V2Ray 安装配置大全

通用准备：先分清配置层级

客户端、内核与连接参数

V2Ray 配置可以拆成三层。客户端负责图形界面、订阅管理和系统集成；内核负责读取配置、建立连接和执行路由；服务端参数描述远端地址、端口、认证与传输方式。装好客户端，只代表本地管理工具准备完成，并不自动获得可用连接。开始前，应备好合法取得的订阅地址或单条分享链接，同时确认服务是否仍在有效期内。

v2rayN 用于桌面系统，v2rayNG 是 Android 上常用的 Xray 内核客户端，v2flyNG 提供 V2Fly 内核选择。Project V、V2Fly 与 Xray 属于相关技术生态，但不能因此认定所有配置都可以互换。某项协议或传输功能能否使用，要看客户端生成配置的能力、实际启用的内核，以及服务端要求。先选匹配的组合，比反复切换开关更有效。

记录设备信息和原有网络设置

下载前先查系统类型与处理器架构。桌面系统区分 x64 和 arm64；macOS 还要确认 Apple Silicon 或 Intel。Linux 除了架构，还要看发行版使用 deb 还是 rpm 软件包。不要只凭设备外观判断，也不要把兼容层当作默认安装方案。到下载页对照平台要求；不确定界面版本时，可读客户端对比。

接着记录当前是否开着其他代理工具、企业 VPN、自定义 DNS 或网络过滤软件。第一次测试时，尽量只保留一个接管流量的程序，避免两个程序争用系统代理或虚拟网卡。先确认普通网络本身能够访问常用网站，再开始导入配置。如果基础网络已经断开，订阅更新和远端连接都会失败，此时继续修改协议参数只会增加变量。

订阅地址与分享链接不是同一类输入

以 https:// 开头的地址可能是订阅入口，也可能只是普通网页，需要以提供方说明为准。以 vmess://、vless:// 等开头的通常是单条分享链接，应从剪贴板或对应导入功能读取。不要把分享链接放进订阅 URL 栏，也不要把介绍网页当成订阅地址。二维码只是一种承载方式，扫描后仍要判断里面实际装的是哪类内容。

检查系统日期、时区和自动校时。时间明显偏差可能影响 TLS 证书验证，也可能使依赖时间的认证失败。然后选择一个容易识别的配置备注，为后续日志定位做准备。订阅地址常带有个人标识或访问令牌，截图和求助前要遮住完整地址；不要将它粘贴到陌生解析网站，也不要把含认证信息的二维码公开展示。

第一次连接的最小测试顺序

建议依次完成导入配置、选择当前服务器、启用一种代理入口、打开目标应用验证。桌面端先试系统代理，Android 先通过系统 VPN 授权建立连接；只有确认应用不读取系统代理时，再研究 TUN。每完成一步就确认结果，不同时修改路由、DNS 和内核。退出测试时也要检查系统代理是否恢复，避免把残留设置误判成基础网络故障。

Windows：安装 v2rayN

按界面与运行条件选择安装包

前往Windows 下载入口，先对照页面列出的系统要求。v2rayN 桌面版使用跨平台界面，经典 WPF 版保留 Windows 桌面交互。两者不是不同的连接服务，不需要为了获得连接同时安装。初次使用可先按下载页推荐选择；已有使用习惯时，结合界面、系统支持与运行依赖决定，具体差异见桌面版与 WPF 版说明。

本页对应的 Windows 下载入口为 x64 包，先在系统“关于”中确认设备架构。安装程序按向导完成；如果拿到的是压缩分发包，应先完整解压，再从解压后的目录启动，不要直接在压缩软件的预览窗口里运行。可写目录有助于保存日志和配置，但不要随意迁移已经使用的程序目录。若启动提示缺少运行组件，按提示补齐对应架构的依赖，不要反复下载不明运行库合集。

导入订阅并确认当前服务器

打开 v2rayN，在“订阅分组设置”中新增分组，填写便于识别的备注，并将完整订阅地址粘贴到“地址(URL)”字段。确认分组启用后保存，再执行更新订阅。第一次尚未建立连接时，可以先尝试“不通过代理”的更新入口；如果提供方明确要求特定网络路径，则按其说明处理。更新结束后检查是否实际产生配置，而不是仅看提示窗口已经关闭。

