v2rayN 全平台配置
与 Android 订阅设置

通用准备与配置边界

区分客户端、内核与订阅

先确定正在配置哪一层。v2rayN 是桌面图形客户端，负责保存服务器、管理订阅分组、生成运行配置并控制内核；实际连接由所选内核执行。Android 首选 v2rayNG，使用 Xray 内核；需要 V2Fly 内核的场景再考虑 v2flyNG。订阅则是服务提供方给出的地址或内容，并不等同于客户端账号。安装软件不会自动获得可用服务器，也不能把任意网页地址当成订阅使用。先准备有效订阅，再进入平台章节。

确认订阅提供方说明的格式、协议和使用限制。常见订阅可能包含分享链接、编码后的链接集合，或特定客户端的配置内容，是否能识别取决于客户端实际支持。不要只凭文件扩展名判断兼容性，也不要把完整运行配置直接粘贴进“可选地址 Url”。如果收到的是单条服务器分享链接，应使用从剪贴板导入服务器的入口；如果收到的是订阅地址，则建立订阅分组。两种导入路径对应不同的数据来源和后续更新方式。

确认架构、时间与网络条件

进入下载中心前，先在系统信息中确认处理器架构和系统类型。桌面包应与处理器和发行版匹配，不能仅凭电脑品牌选择。Windows 的系统类型、macOS 的芯片信息、Linux 的机器架构，以及 Android 的处理器能力，分别决定安装入口。安装包格式正确也不代表系统版本一定满足要求；遇到运行库、系统接口或安装器限制时，按安装提示处理，不用反复导入订阅掩盖程序本身尚未正常启动的问题。

打开自动校时，并确认时区与当前时间合理。TLS 证书验证依赖系统时间，时钟明显偏差可能导致所有节点同时出现握手错误。随后确认当前网络能够完成普通域名解析，必要时先通过网络登录页面。公共网络尚未认证、门户页面拦截和本地 DNS 故障，都可能表现为订阅请求超时。准备阶段只确认基础网络，不急着打开 TUN 或复杂分流；先用最少设置建立可复现的连接，再增加其他功能。

保存资料并安排验证顺序

修改前记下现有系统代理状态、本地监听端口和订阅分组名称。迁移旧客户端时先关闭旧实例，尤其要防止旧程序仍占用监听端口或继续改写系统代理。备份配置时将订阅地址视为敏感信息：其中的 token 可能代表访问权限，公开截图应遮住完整地址、用户标识和服务端凭据。本文涉及的示例地址只用于说明输入位置，不能用于实际更新订阅，也不应替换掉已经确认有效的地址。

按“程序启动、订阅更新、节点测试、流量接管、出口验证”的顺序操作。每完成一层就保留结果，再进入下一层；不要一次修改内核、DNS、路由和代理模式，否则失败后难以判断是哪一步引入问题。首次使用可以沿快速上手主线完成连接，再回到本页处理平台细节。若安装尚未完成，优先解决安装；若客户端内测试成功但浏览器失败，再检查应用是否使用代理，不必立即更换全部节点。

Windows 安装与系统代理

选择桌面版或经典 WPF 版

打开Windows 下载入口，在 v2rayN 的桌面版与经典 WPF 版之间选择。桌面版采用跨平台界面，经典 WPF 版沿用 Windows 桌面界面；两者的菜单布局可能不同，不宜照着另一版的截图寻找固定坐标。按系统类型选择当前清单提供的安装入口，阅读安装提示中的环境要求。本文只按设置名称描述操作，不假定所有发行包都具有相同安装方式，也不编造某个系统版本必定可用的结论。

完成安装后以普通用户权限启动，先确认主窗口、服务器列表和日志区能正常打开。若使用的是需要解压的发行形式，应完整解压到可写目录，不要在压缩包预览窗口里直接运行。也不要只移动主程序而遗失同目录组件。应用安装目录与实际配置目录未必相同，迁移前应使用客户端提供的备份或配置管理方式确认数据位置。出现文件写入失败时先检查目录权限和安全软件记录，避免将所有失败都归因于订阅。

