V2Ray 全平台
安装配置指南

通用准备：设备、订阅与配置边界

先区分客户端、内核和服务器

客户端负责显示服务器列表、保存订阅和修改系统代理；内核负责执行协议连接、路由与本地监听。v2rayN 是桌面图形客户端，v2rayNG 与 v2flyNG 面向安卓。安装客户端并不等于已经取得可连接的服务器，还需要有效的订阅地址或完整的单条连接配置。Project V 是相关技术生态的来源，V2Fly 与 Xray 属于内核家族，不能把这些名称当成订阅服务名称使用。

配置前先确认服务器资料来自可信来源，并了解使用范围。订阅地址通常包含访问凭据，应按账号信息保管，不要提交到公共讨论区、截图或在线转换页面。若需要求助，只保留协议类型、传输方式和错误类别；服务器地址、用户标识及订阅查询参数应遮去。客户端日志同样可能记录目标域名，分享前需要逐行查看。

确认处理器架构与安装包类型

系统名称相同，处理器架构也可能不同。Windows 在“设置 → 系统 → 系统信息”查看系统类型；macOS 在“关于本机”查看芯片或处理器；安卓在系统设备信息中查看，无法确认时选通用包。Linux 可用下方命令读取架构。不要仅凭设备外观或购买年份推断，也不要把发行版名称与处理器类型混为一谈。

uname -m

系统最低要求和所需运行环境以下载页及实际安装提示为准。桌面客户端包含界面与内核等多个部分，只移动主程序可能造成资源缺失。选择安装位置时优先使用当前账号可写的目录；需要便携迁移时，应连同客户端支持的配置备份一起处理，而不是从旧目录中随意挑选几个文件覆盖新安装。

建立可复现的起点

先关闭其他代理客户端、网络加速工具和重复实例，保留一个负责接管网络的程序。记录原有系统代理、DNS 与 VPN 状态，尤其是工作设备的组织配置。初次测试不要同时启用系统代理、TUN、自定义 DNS 和大量路由规则；先用默认设置证明单条连接可用，再逐项增加功能，出现异常时才有明确的回退位置。

准备两个测试目标：一个日常可直连的网站，一个需要验证代理路径的 HTTPS 网站。浏览器成功打开网页只能证明该浏览器当前的访问链路可用，不能直接证明所有应用都被接管。还应观察客户端日志是否出现对应请求，并在关闭代理接管后比较行为。测试过程尽量使用同一个浏览器窗口，减少扩展、缓存和应用差异的干扰。

最后检查系统时间、网络是否需要网页登录，以及设备是否处于受管理网络。证书验证依赖正确时间，门户认证未完成也会让订阅更新表现为超时。先用关闭代理的普通浏览器确认基础网络，再进入对应平台章节；若只是希望尽快完成首次连接，返回使用教程即可，不必一次修改所有高级参数。

Windows：v2rayN 安装与接管

选择桌面版或经典 WPF 版

在Windows 下载区选择 v2rayN。桌面版采用跨平台界面，经典 WPF 版保留 Windows 界面体系；二者是界面实现的区别，不代表某个服务器天然只能在其中一版工作。先核对下载区提供的 x64 包是否适合设备，再按安装程序提示完成安装。若系统明确提示缺少运行环境，应安装提示要求的组件，不要从不明网站单独下载动态链接库。

首次启动若不能显示窗口，先检查任务栏通知区域是否已有实例，再查看系统是否拦截了程序。正常的系统代理测试不需要为了方便而长期以管理员身份运行。安装在受保护目录时，配置写入权限可能与普通目录不同；如果每次重启都丢失设置，应先检查目录权限和安全软件的拦截记录，而不是反复重新导入订阅。

导入订阅并选定服务器

进入“订阅分组 → 订阅分组设置”，新增分组并填写便于识别的备注，将完整订阅地址粘贴到地址字段，保存后执行“更新全部订阅(不通过代理)”。首次配置优先使用不通过代理的更新方式，因为此时尚未建立可用代理。更新完成后选择对应分组，确认主列表出现服务器，再选中其中一条设为活动服务器。