在已导入配置中选中准备使用的服务器，并将其设为当前使用项。订阅分组启用、服务器被选中和系统代理开启是三个不同动作，缺少其中一步都可能表现为“已经导入但不能使用”。如果列表为空，先回到订阅管理章节检查响应与格式；不要急着手动填入猜测的端口、标识或 TLS 参数，以免覆盖原本完整的配置。

先用系统代理，再判断是否需要 TUN

在“系统代理”中选择“自动配置系统代理”，然后关闭并重新打开测试应用。系统代理只是向支持该设置的应用提供本地代理入口，并不会强制所有进程使用它。若浏览器可用而某个独立程序仍失败，先查该程序是否有自己的代理设置。不要因一个程序不跟随，就立刻认定服务器不可用；也不要把“清除系统代理”理解成清空订阅。

需要接管不读取系统代理的应用时，再尝试“启用 Tun 模式”。该功能通常涉及虚拟网络接口、路由和较高权限，应按当前客户端提示授权。开启后先检查日志是否显示启动成功，再验证目标程序；开关亮起不等于网络链路一定建立。若失败，先关闭 TUN 恢复基础状态，检查权限、组件与其他 VPN 冲突，不要长期以提升权限作为所有问题的通用解决办法。

Windows 常见边界问题

提示端口被占用时，先退出重复运行的客户端实例，再查其他代理程序。不要不断换端口而忘记同步应用设置。防火墙弹窗应按实际使用范围授权，通常没有必要为公共网络开放入站访问；“允许来自局域网的连接”只在确有共享需求时开启。详细安装分支可参考Windows 配置常见坑，每次调整后都用同一个应用复测，保持判断条件一致。

macOS：芯片、权限与代理

先确认芯片，再完成应用安装

打开系统的“关于本机”，查看显示的是 Apple 芯片还是 Intel 处理器，然后在macOS 下载入口选择对应的 v2rayN 桌面版。Apple Silicon 对应 arm64，Intel 对应 x64。不要仅根据系统名称或购买年份判断架构；即使某个包可以通过兼容方式启动，也不代表它是最合适的选择。优先使用与硬件匹配的安装包，后续权限和组件排查会更清楚。

打开下载的磁盘映像，按窗口提示将应用放入“应用程序”目录，再从该目录启动。不要长期从挂载的映像中运行，以免升级、路径记录和权限授权变得混乱。若系统阻止打开，先确认文件来自预期下载入口，再查看“隐私与安全性”里的具体提示。只对已经确认来源的应用执行系统提供的允许操作，不建议为方便而关闭整套系统安全检查。

完成订阅配置，区分应用退出与窗口关闭

进入订阅分组设置，新增备注与地址，保存后更新订阅。若地址来自网页按钮，复制后检查开头、结尾是否夹带空格或换行，尤其注意不要把按钮文字和地址一起复制。更新成功后选择当前服务器，再测试代理。窗口关闭后，应用可能仍在菜单栏运行；真正退出前，应明确是否需要恢复系统代理，不能仅凭桌面上看不到窗口判断客户端已经停止。

macOS 的网络设置按网络服务保存，Wi-Fi、有线网络和其他接口可能有不同代理状态。若在家中配置成功，换到另一种连接方式后失效，先查看当前活跃的网络服务，而不是重新导入全部订阅。启用自动配置系统代理后，可在系统网络设置中核对实际写入的值。对于内置独立代理设置的应用，还要检查它是否选择了跟随系统，而不是沿用此前保存的地址。

系统代理与 TUN 的授权边界

第一次使用先只开启系统代理。测试浏览器可以正常访问后，再判断是否需要 TUN。TUN 可能需要系统授权、辅助组件或提升权限，具体以当前客户端支持方式为准；如果功能入口不可用，先查该构建的说明，不要照搬其他平台的服务安装方法。授权弹窗应与刚刚执行的操作相对应，来源不明的权限请求不要直接确认。

启用 TUN 后，观察是否能正常解析域名、访问局域网设备，以及在睡眠唤醒后恢复连接。若唤醒后只有部分应用失败，可以先断开并重新建立客户端连接，再检查网络服务是否切换。不要第一时间删除系统全部网络配置。存在公司 VPN 或网络扩展时，应分别测试单独启用的结果；两个工具都修改路由时，界面显示已连接也可能没有正确的流量路径。