导入订阅并测试服务器

打开“订阅分组设置”，新增分组，填写便于识别的别名，再将完整地址粘贴到“可选地址 Url”。确认启用状态并保存，从“订阅分组”菜单执行“更新全部订阅(不通过代理)”。更新完成后选择对应分组，查看服务器是否出现；若列表仍为空，先清空搜索和过滤条件，再看日志中的更新结果。分组更新成功与节点可连接是两件事，不能只凭菜单没有报错就认为实际连接已经建立。

选择一个服务器执行“真连接延迟”测试，再将通过测试的服务器设为活动服务器。TCPing 更接近对远端端口的可达性检查，不能证明协议握手、认证和目标请求全部成功。真连接延迟也受测试地址影响，因此仍需后续验证浏览器请求。不要同时测试大量服务器后立即根据单次结果下结论；先固定一个服务器和一个测试目标，观察日志能否建立出站连接，再切换其他服务器进行对照。

设置系统代理并处理退出状态

确认内核已经运行后，在 v2rayN 的系统代理菜单选择“自动配置系统代理”。再检查 Windows 设置中的代理状态，核对地址指向本机、端口与客户端监听配置一致。系统代理只对采用该设置的应用生效，部分命令行工具、游戏或独立网络程序不会自动跟随。若浏览器有代理扩展或独立配置，应先统一代理来源，避免扩展直连规则覆盖系统设置。浏览器能打开普通网页，并不意味着请求一定通过了当前服务器。

完成出口验证后再决定是否使用 TUN。需要 TUN 时按客户端提示授予必要权限；普通系统代理连接不应为了排错而长期以管理员身份运行。若启动时报端口占用，先退出旧实例并检查其他监听程序，改端口后同步更新手动配置的应用。退出前清除系统代理，再关闭客户端；否则应用可能继续访问已停止的本地端口。休眠恢复、网络切换或更新后出现断网时，先核对系统代理和内核状态，而不是直接删除全部订阅。

macOS 安装与权限处理

按芯片选择安装入口

在“关于本机”中查看芯片或处理器信息，再进入macOS 下载入口。Apple Silicon 选择对应的 arm64 安装入口，Intel 选择 x64 入口。优先使用与机器匹配的原生包，不把兼容运行作为默认安装方法。打开下载的磁盘映像后，按包内说明将 v2rayN 放入应用程序目录，再从应用程序目录启动。不要长期直接从挂载的磁盘映像运行，否则更新、路径访问和退出后的再次启动容易产生混淆。

首次打开时先阅读系统提示。若系统因下载来源限制启动，在确认文件来源后使用系统提供的“隐私与安全性”界面处理对应提示，不要为了启动一个应用关闭整机的安全机制。遇到明确提示文件损坏、架构不匹配或无法加载组件，应重新检查下载入口、系统要求与安装过程，不要用任意终端命令强行绕过。客户端窗口能打开之后，还要确认内核能被正常启动；界面运行成功并不能代替内核运行状态检查。

建立分组并核对当前网络服务

在“订阅分组设置”中填写别名和“可选地址 Url”，保存后执行更新订阅。首次更新优先使用不通过代理的方式；如果地址必须经已有连接访问，应先确认已有连接可用，再选择通过代理更新。出现认证页面时不要将网页内容保存成订阅文件。更新后选择活动服务器并进行真连接延迟测试，确认日志没有连续的认证或握手错误。界面语言、菜单位置可能随版本变化，但订阅地址、分组和更新方式的关系不变。

需要系统代理时，让客户端自动配置代理，再进入系统设置核对当前网络服务。Wi-Fi、有线网络和其他网络服务可能具有各自的代理设置，切换网络后应确认实际使用的服务仍指向正确的本地监听端口。若客户端无法自动写入，按提示处理授权，或在明确理解端口类型的前提下手动配置。HTTP 代理端口与 SOCKS 端口不能凭名称互换；先从客户端设置确认监听类型，再填写到系统对应项目。