若列表没有变化，先清除搜索条件并切回“全部”查看，再读更新日志。返回内容是网页登录页、订阅已失效或地址粘贴不完整，都可能导致没有可解析的配置。单条分享链接应使用“从剪贴板导入批量 URL”等对应导入入口，不应直接当成订阅地址。配置页能保存并不表示服务器资料完整，仍需验证协议、端口和传输参数。

先使用系统代理，再考虑 TUN

选定服务器后，在“系统代理”中选择“自动配置系统代理”，路由先选“绕过大陆”。系统代理只影响遵循 Windows 代理设置的应用；部分命令行工具和应用有自己的网络配置，不会因为浏览器可访问就自动跟随。查看客户端底部本地监听信息，端口以当前设置为准，常见配置可见 SOCKS 10808 与 HTTP 10809，但不要未经核对就复制到其他应用。

需要让不遵循系统代理的流量进入客户端时，再评估 TUN。它依赖虚拟网络接口、路由与相应权限，开启时可能触发权限提示。先关闭其他 VPN 或虚拟网卡接管功能，再开启客户端的 TUN 开关；若初始化失败，检查日志里的权限、网卡或路由错误。TUN 与系统代理不是必须同时开启的组合，排错时应先单独验证一种接管方式。

端口冲突、退出与开机启动

出现端口被占用的日志时，先退出重复客户端。需要进一步查看时，可在命令提示符中使用下方命令；它只用于观察连接与进程编号，不会修改网络。结果中的进程编号应与任务管理器“详细信息”核对，不能看到占用就直接结束陌生系统进程。若必须换端口，还应同步修改手动配置该端口的浏览器、终端和其他应用。

netstat -ano | findstr ":10808"
netstat -ano | findstr ":10809"

关闭窗口可能只是最小化到通知区域，不等于退出。测试退出行为时，先在系统代理菜单选择“清除系统代理”，再从托盘菜单退出，并检查“设置 → 网络和 Internet → 代理”是否仍保留手动代理地址。只有手动启动和正常退出都稳定后，才开启开机启动；否则系统启动后客户端未运行，本地代理地址却仍被其他应用使用，会表现为浏览器突然无法联网。

macOS：架构、系统权限与代理服务

按芯片选择 DMG

打开苹果菜单中的“关于本机”，显示 Apple 系列芯片时选 Apple Silicon 包，显示 Intel 处理器时选 Intel 包。随后进入macOS 下载区获取对应的 v2rayN DMG，打开磁盘映像后将应用复制到“应用程序”，再从该目录启动。不要长期直接在磁盘映像里运行，否则更新、权限记录和应用位置可能不一致，卸载映像后入口也会失效。

首次打开若出现安全提示，应先确认下载来源与应用名称，再到“系统设置 → 隐私与安全性”查看系统提供的处理选项。不要为了启动单个应用而全局关闭系统安全保护。若提示应用架构不兼容，返回下载页重新选择包；若提示系统版本不满足要求，更新受支持的运行环境或系统，而不是通过修改包内文件绕过启动检查。

配置订阅与当前服务器

在 v2rayN 的“订阅分组”相关设置中新增分组，保存完整订阅地址，再使用不通过代理的订阅更新入口。跨平台桌面界面的按钮位置可能与 Windows 经典版不同，但流程仍是先保存分组、再请求订阅、最后选择活动服务器。更新后列表为空时，先确认当前分组与过滤条件，再查看更新结果，不要把菜单位置差异误判为订阅不兼容。

第一次连接应保留订阅提供的 TLS、服务器名称和传输参数。服务器地址负责建立网络连接，TLS 服务器名称负责证书与握手识别，两者不一定相同，不能为了让字段看起来一致而手动改成同一个值。完成导入后选择一条服务器，启用系统代理，再访问测试目标；如果失败，先回看内核日志，不要同时切换多个传输选项。