更新、迁移和恢复连接

更新前先退出正在运行的应用，保存必要的配置备份，再替换应用文件。备份路径以客户端提供的配置目录入口为准，不猜测固定目录。迁移到另一台 Mac 时，原设备授予的系统权限未必会随文件一起迁移，新设备仍需重新确认。若退出客户端后网络异常，先检查当前网络服务是否留下指向本机的代理；恢复原值后，再逐项开启客户端功能，避免把旧状态带入新一轮测试。

Linux：软件包与桌面环境

软件包格式和处理器架构都要匹配

Linux 安装先看两个维度：发行版的软件包体系，以及设备处理器架构。在Linux 下载入口中，deb 和 rpm 是不同发行版体系的包格式，x64 和 arm64 则是架构。不要因为系统能下载某个文件，就认定可以直接安装。可从系统“关于”页面查看架构与发行版信息；仍不明确时，先查发行版的软件管理说明，不要连续尝试不同格式来碰运气。

使用桌面软件安装器打开匹配的软件包，阅读依赖和授权提示后完成安装。遇到缺失依赖，应通过发行版正常的软件源处理，不要手动删除包管理器的锁文件，也不要从不明网站拼装共享库。安装成功却没有菜单入口时，可以先重新登录桌面会话，再检查应用是否已进入软件列表。本文以图形客户端为主，不要求把桌面程序改造成后台系统服务。

导入订阅并验证本地入口

启动 v2rayN，进入订阅分组设置，填写备注和订阅 URL，保存并更新。选择当前服务器后，先验证客户端能否正常启动内核，再处理桌面代理。Linux 桌面环境和应用框架各不相同，“自动配置系统代理”是否生效，要以目标程序实际读取方式为准。某个桌面设置面板显示了代理地址，不代表所有已经启动的进程都立即接受了变化。

需要手动设置应用代理时，从客户端界面读取当前监听地址、端口与入口类型，再填写到应用中。不要把 HTTP 入口当成 SOCKS，也不要把另一台电脑的端口当作本机默认值。仅供本机使用时，监听地址保持回环范围更合适。若应用提示连接被拒绝，先检查内核是否运行、监听端口是否变化，而不是直接怀疑远端认证失败。

桌面代理、环境变量与 TUN 不要混用判断

部分图形应用读取桌面环境的代理设置，部分程序读取自身配置，还有一些命令行程序主要读取环境变量。它们是不同入口，不会自动彼此同步。因此，浏览器能访问而终端里的程序失败，并不足以证明路由规则错误。先确认待测程序使用哪一种代理机制，再给它配置正确入口；不要将所有网络行为都归因于“系统代理已开启”。

TUN 通常需要访问虚拟网络设备并修改路由，普通用户权限可能不足。若客户端提示权限错误，应按该构建提供的集成方式处理，避免将整个图形桌面长期以高权限运行。沙箱安装方式或受限制会话也可能影响网络设备访问。开启失败时先保留日志中的首个明确错误，再检查权限、系统组件和已有 VPN；反复点击开关一般不会补齐缺少的条件。

处理桌面集成与网络恢复

若托盘图标不可见，先检查桌面是否支持相应托盘扩展，不要把“没有图标”直接当作内核退出。若切换网络后 DNS 失效，应检查当前网络管理组件是否覆盖了此前设置，再按客户端支持方式恢复。不要同时手工改多个解析配置文件，因为其中一些文件可能由系统动态生成，下一次联网就会被重写，留下看似随机的故障。

更新应用前先保存配置，退出客户端，再通过同一种包管理方式升级，避免不同来源的安装覆盖彼此。卸载前清除客户端设置的系统代理，并关闭 TUN；卸载应用文件不一定会撤销桌面环境中保存的代理值。若重启后仍无法联网，先恢复原有网络配置，再重新安装和测试。保留一条能够工作的基础配置，通常比在复杂规则上继续叠加修改更省时间。

Android：导入与 VPN 授权

选择客户端与安装包架构

前往Android 下载入口，优先考虑使用 Xray 内核的 v2rayNG；明确需要 V2Fly 内核时，再选择 v2flyNG。两款客户端的界面和功能支持不应视为完全相同，不能只凭名称相近就期待所有参数原样迁移。多数较新的手机使用 arm64，但仍应以系统架构为准；无法确认时可对照下载页的通用包说明，不能用屏幕尺寸判断架构。