区分应用代理、权限与网络恢复

某个应用不跟随系统代理时，先查它是否使用独立网络设置。命令行程序也可能读取环境变量而不是系统图形设置，所以终端请求与浏览器请求不一致不一定代表节点失效。不要一边让浏览器扩展指定另一端口，一边用系统代理验证同一连接。先让测试应用使用单一来源，再比较直连与代理结果。验证出口时使用同一个目标和同一种请求方式，避免网页缓存或不同地址族造成误判。

启用 TUN 前先退出其他网络接管程序，按当前客户端的提示处理权限和组件要求，不要假设桌面界面提供开关就意味着所有运行条件已经满足。睡眠唤醒后若连接异常，先停止再启动连接，观察默认路由和 DNS 是否恢复；切换网络后重新测试活动服务器。卸载或移动应用前先关闭 TUN、清除系统代理并正常退出。若程序已经被删除而网络仍异常，应在系统设置里移除残留代理项，再检查其他网络服务，避免盲目重置整机网络。

Linux 安装与桌面环境差异

匹配架构与软件包格式

先确认发行版使用的软件包体系，再到Linux 下载入口选择 v2rayN。deb 与 rpm 对应不同的软件包管理体系，x64 与 arm64 则对应处理器架构，二者必须同时匹配。不要把能够下载解释为能够安装，也不要将一个格式简单改名为另一个格式。使用发行版图形软件安装器打开下载文件，阅读依赖与权限提示；若安装器报告依赖缺失，应通过发行版的软件源补齐，不从不明来源拼凑运行组件。

可以在终端运行下面的只读命令确认机器架构和系统标识。常见的 x86_64 对应 x64，aarch64 通常对应 arm64，但最终仍以包说明和发行版支持情况为准。安装完成后从应用菜单启动，先观察是否有显示环境、运行库或执行权限相关错误。远程终端、纯命令行服务器和普通桌面会话不是相同运行环境，本页面向桌面图形客户端，不将图形应用当作无桌面服务部署方案。

uname -m
cat /etc/os-release

导入订阅并检查桌面代理

打开“订阅分组设置”，新增分组并保存订阅地址，执行更新订阅后选定活动服务器。先做真连接延迟测试，确认内核可以完成实际请求，再处理桌面代理。若更新失败，区分是应用无法联网、订阅地址不可达还是返回内容不能识别。系统软件安装器能够联网并不能证明客户端走了同样的代理路径；二者可能使用不同环境变量和网络配置。不要在没有错误依据时反复切换软件包格式。

Linux 的系统代理并非统一的全局开关，不同桌面环境和应用对代理设置的读取方式不同。客户端自动配置系统代理后，应在当前桌面环境的网络设置中核对状态。对不读取桌面代理的应用，需要使用其自身配置或临时代理环境；先确认客户端实际监听端口和协议。下面使用本机示例端口演示一次显式 HTTP 代理请求，执行前将端口改为客户端显示的值。该测试用于隔离应用设置，不会永久修改系统代理。

curl --proxy http://127.0.0.1:10809 --head https://example.com/

处理权限、容器与退出恢复

普通桌面连接尽量使用普通用户会话。TUN 需要访问虚拟网络设备并修改路由，具体授权流程取决于当前客户端与系统，按界面说明操作；不要为省事将整个图形程序长期作为高权限进程启动。若内核日志指向设备不存在、权限不足或路由添加失败，先解决对应系统条件，再测试节点。端口已被占用则应找到占用来源，或更换监听端口并同步应用设置，而不是只不断重启内核。

容器、沙箱应用和远程会话中的 127.0.0.1 可能并不指向桌面客户端所在的网络环境。显式代理请求失败时，先确认程序与客户端是否共享网络命名空间，不要立即把监听地址改成所有网卡。确需局域网访问时，还要考虑防火墙、认证和可访问范围。注销、休眠或切换桌面后检查代理是否残留；正常退出前清除桌面代理并停止 TUN。更新应用时备份配置，安装完成后重新确认权限，而不是默认旧授权始终有效。