系统代理与网络服务的对应关系

macOS 的代理设置与网络服务有关。可在“系统设置 → 网络”中进入当前 Wi-Fi 或以太网服务的“详细信息 → 代理”查看实际状态。客户端执行系统代理操作时，可能要求授权；拒绝后界面设置和系统实际状态可能不同，需要重新核对。手动修改前记录原值，组织管理的代理或自动配置地址不要直接删除，应先了解设备的管理要求。

从 Wi-Fi 切换到有线网络，或在扩展坞接入后新增网络服务时，先确认当前生效的是哪个服务。浏览器可能跟随新服务的代理状态，而客户端仍在运行，这会造成“程序正常但请求未进入日志”的现象。退出客户端后若网页无法访问，检查该网络服务是否残留指向本地端口的代理；恢复时只处理本次设置，不要清空所有网络配置。

TUN 授权、休眠与网络切换

TUN 需要创建虚拟网络接口和调整路由，具体授权方式取决于客户端实现与系统环境。开启前关闭其他 VPN 接管，按客户端提示授予所需权限；授权取消、后台辅助进程未运行或路由创建失败时，应先处理初始化错误。不要把所有权限提示都理解为普通通知权限，也不要假设授予一次权限就能覆盖之后的所有安装位置变化。

从休眠恢复或切换网络后，旧连接可能失效，DNS 与默认路由也可能改变。先关闭并重新开启当前接管模式，再观察新请求是否建立；只有界面或内核确实异常时才重启应用。若更换安装位置、系统账号或恢复备份后出现权限问题，应重新核对应用所在目录和系统授权状态。保持每次只修改一个因素，通常比连续重装更容易定位原因。

迁移到另一台 Mac 时，优先迁移订阅来源和必要的路由记录，再重新确认新机器的芯片、监听端口与权限。旧设备导出的全量配置可能包含本地路径和特定网络服务信息，不宜未经检查直接覆盖。完成迁移后先测试系统代理，再单独测试 TUN，并确认正常退出能够恢复网络状态，这样才能将问题限定在某一种接管方式内。

Linux：软件包、桌面代理与权限

同时匹配架构和软件包格式

Linux 需要核对两个维度：处理器架构和发行版的软件包体系。常见 Debian、Ubuntu 系使用 deb，Fedora 等使用 rpm；x86_64 通常对应 x64，aarch64 通常对应 arm64。先用系统信息或下方命令确认，再前往Linux 下载区选择 v2rayN。不要只看文件扩展名，也不要把容器环境中的架构输出当成宿主桌面的全部系统信息。

uname -m
cat /etc/os-release

下载完成后，优先用发行版的软件安装程序打开包文件，让包管理器处理依赖和应用入口。若依赖解析失败，先阅读具体缺少的组件与系统支持范围，不要将其他发行版的库文件复制进系统目录。图形桌面客户端需要可用的桌面会话；远程纯终端环境不能仅凭安装成功就推断图形界面、托盘或系统代理集成可正常使用。

以普通用户建立可用配置

从应用菜单启动 v2rayN，先以当前普通用户保存订阅。进入“订阅分组”新增地址，使用不通过代理的更新方式，确认服务器列表生成后再选择活动项。不要为了避免权限提示而整套用超级用户运行图形程序，否则配置目录的文件归属可能变化，之后普通用户启动时又无法保存设置。遇到保存失败，应先检查用户目录是否可写。

更新前先确认基础网络可以访问订阅地址所在站点。桌面环境中的浏览器可能已经使用代理，但客户端的订阅请求不一定走同一路径，因此“浏览器能打开订阅页面”不能直接证明直连更新可行。初次导入优先用可直达的订阅来源；已有活动服务器时，才按来源要求测试通过代理更新，并分别记录两种方式的错误结果。

桌面系统代理并非进程级统一开关

Linux 各桌面环境对代理的支持不同。GNOME、KDE 的系统网络设置与终端进程的环境变量不是同一个通道，部分应用读取桌面设置，部分读取自身配置或环境变量。客户端显示已配置系统代理后，应到桌面网络设置中核对，并用实际应用测试。若终端仍直连，不应立即判定客户端故障，而要先确认工具支持哪一种代理入口。