打开安装包时，系统可能要求允许当前浏览器或文件管理器安装未知来源应用。授权对象是发起安装的应用，不是整个系统；完成后可按需要收回该权限。出现安装失败，先查包架构、剩余存储和已有同名应用的安装来源。升级冲突时不要马上卸载，因为卸载可能清除订阅与本地配置；先使用客户端支持的备份方式保存必要数据。

从订阅、剪贴板或二维码导入

添加订阅时，打开订阅分组或订阅设置入口，填写备注与 URL，保存后执行更新。不同界面可能把更新操作放在菜单中，核心步骤仍是“先保存订阅入口，再获取配置”。若只有一条分享链接，使用“从剪贴板导入”一类功能；如果拿到二维码，扫描后核对导入项类型。不要把含二维码的截图上传到公开识别网站，里面可能直接包含完整认证信息。

导入后选中一个服务器，再点击连接按钮。首次建立连接时，Android 会显示系统 VPN 授权提示，应确认请求来自刚刚操作的客户端。授权通过后，客户端才有机会通过系统提供的虚拟网络接口接管流量。这里的 VPN 是系统接口类别，不等于已经选择了任何特定远端协议；具体连接仍由当前配置中的协议、传输和认证参数决定。

理解移动端接管方式

移动端不必照搬桌面端“自动配置系统代理”的路径。常用连接模式通过 Android VPN 服务工作，是否按应用选择范围、如何处理 DNS，以及是否绕过局域网，要看当前客户端提供的选项。首次验证建议使用默认接管范围，确认基础连接可用后再开启分应用规则。否则，很容易把某个应用未被纳入范围误判成服务器故障。

若设置了按应用代理，要明确当前模式是“仅选中应用”还是“绕过选中应用”，两者含义相反。每次修改后重新建立连接，再打开目标应用测试。系统通常只允许一个常规 VPN 服务处于活动状态，其他 VPN、广告过滤或抓包工具可能抢占入口。测试时先关闭这些工具，并检查系统是否把另一款客户端设为始终开启，避免连接刚建立就被替换。

后台限制、网络切换与恢复

如果亮屏时正常、锁屏后中断，先检查电池优化、后台运行和厂商的自启动管理。不同设备选项名称差异较大，应只给确需保持连接的客户端放宽限制，不需要全面关闭系统省电。客户端常驻通知也可能与后台服务有关，不要为了隐藏通知而停止必要服务。日志显示进程被终止，与远端握手失败是不同问题，应分别处理。

Wi-Fi 与移动网络切换后，原有连接可能需要重建，DNS 和网络访问条件也可能变化。先断开再连接，确认当前网络基础访问正常，再判断是否为订阅或服务器问题。共享热点是否转发客户端接管的流量取决于系统与设备实现，不能因为手机本身可用就认定热点设备也可用。退出前检查“始终开启 VPN”和“阻止未使用 VPN 的连接”等系统选项，避免停止客户端后所有应用都失去联网入口。

订阅管理：地址、更新与备份

先判断输入内容，再选导入入口

订阅地址的作用是让客户端请求一组配置，并在之后重复更新；分享链接通常描述一条连接。两者可能都通过复制或二维码传递，但不能因此混用输入框。收到内容后，先看其类型，再选择订阅设置或分享链接导入。完整机制与具体入口可参考分享链接与订阅地址的区别，先弄清输入是什么，往往就能避免大半解析错误。

创建订阅分组时，备注最好反映来源或用途，而不是写成难以区分的连续数字。地址保留提供方给出的完整路径与查询参数，不要自行删掉看起来很长的部分，也不要公开粘贴。若通过聊天软件复制，留意是否出现中文标点、不可见换行或地址被截断。示例 https://example.com/your-sub 仅表示字段格式，不是可获取配置的服务地址。

把更新失败拆成获取和解析两步

更新订阅包含“请求地址”和“读取返回内容”两个过程。请求超时、域名无法解析、TLS 错误属于前一类；下载到了内容却没有产生配置，则要检查内容格式与内核支持。状态码成功也可能返回登录网页、到期提示或其他文本，因此不能只看是否显示完成。客户端日志如果提供响应类型或解析原因，应优先据此判断，不要反复切换无关的路由选项。