Android 安装与后台连接

选择 v2rayNG 或 v2flyNG

进入Android 下载入口，通常先选使用 Xray 内核的 v2rayNG；只有明确需要 V2Fly 内核并已确认协议兼容时，再选 v2flyNG。两者不是同一程序的皮肤，导入结果和可用协议能力不能完全等同。主流 arm64 设备优先选择对应安装入口，无法确定架构时再考虑通用版，并核对系统要求。不要因为通用版体积更大就认为它包含更多代理功能，架构打包方式与协议能力是不同维度。

安装时按系统提示允许当前来源安装应用，完成后可撤销该来源的安装权限。更新前保留订阅地址和必要配置，遇到签名不一致等安装冲突时先阅读提示，不要直接卸载导致本地数据丢失。安装完成后打开客户端，先导入数据，再建立连接。客户端出现服务器列表并不代表已取得网络接管权限，首次连接时仍需处理系统的 VPN 授权提示；拒绝授权后，重新点击连接并按提示确认。

导入分组并建立 VPN 连接

在 v2rayNG 中打开订阅分组相关入口，添加别名和订阅地址，保存后执行更新订阅。不同界面版本可能把更新入口放在菜单中，按“订阅分组”和“更新订阅”的名称查找。若只有单条分享链接，使用从剪贴板导入配置的入口，不要混入订阅 URL 字段。v2flyNG 的菜单名称和布局可能不同，应按其实际订阅管理入口操作，不将另一款客户端的截图位置当作必须一致的路径。

选择要使用的服务器，点击连接并接受系统 VPN 授权。出现 VPN 状态标识只表示系统已建立应用提供的网络接管通道，不代表远端认证一定成功。连接后执行客户端提供的真连接测试，或在浏览器访问固定测试目标，并查看日志。Android 的 VPN 接管与桌面系统代理不同，通常不需要再填写 Wi-Fi 手动代理；若同时保留了旧的 Wi-Fi 代理，应先检查是否指向不存在的本机端口，避免叠加配置影响判断。

处理分应用、后台与网络切换

启用分应用代理前先读清楚当前列表表示“仅代理所选应用”还是“绕过所选应用”。两种选择含义相反，选错后经常出现只有浏览器或只有某个应用无法连接。修改列表后按客户端要求重新连接，让新的选择作用于 VPN。排错阶段先关闭复杂的分应用规则，验证完整接管路径，再逐项恢复。工作资料与主用户空间可能有独立限制，不能只凭主空间中客户端显示已连接，就判断另一空间的应用一定采用了该通道。

连接在锁屏后停止时，检查应用电池策略、后台活动限制和系统的后台清理设置，按设备实际选项允许必要后台运行。不要把所有省电功能一概关闭，先观察断开时间是否与锁屏或清理动作一致。Wi-Fi 与移动网络切换后，原连接可能需要重建；先重新连接，再查看服务器地址解析和握手结果。其他使用系统 VPN 通道的应用可能与当前连接冲突，应保留单一接管来源。更换客户端时先停止旧连接，再在新客户端建立分组，避免两个应用反复争用通道。

订阅分组与更新策略

按来源保存字段与更新方式

将不同来源分别放入订阅分组，别名用于识别，不必与远端服务器名称相同。“可选地址 Url”保存完整订阅地址，保留查询参数与大小写，不在末尾附加说明文字。复制时注意聊天软件可能插入换行、空格或省略号；导入前核对首尾，而不是手工重写中间 token。订阅地址本身可能包含权限信息，备份、截图和提交问题时均应遮盖敏感部分。客户端本地分组名称不能替代远端账户权限，也不会改变服务有效期。

“更新全部订阅(不通过代理)”用于当前网络能够直接访问订阅地址的情况；“更新全部订阅(通过代理)”依赖现有可用代理路径。已有节点全部失效时，后者可能无法建立更新所需连接，形成循环依赖。应根据订阅地址的实际可达性选择，而不是把其中一种设为永远正确。更新失败时保留旧列表，先查看错误，再决定是否切换路径；不要用清空全部服务器作为第一步，否则会失去原本可用于恢复的连接。