下方命令在确认本地 HTTP 监听为 10809 后，可单独验证该端口是否能处理 HTTPS 请求。它只给这一次 curl 请求指定代理，不会设置整个终端或系统。示例使用保留的文档域名，测试实际业务时应替换成获准访问的目标。若客户端当前端口不同，先修改命令；若未安装 curl，可使用浏览器的独立代理设置进行同类验证。

curl --proxy http://127.0.0.1:10809 -I https://example.com

普通 HTTP 代理入口可通过 CONNECT 承载 HTTPS 请求，因此代理地址写成 HTTP 并不表示目标网站失去 TLS。若程序要求 SOCKS，应填写客户端实际提供的 SOCKS 端口，而不是直接换掉协议前缀却保留 HTTP 端口。不同工具对远端域名解析的处理也不同，比较测试时需要同时记录代理类型和解析位置。

TUN、路由与桌面会话

TUN 涉及设备访问、网络管理权限和系统路由，普通用户启动的客户端可能需要额外授权。应按客户端与发行版提供的方式完成授权，不要照搬来源不明的提权命令或长期赋予过宽权限。遇到启动失败，先查看是否为权限被拒绝、虚拟接口创建失败或现有 VPN 路由冲突，再决定下一步，不能把所有失败都归因于服务器。

托盘图标缺失可能只是桌面环境没有启用相应支持，不代表内核没有运行。开机启动也要区分桌面会话自启动与系统服务，两者的用户、环境变量和权限不同。先确认手动启动、切换网络、关闭接管和退出恢复都正常，再配置自启动；更新应用后复查授权与启动项，避免旧入口继续指向已移除的路径。

Android：v2rayNG 与 v2flyNG

安装包与客户端选择

在Android 下载区优先选择 v2rayNG，它使用 Xray 内核；需要 V2Fly 内核环境时再考虑 v2flyNG。两款客户端不应同时建立 VPN 连接。主流较新设备通常使用 arm64，无法确定架构时可选择通用包；通用包的意义是覆盖更多架构，并不表示其连接质量更高，也不应仅凭手机品牌决定安装哪一个。

安装下载的包时，Android 可能要求允许当前浏览器或文件管理器“安装未知应用”。仅对实际用于安装的来源授予权限，完成后可以关闭该权限。若安装失败，先检查是否存在同名旧应用、设备剩余空间和系统兼容要求。已有配置时先使用客户端的导出能力备份，避免为解决升级问题直接卸载导致订阅与自定义规则一起丢失。

订阅导入与单条配置

在 v2rayNG 的菜单中打开“订阅分组设置”，添加分组备注与订阅 URL，保存后执行订阅更新。不同构建可能将更新入口放在主界面菜单或分组菜单内，应按功能名称寻找。更新成功后返回列表，点选需要使用的服务器，确认它是当前活动项，再启动连接。只有保存分组而没有更新，并不会自动出现服务器。

单条分享链接可使用主界面的添加入口从剪贴板导入；扫描二维码则需要相机权限。剪贴板内容可能被其他应用替换，导入后应检查类型、地址和端口是否符合预期。若系统限制了后台剪贴板读取，应在客户端前台重新执行导入，不要连续反复授权无关权限。v2flyNG 的操作逻辑相近，但内核支持的具体协议选项需要单独确认。

系统 VPN 授权与应用范围

首次点击连接按钮时，系统会显示 VPN 连接请求。确认请求来自刚安装的客户端后授权；该授权用于本地 VPN 流量接管，并不表示系统自动提供了远端服务器。连接后检查系统 VPN 状态和客户端运行日志。Android 通常只允许一个 VPN 服务处于活动状态，工作配置、其他 VPN 工具或本地流量过滤程序可能与它互相替换。

安卓客户端通常通过 VPN 服务接管应用流量，不照搬桌面“自动配置系统代理”的操作。需要指定应用范围时，查看客户端的分应用代理或按应用代理设置，先理解当前是“仅代理选中应用”还是“绕过选中应用”。这两个方向相反，设置后应重新连接并分别测试列表内外的应用，不能只看勾选状态就推断范围已经正确。