更新走直连还是现有代理，需要根据地址的可达路径选择。刚安装时通常还没有可用代理，可以先尝试不通过代理更新；若该地址只能通过已经建立的连接访问，则需要相反选择。两种方式都失败时，先查网络与地址有效性。不要连续快速刷新，也不要为了测试把完整订阅地址发给第三方；更详细的分支见订阅更新失败与解析为空排查。

更新覆盖与本地修改要分开

订阅中的配置可能在下次更新时重新生成，直接修改其中的服务器地址、备注或高级参数，未必会长期保留。需要做对照实验时，先复制为独立的本地配置，并记录修改目的；不要把试验配置继续当成订阅原始项。更新后还要核对当前使用项是否仍存在，因为提供方可能删除、重命名或调整配置，旧选择不一定会自动映射到新条目。

自动更新适合已经确认可正常获取的订阅，但首次使用应先手动验证。若客户端支持更新间隔，按实际需要设置，不必通过频繁更新解决连接问题。更新只能取得提供方当前返回的配置，不会修复本地端口冲突，也不会自动撤销错误的系统代理。看到更新成功后，仍应检查当前服务器、代理入口和目标应用，不能把“订阅已更新”当作连接成功的证明。

备份内容与隐私边界

备份前确认导出功能包含哪些内容：有些只导出连接，有些还包含订阅地址和偏好设置，系统授权通常不能一并迁移。备份文件应放在可信的本地位置，分享给他人前删除地址、用户标识和认证字段。换设备后先导入一条配置验证，再恢复分流与其他自定义设置。若怀疑订阅已泄露，应联系提供方更换入口或凭据，单纯删除本地分组并不能使已经泄露的地址失效。

代理与分流：入口不等于出口

系统代理、TUN 和路由各管一段

系统代理告诉支持它的应用把请求交给本地监听端口；TUN 通过虚拟网络接口接收符合接管范围的流量；路由规则再决定这些请求使用哪个出站。三个概念处在不同层级，不能互相替代。打开 TUN 并不意味着所有请求都走远端，选择全局路由也不会强迫一个完全未进入客户端的应用使用代理。排查前先问“请求有没有进入”，再问“进入后去了哪里”。

第一次配置建议从客户端提供的路由预设开始。比如“绕过大陆(Whitelist)”会根据本机规则资源和实际配置进行匹配，不应理解成对每个域名都能准确判断地理位置。规则文件、DNS 结果和内核行为都会影响最终路径。先验证默认预设，再添加少量明确需求；把多份来源不同的规则直接合并，容易出现顺序覆盖和标签不匹配。

规则按顺序匹配，出站标签必须存在

路由通常按规则顺序匹配，前面的宽泛规则可能提前接住后面准备处理的流量。写规则前，先明确是按域名、目标地址、端口还是应用范围区分。下面是 Xray/V2Ray 风格的路由片段，用于说明将匹配域名交给名为 direct 的出站；它不是完整配置，必须放进已有路由结构，且本地已经存在相应出站与规则资源。

{
  "routing": {
    "domainStrategy": "AsIs",
    "rules": [
      {
        "type": "field",
        "domain": ["geosite:cn"],
        "outboundTag": "direct"
      }
    ]
  }
}

geosite:cn 引用本地 geosite 数据中的域名集合，缺少对应资源时不能凭空生效。outboundTag 是对既有出站的引用，不是写上某个英文词就会自动创建功能。客户端生成的标签可能与示例不同，应以实际配置为准。使用图形路由编辑器时，优先在编辑器中选择已有出站，避免混用其他工具导出的字段结构。

DNS 与规则匹配需要一起看

按域名匹配和按 IP 匹配的前提不同。客户端若只拿到目标 IP，某些域名规则可能没有机会参与；若先解析域名再匹配地址集合，DNS 结果又会影响命中。不要通过反复切换解析服务器来替代规则检查。先查目标请求进入客户端时携带的是什么信息，再看当前域名策略和解析路径，才能解释为何同一网站的不同请求走了不同出站。

