出原配置，记录新增规则的位置与目的，方便恢复。

理解真实规则片段的上下文

下面是 Xray/V2Ray 风格路由对象中的规则片段，用于将匹配域名交给名为 direct 的出站。它不是完整客户端配置，必须放在相应的 routing.rules 中，并且已有同名出站及可用的域名规则数据。图形客户端若提供规则编辑器，优先通过界面录入；不要把片段直接覆盖整个运行配置，也不要假设所有内核都使用相同字段。

{
  "type": "field",
  "domain": [
    "geosite:cn"
  ],
  "outboundTag": "direct"
}

type 表示规则类型，domain 限定域名匹配条件，outboundTag 指定出站标签。标签只是配置内部的引用，拼写必须与已有出站一致。规则数据缺失、标签不存在或规则被前项遮挡，都可能导致预期不生效。改动后先看内核是否接受配置，再查看目标请求的匹配日志，不要只凭保存按钮是否成功来判断规则有效。

DNS 解析路径与域名匹配

DNS 把域名转换为地址，而代理连接还涉及应用、系统和内核各自的解析行为。浏览器可能启用自己的加密 DNS，系统也可能缓存旧结果；即使客户端设置了远程 DNS，未进入客户端的请求仍可能使用其他解析器。排查前画清路径：是谁发起查询、查询通过哪个出口、结果被谁用于建立连接。只更换一个 DNS 地址，通常不足以解决所有解析问题。

直连 DNS 与远程 DNS 应配合路由设计。计划直连的域名需要有可达的解析路径，计划代理的目标也需要避免解析请求依赖一条尚未建立的连接。DoH 提供加密查询传输，但服务地址本身仍需可达，并可能存在引导解析需求。不要把“使用 DoH”直接等同于解析结果一定正确，应结合超时、证书与返回结果判断。

FakeDNS 使用合成地址帮助内核保留域名信息，适合特定接管方案，但要求地址映射、路由和 DNS 流程协同工作。应用若拿到合成地址后绕过内核访问，连接就可能失败。普通系统代理已满足需求时，不必为了功能齐全而启用。准备测试时先保存当前 DNS 设置，确认内核支持及接管范围，再检查直连应用、局域网服务与退出后的恢复情况。

验证分流至少观察一个明确直连的目标和一个明确代理的目标，再结合日志确认出站。遇到缓存干扰时，按应用或系统提供的方法刷新缓存，重开连接后再测，不要同时重置所有网络设置。更详细的字段分工与解析取舍可阅读v2rayN DNS 分流解析说明；先保持规则简单可解释，再逐步增加精细策略。

配置常见问题：按失败层级逐项排查

启动失败与连接失败分开处理

先确定失败发生在哪一层：程序打不开、内核未启动、本地端口不通、远端连接失败，还是只有网页打不开。程序无法启动时，优先核对架构、系统要求、运行依赖与配置目录权限。内核启动报错时，先看配置解析、可执行组件和端口绑定，不要先更换订阅。只有本地运行正常后，远端超时和认证问题才进入主要排查范围。

打开日志后，重新触发一次失败操作，记录相邻的少量错误信息与时间顺序。单独一条超时信息不一定是根因，应查看它之前是否已有 DNS 失败、连接拒绝或配置不支持。分享日志前隐藏地址、认证与订阅内容，但保留错误类别、协议名称和调用顺序。把整份包含凭据的配置公开，既不利于定位，也会增加资料暴露风险。

连接超时、认证与传输参数

远端连接超时时，先确认当前网络正常、本机时间准确，并检查地址与端口有没有复制错误。若所有配置同时失败，优先检查本地网络、内核启动和接管方式；若只有一条失败，再核对该服务器的有效状态与参数。测速结果也依赖测试方法和目标，某个测试失败不能直接等同于所有实际流量都无法通过，应继续进行一次真实访问。

认证失败通常需要核对协议要求的标识或密码；TLS 相关错误还需检查服务器名称、证书链、系统时间与传输参数。连接地址与用于验证的服务器名称可以不同，不应为了减少字段而随意清空。传输路径、Host 和其他扩展参数也必须与服务端一致。不要通过跳过证书验证来掩盖配置错误，应先查清资料是否过期或服务器名称是否填错。

切换内核后失败，则检查该协议与扩展是否被目标内核支持，以及订阅转换是否遗漏字段。Xray 与 V2Fly 并非所有能力都可直接互换。先回到原先可用的内核与基础配置，再逐步确认差异。需要一套更细的远端检查顺序时，参考节点超时与连接失败排查，不要反复更换客户端却保留同一份错误参数。

原生问答：恢复网络与缩小范围

最后恢复一个可解释的配置

排查结束后，删除临时测试项，恢复确有需要的自动启动与分流规则，并再次验证退出客户端后的普通网络。保存一份已验证可用的配置备份，附上系统、架构、代理模式和关键改动说明。下次出现异常时，先对照最近变动，而不是从头重装。完整操作主线见快速上手教程，需要更换平台安装包时再进入下载页核对。