后台保活、私人 DNS 与网络切换

若锁屏后断开而亮屏恢复，先检查系统对客户端的电池优化、后台运行与自启动限制。不同厂商设置名称不一致，应针对该客户端逐项查看，不必关闭全设备的省电功能。后台限制通常体现为进程被结束或 VPN 状态消失；若进程仍在但日志显示连接超时，则应转向网络切换、服务器可达性和 DNS，而不是继续调整电池设置。

Wi-Fi 切换到移动网络会更换本地地址与默认路由，旧连接可能中断。先停止再启动连接，观察新的握手是否成功；若只有某一网络失败，应记录网络类型和时间，比较同一服务器的表现。系统“私人 DNS”与客户端 DNS 不是同一个开关，两者同时修改会让排错变得困难。遇到解析异常时先记录私人 DNS 当前状态，再按单变量原则测试。

客户端的延迟测试不等同于应用的完整访问过程，某些测试方式只验证有限的连接阶段。服务器显示可测但应用仍失败时，检查分应用范围、路由与域名解析；测试失败但网页能打开时，也要考虑测试目标或测试机制本身。需要跨设备迁移时优先迁移订阅来源，安卓 VPN 权限和电池策略必须在新设备重新设置，不能从配置备份中直接继承。

订阅管理：更新、参数与配置迁移

订阅地址与服务器链接的区别

订阅地址指向一份可更新的配置集合，单条分享链接描述一个服务器，两者应进入不同的导入入口。判断时不要只看字符串长短，而要看资料来源给出的用途。把网页分享地址当订阅，常见结果是客户端取得 HTML 页面后无法解析；把单条链接填进订阅地址，也可能在更新时失败。先确认资料类型，再选择分组设置或剪贴板导入。

建议按来源或用途建立分组，并使用可识别的备注。分组数量不是越多越好，重复订阅会生成相近条目，让活动服务器和测试结果难以对应。更新后若发现条目减少，不要立即认为客户端删除了配置，应先比较订阅来源是否调整内容、账号是否到期，以及客户端当前是否隐藏了某些分组。列表过滤与订阅实际内容需要分开检查。

通过代理更新与直连更新

“更新全部订阅(不通过代理)”表示订阅请求不依赖当前活动代理链路，适合作为首次配置入口；它不保证订阅来源一定能直达。“通过代理”则需要已选定且可工作的服务器。若活动服务器本身来自已失效订阅，依赖它更新同一订阅可能形成循环，因此应保留可恢复的原始来源信息，并在基础网络允许时使用直连更新。

更新失败时分三步看：能否建立连接，返回内容是否为预期格式，解析后的条目是否可用。连接超时与返回登录页面不是同一种问题；成功解析也只说明字段可读取，不代表服务器能够完成握手。订阅地址中的特殊字符、末尾参数和大小写都可能有意义，不要为了缩短地址手动删改。复制时还要留意换行、全角标点和聊天软件附加的文字。

不要随意修整协议字段

常见字段可以分为连接目标、身份认证、传输层和 TLS 四组。地址与端口决定向哪里连接；用户标识或密码用于认证；传输类型与路径决定如何承载数据；TLS 服务器名称、ALPN 或相关安全参数参与握手。字段能否省略取决于具体协议与服务端配置，不能把另一条可用服务器的参数直接套过来，也不应根据字段名称猜测默认值。

服务器地址与 Host、TLS 服务器名称可能不同，它们承担的层级不同。出现证书名称不匹配时，应核对来源参数与系统时间，不应直接打开跳过证书验证来掩盖错误。协议可被识别也不代表内核支持其全部扩展；切换 v2rayNG 与 v2flyNG 后，尤其需要核对特定协议和传输选项，而不是只比较界面上的服务器备注。