理解自动更新、过滤与请求标识

“自动更新间隔(分钟)”控制更新检查的节奏，但实际触发还受客户端运行状态、定时器和网络条件影响，并不等于服务端保证按时推送。先手动更新成功，再设置符合提供方限制的间隔，不要用极短周期反复请求。休眠或离线期间未执行更新并不一定是故障，恢复网络后可手动更新一次。禁用分组通常会影响其更新参与状态，是否保留现有服务器则应以客户端实际行为为准，操作前先做备份。

“过滤(正则)”用于筛选订阅中的服务器名称。过滤表达式不改变服务器真实性，也不能补全缺少的协议参数；表达式过严时，可能出现更新成功但列表为空。排错时先清空过滤，再确认原始订阅是否有可识别内容，之后逐步加入简单条件。“User-Agent”只在提供方明确要求或需要兼容响应格式时调整；任意模仿其他客户端可能得到无法解析的内容。记录自定义值的来源，恢复时先回到默认请求行为。

区分订阅数据与运行配置

更新订阅可能重建服务器记录，手工修改订阅生成的服务器后，下一次更新有可能覆盖修改。需要保留例外设置时，先确认客户端是否提供独立保存或自定义配置的方式，不直接把大量修订堆在可被覆盖的数据上。删除分组前阅读确认提示，辨认是否同时删除关联服务器。迁移时优先备份客户端支持的数据格式，再保存订阅地址；复制正在使用的临时运行配置，并不一定能完整恢复订阅关系、筛选和应用偏好。

下面是可独立解析的 Xray JSON 示例，仅建立本地 SOCKS 入站和直连出站，用于辨认运行配置结构，不提供远端代理连接，也不是订阅内容。不要用它替换客户端自动生成的配置来“修复节点”。实际协议、传输、安全层和服务端参数必须成套匹配。对配置层次仍有疑问时，可继续阅读Xray 与 V2Fly 内核区别，再判断客户端与协议是否兼容。

{
  "log": {
    "loglevel": "warning"
  },
  "inbounds": [
    {
      "listen": "127.0.0.1",
      "port": 10808,
      "protocol": "socks",
      "settings": {
        "auth": "noauth",
        "udp": true
      }
    }
  ],
  "outbounds": [
    {
      "protocol": "freedom",
      "tag": "direct"
    }
  ]
}

系统代理、TUN 与路由分流

先选择流量入口，再选择出站规则

把系统代理、TUN 和路由分开理解。系统代理告诉愿意读取该设置的应用把请求交给本地端口；TUN 通过虚拟网络设备接管符合条件的流量；路由规则再决定已进入内核的请求走哪个出站。三者不在同一层。“全局”通常指进入内核后的默认出站策略，不代表所有应用流量都已经被接管。因此系统代理下选择全局后，某些独立联网程序仍可能直连，这并不与路由设置本身矛盾。

只需要浏览器和遵循系统代理的桌面应用时，先使用系统代理，流程更容易观察与恢复。需要处理不读取系统代理的程序时，再评估 TUN。启用前记下原有代理状态，退出其他接管程序，并确认权限、虚拟设备和相关组件满足要求。不要同时打开多个客户端的 TUN，再用更改路由规则解决冲突。若启用后整机断网，应先关闭 TUN 恢复网络，再看日志，不在完全失去基础网络时继续叠加 DNS 修改。

核对 DNS、域名策略与规则顺序

路由匹配依赖客户端实际获得的目标信息。HTTP、SOCKS、TUN 和不同应用可能提供域名或仅提供 IP，不能假定所有请求都能命中域名规则。域名策略中的 AsIs 不为路由匹配额外解析域名；IPIfNonMatch 在域名规则未匹配时尝试解析，以继续匹配 IP 规则；IPOnDemand 在匹配需要 IP 的规则时按需解析。策略改变会影响解析时机，但不会自动修复不可用的 DNS 服务器。