局域网访问也要单独考虑。打印机、家庭存储和路由器管理页面通常不需要经过远端，但相关流量可能仍先进入 TUN。应使用客户端提供的局域网绕过设置或明确规则，而不是关闭所有分流。公司内网域名还可能依赖专用 DNS，直接换成公共解析器反而会失效。遇到内网异常时，先恢复原解析条件，确认名称能正确解析，再调整代理路径。

用小范围验证替代整套替换

每次只增加一条规则，记录目标、预期出站和测试结果。测试前重新建立连接，必要时重启目标应用，因为已有连接不会总是按新规则重新选路。日志里的命中信息比网页是否打开更能说明路由行为；网页可用，也可能只是走了另一条路径。确认新规则有效后再保存为稳定配置，避免把试验过程全部留在正式规则里。

若规则修改后整体不可用，先切回原预设，确认连接仍能建立，再比较新增部分。重点检查 JSON 逗号、数组结构、资源名称与标签引用，不要同时更换内核和订阅。需要理解术语时可查名词解释；只想完成首次连接则返回入门指南。高级规则的目标是把已有可用连接按需求分配，而不是替代基础网络、正确认证和有效订阅。

配置排错：按现象缩小范围

先保留现场，再按由近及远检查

出现故障时，先记下触发动作、当前网络、使用配置和第一条明确错误。不要马上清空订阅或重装客户端，那会丢掉判断线索。检查顺序建议是基础联网、系统时间、本地内核、监听入口、当前服务器、远端参数，最后才是复杂路由和 DNS。每次只改一个变量，并保留上一步结果，这样才能知道哪个修改真正起作用。

客户端界面能打开，但内核没有成功启动时，任何服务器都无法通过本地入口工作。此时重点看启动错误，例如配置字段不被接受、文件访问受限或监听端口被占用。浏览器提示本地代理连接失败，和日志中的远端握手超时不是同一层问题。先让本地服务正常监听，再测试远端，避免把所有现象都统称为“节点不通”。

握手失败与超时分别怎么查

如果日志指向认证或握手，逐项对照服务端要求：协议类型、服务器地址、端口、用户标识、TLS、传输方式，以及需要的路径和服务名。地址是连接目标，TLS 的服务器名称用于验证与握手，两者可能不同，不应凭感觉互换。WebSocket 路径和 gRPC 服务名也不能混填；大小写、前导斜杠等细节应以原始配置为准。

连接超时则先看当前网络是否能到达目标路径，是否只有某条配置失败，以及切换网络后现象是否变化。若同一订阅所有配置都失败，优先排查本机入口和共同参数；若仅某项失败，再核对该项服务状态与传输要求。不要通过关闭证书验证来掩盖 TLS 错误，应先检查系统时间、域名和配置来源。完整顺序见节点超时逐项排查。

连接建立但应用不能用

“已连接”通常只说明某个服务或接口已经启动，不等于每个应用请求都成功。若浏览器可用、其他程序失败，先查该程序的代理入口和接管范围；若只有域名失败而直接地址可达，再考虑 DNS。若 TUN 开启后普通网络也受影响，先关闭 TUN，看系统代理模式能否恢复。这个对照可以区分虚拟接口问题和远端连接问题，不必一开始就重建全部配置。

网页部分内容无法加载时，可能涉及多个域名、已有连接缓存或不同出站规则。先用干净的测试窗口复现，再看日志中失败请求的目标，不要仅围绕地址栏里的主域名修改规则。某些应用会保存自己的代理设置或长期连接，切换客户端设置后需要重启。若开启了分应用代理，还要确认目标应用是否被排除，以及排除模式是否与预期相反。

恢复、求助与后续维护

需要恢复时，先停用新增规则与 TUN，再还原系统代理和 DNS，确认基础网络正常。随后使用保存的稳定配置重新建立连接，最后逐项恢复自定义功能。升级客户端前记录可用状态并备份配置，升级后先验证基础连接，不要在同一次维护中同时迁移内核、订阅和分流方案。分开操作虽然多一步，却能保留清晰的回退路径。

向他人求助时，提供系统类型、客户端名称、实际内核、错误发生环节和脱敏日志即可。遮住订阅地址、用户标识、认证参数与个人网络信息，保留错误类型和相关设置名称。问题涉及菜单位置可返回对应平台章节，涉及格式可查订阅管理，涉及路径可查代理与分流。先把失败缩小到一个环节，再决定是否需要重新安装，通常比整套推倒重来更可靠。