备份与跨平台迁移

迁移优先分两层：先保留订阅来源、分组备注与必要的自定义规则，再考虑客户端提供的完整备份。不同系统的本地路径、监听端口、TUN 权限和界面配置可能不能直接复用。新设备先安装适合架构的客户端，导入订阅并完成基本连接，再逐项恢复路由和 DNS；这样能区分迁移问题与原有配置问题。

订阅更新可能重建由订阅管理的服务器条目，直接改动这些条目不一定能长期保留。需要试验参数时，可在客户端允许的情况下复制为独立测试配置，并清楚标记用途，避免之后误用。迁移完成后检查旧设备是否仍需保留授权，若订阅信息曾泄露，应在来源端更换访问凭据；单纯删除客户端里的分组不能撤销已泄露的地址。

代理、路由与 DNS：分层验证

接管入口不决定最终出口

系统代理、应用独立代理和 TUN 负责将请求交给客户端；路由规则再决定直连、代理或阻断。开启 TUN 并不等于全部目标都经远端服务器，选择“全局”路由也不等于所有应用都已被接管。这两个维度需要分别验证：先确认请求进入内核日志，再确认命中了哪个出站。不要仅凭开关颜色判断真实网络路径。

初次测试建议从系统代理与预置路由开始。v2rayN 的“路由 → 绕过大陆”适合先建立常见的直连与代理分工；“全局”可用于临时比较同一目标在不同出口下的行为。预置规则的实际内容可能随配置变化，应查看当前规则而不是只读名称。若某应用完全没有请求日志，先排查接管范围，不必急着修改域名规则。

规则顺序与匹配范围

内核路由通常按规则顺序匹配，先命中的规则决定结果。特定域名规则一般应放在宽泛规则之前，私有地址直连规则则用于避免本地服务被错误送往远端。匹配域名与匹配 IP 是不同路径：内核若只拿到地址，某些域名规则未必有机会生效；若拿到域名，是否解析后继续匹配 IP 又取决于域名策略和具体配置。

下面是 Xray 路由字段的示意片段，表达“本地私有地址直连、文档域名直连，其余 TCP 与 UDP 使用代理”的顺序。它不是可独立运行的完整配置，已有配置中必须存在名为 direct 与 proxy 的出站标签。图形客户端通常会生成内核配置，直接编辑运行目录中的临时文件可能被下次启动覆盖，应优先使用客户端的路由编辑入口。

{
  "routing": {
    "domainStrategy": "AsIs",
    "rules": [
      {
        "type": "field",
        "ip": ["geoip:private"],
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "domain": ["full:example.com", "domain:example.org"],
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "network": "tcp,udp",
        "outboundTag": "proxy"
      }
    ]
  }
}

full:example.com用于完整域名匹配，domain:example.org用于该域名及其子域名。规则标签必须与实际出站保持一致，不能直接照抄名称。需要使用 geosite 或 geoip 数据时，还要确认相应资源可读取。语法合法只代表结构能被解析，不保证规则顺序符合目标，可结合自定义路由语法与优先级逐条检查。

DNS 解析位置影响结果

DNS 负责把域名转换为地址，也影响哪些信息能用于路由判断。系统 DNS、浏览器安全 DNS、应用内部解析和客户端 DNS 可能同时存在。某个网页显示解析错误时，先确定是哪个组件发起解析；浏览器启用自己的加密 DNS 后，系统 DNS 的修改未必能影响它。也不能把“更换解析服务器”当成证书、认证或端口问题的通用修复。

FakeDNS 用虚拟地址与域名映射协助保留域名信息，常见于 TUN 或透明接管场景，但不是首次连接的必需项。启用后若某应用缓存了虚拟地址，关闭功能后可能需要重建连接或清理对应应用缓存。不了解地址映射生命周期时，先使用常规 DNS 配置；相关机制可查阅FakeDNS 工作原理，不要同时替换系统与客户端的全部解析设置。

用对照测试代替连续改参数

验证自定义规则时选一个明确目标，记录当前接管方式、路由模式与日志出站。先用预置模式确认基础连接，再添加一条规则并重新发起请求；浏览器复用的旧连接可能继续使用原路径，因此必要时关闭该站点连接后重试。若一条规则解决问题，再扩展到同类目标，避免一次导入大量规则后无法判断是哪条改变了行为。