规则顺序通常具有实际意义，先命中的规则决定处理方向。将私有地址的直连规则放在合理位置，可以避免局域网资源误走远端；但也应结合应用用途确认访问范围。geosite:cn 和 geoip:private 等写法依赖相应规则数据与内核支持，出站标签还必须与配置中已有标签一致。只复制一个“proxy”字符串而没有对应出站，不会自动创建连接。修改后查看生成配置或日志，确认规则被加载而不是仅保存于界面。

验证接管效果并保留恢复路径

验证时先固定活动服务器和测试目标，在客户端完成真连接延迟，再让浏览器请求同一类目标并检查出口。对命令行程序可以显式指定代理作为对照：显式代理成功而默认请求失败，多数应先检查应用代理来源；两者都失败再查内核、节点和路由。IPv4 与 IPv6 可能使用不同路径，出口结果不一致时先区分地址族，不直接认定所有流量都绕过代理。详细验证步骤见系统代理设置与真连接延迟测试。

恢复时按启用的逆序操作：停止 TUN，清除系统代理，再正常退出客户端。若此前手工设置了代理环境变量或应用独立代理，还要分别恢复；关闭客户端不会自动修改每个应用保存的配置。局域网设备、远程桌面和工作网络对路由变化可能更敏感，调整前应保留本地访问路径。不要为让某个应用连通就把监听地址暴露到所有网卡；需要共享代理时，应另外评估访问控制与防火墙，而不是把本机配置原样用于局域网服务。

配置常见问题与日志排错

按启动、订阅、连接逐层定位

从最早失败的一层开始排查。界面打不开时检查安装、架构和运行环境；界面正常而内核无法启动时检查日志里的端口占用、配置解析和权限；内核启动后订阅失败，再查地址、请求路径和返回内容；订阅成功但连接失败，才进入协议参数和服务器可达性排查。不要用重装替代所有判断，重装往往保留原配置，或者删除了有价值的错误现场。先保存报错原文和发生动作，再做最小修改。

日志中的错误要结合前后文看。address already in use 通常指本地监听端口被占用，不等于远端服务器拒绝连接；JSON 解析失败应定位对应字段、逗号和数据类型；未知协议或不支持的字段则需确认当前内核是否支持该配置。客户端自动生成的文件可能在重新启动时被覆盖，因此优先修正界面中的来源设置。可参照内核启动失败与配置错误排查，区分配置生成问题和运行环境问题。

区分证书、认证与网络超时

TLS 报错先检查系统时间，再核对服务端地址、SNI 和证书域名关系。连接地址与证书验证名称可以不同，但必须符合服务提供方配置，不能任意改成常见网站域名。不要把跳过证书验证作为日常解决方法，那只会掩盖名称不匹配或信任链问题。遇到 REALITY 等配置时，公钥、短标识、服务器名称及其他参数应按提供方成套导入，不能照着另一节点逐项拼接。相关背景见时间同步与 SNI 错误说明。

超时只表示某个等待过程没有按时完成，需要查看发生在域名解析、建立连接、握手还是请求目标阶段。连接被拒绝与超时也不同，前者可能意味着目标端口没有服务，后者可能与网络路径或远端响应有关。先用另一已知可用服务器对照，再比较不同网络，不连续修改所有协议参数。若所有服务器在同一时间失败，还应检查本机代理残留、DNS、公共网络登录状态和内核是否仍在运行，而不是立即认定整个订阅失效。

保留可复现信息并逐步恢复

提交问题时记录操作系统、处理器架构、客户端名称、使用的接管方式、失败动作和经过脱敏的日志片段。不要公开完整订阅地址、认证标识或包含敏感参数的配置文件。说明“更新订阅失败”还是“浏览器打不开”，比只说“不能用”更有助于定位。若只在锁屏后、网络切换后或特定应用中发生，也要写清触发条件。恢复后逐项加回过滤、分应用、DNS 和自定义路由，每次只验证一项，避免把问题重新带回。

需要按问题类型继续查阅时，进入FAQ；需要重新建立最小可用配置时，回到订阅导入步骤。完成恢复后保留一份可用设置与测试记录，下次故障先比较变化项，而不是从头重做全部配置。