配置常见问题：沿故障层级定位

先定位失败发生在哪一层

排错顺序固定为基础网络、客户端启动、本地监听、流量接管、远端连接、路由与应用。先关闭接管确认普通网络可用，再启动客户端查看内核是否成功运行，随后检查本地端口。只有这些都正常，才继续看服务器握手与目标网站。这样可以避免把端口冲突当成订阅问题，也避免在系统代理未生效时反复更换服务器。

建立一份简短记录：设备系统、客户端类型、使用的接管方式、出错时间，以及从启动到首次失败之间的日志。测试时只保留一个客户端和一条活动服务器，不要连续切换后再截取一张无法对应的日志。共享记录前遮去订阅地址、身份字段和敏感目标；只需保留足以辨别错误层级的信息，不必公开整个配置文件。

列表为空、启动失败与端口占用

服务器列表为空，先切回全部分组并取消筛选，再确认订阅更新是否真的成功。更新日志若提示解析失败，应检查返回内容、资料格式和地址完整性；若提示网络错误，则先看基础连接和更新请求是否经过代理。已经有服务器但内核不能启动时，重点检查配置生成错误、资源路径与端口占用，而不是继续重复更新订阅。

日志出现 address already in use，通常表示要绑定的地址或端口已被占用。先退出其他客户端与重复实例，再重新启动服务。更换监听端口也能解决部分冲突，但所有手动引用该端口的应用都要同步修改。若是 TUN 接口或路由冲突，修改 SOCKS 端口不一定有用，应回到虚拟网络与权限层面检查，两类资源不能混为一谈。

握手失败、超时与证书错误

连接超时表示在规定时间内未完成某个阶段，不自动等于服务器失效。应分辨超时发生在订阅获取、远端连接还是目标访问，再比较同一配置在另一可用网络上的表现。若所有服务器都在某一网络超时，优先查网络环境；若只有一条失败，检查该条资料和服务端状态。不要为了看到测试数字而同时修改协议、端口与传输类型。

TLS 或证书错误先检查设备日期、时间和时区，再核对服务器名称、连接地址与来源资料。认证失败则回到用户标识、密码或订阅有效期。WebSocket 路径、Host、服务名称等传输字段不一致，也可能表现为连接建立后立即断开。日志中的 warning 不必然是致命错误，应读它之后是否继续成功启动，并关联真正失败的请求。

网页能开，应用失败，或退出后断网

网页能开而应用失败，先检查该应用是否遵循系统代理、是否被分应用规则排除，以及是否需要 UDP。HTTP 代理、SOCKS 和 TUN 的覆盖范围不同，不能用一次浏览器测试证明全部协议可用。若应用请求已进入日志，再看路由出站与远端响应；若没有进入日志，就先处理入口。全局路由无法修复一个根本没有被接管的应用。

退出后断网，优先查系统是否残留本地代理，或是否启用了阻止非 VPN 连接的系统策略。先恢复本次修改的代理和接管设置，再确认客户端确实退出。不要马上重置全部网络，因为那可能同时删除工作网络、固定地址和其他必要配置。需要重启设备时，先保存错误记录；重启能清除部分临时状态，却不能解释原始原因。

恢复可用基线再逐项加回

仍无法定位时，先导出必要配置，保留订阅来源，回到一条服务器、预置路由和单一接管方式。暂时移除自定义 DNS 与新增规则，恢复后逐项加回，每次都重复同一测试。若需要重装，应先确认问题是否与用户配置有关，否则重装程序后导回同一份故障配置，现象通常不会改变。跨设备正常也只说明资料在另一环境可用，不能排除本机网络差异。

零散问题可继续查阅常见问题；需要理解具体日志字段，可阅读v2rayN 运行日志定位方法。完成排错后记录最终使用的监听端口、代理方式和路由选择，删除仅为测试创建的临时规则，再验证一次正常退出与重新启动。保留这份小型基线，比积累大量无法解释的参数更有利于后续维护。