疑难解答 / 配置与连接
V2Ray 常见问题
按现象查找设置入口。先确认流量有没有进入客户端，再检查路由、DNS 与远端连接。
以下操作适用于 v2rayN、v2rayNG 与 v2flyNG 的常见配置场景。不同版本的菜单名称可能略有差别，以当前界面和运行日志为准。点击问题展开答案。
首次配置请先阅读教程 →客户端、内核与接管范围
基础认知
分清客户端、服务配置与网络模式，避免在错误的层级修改参数。
V2Ray、Xray 内核和三款客户端是什么关系？
V2Ray 是 Project V 生态中的代理工具，V2Fly 延续相关内核的维护，Xray 是另一个独立发展的内核项目。内核负责协议处理、路由和网络连接，图形客户端负责导入配置、选择服务器及管理运行状态。v2rayN 用于桌面系统；Android 上的 v2rayNG 主要使用 Xray 内核，v2flyNG 使用 V2Fly 内核。能否运行某种配置，取决于客户端所带内核的版本及字段支持，不能只凭客户端名称判断。
安装客户端以后，还需要订阅或服务器配置吗？
需要。客户端是配置与连接工具，安装本身不会产生可用的远端服务。连接前需准备有权使用的订阅地址、分享链接或服务器参数，再导入对应客户端。订阅通常包含多个服务器条目及更新入口，单条分享链接通常只描述一个服务器。导入成功后仍需确认服务有效、认证信息正确、协议与传输设置受支持。不要把订阅地址发到公开讨论区；其中的访问标识可能允许他人读取整份服务器配置。
系统代理、全局路由和 TUN 模式有什么区别？
系统代理把本地代理地址写入操作系统设置，主要影响遵循该设置的应用。全局路由是客户端内部的流量分配策略，通常把已进入内核的流量交给代理出站；它不会让原本绕过系统代理的程序自动进入内核。TUN 使用虚拟网卡接收符合接管范围的 IP 流量，适用于不读取系统代理的应用。TUN 接收到的流量仍会经过路由规则，因此启用 TUN 不等于所有连接必定走远端代理。先确定接管方式，再确定分流策略。
协议可以随意切换成 VMess、VLESS 或 Trojan 吗？
不能只改客户端里的协议名称。协议、认证字段、传输方式和安全设置必须与服务端监听配置一致。VMess、VLESS、Trojan 与 Shadowsocks 的参数结构不同；同一种协议也可能搭配不同传输及 TLS 设置。若订阅已提供完整条目，应先保留来源配置，再排查兼容性。只有服务端明确提供另一套连接参数时，才新建对应条目进行测试。把一种协议当成另一种导入，通常只会造成解析失败或握手失败，而不会完成协议转换。
安装包、导入入口与权限
安装配置
先完成安装与配置导入，再处理系统代理或 VPN 授权。
Android 安装包的 arm64 与 universal 怎么选？
多数近年的 Android 设备可优先考虑 arm64，但最终应以系统支持的 ABI 为准，不能仅根据处理器宣传规格判断。部分设备使用支持 64 位的处理器，却运行 32 位系统，此时 arm64 包仍可能无法安装。universal 通常打包多个架构，体积较大，适合不确定系统架构时尝试；它并不保证兼容所有旧系统。安装提示解析失败或不兼容时，同时检查最低 Android 版本、下载是否完整，以及是否已有签名不同的同名应用。
订阅链接导入失败，应该先检查什么？
先确认复制的是订阅地址，而不是订阅管理网页、登录页面或分享说明。粘贴时去掉首尾空白，检查地址是否被聊天软件换行截断，再通过订阅分组的地址字段添加并更新。若导入的是单条分享链接，应使用剪贴板导入服务器的入口，不要放进订阅地址栏。地址可以访问但解析失败时，检查返回内容是否为客户端支持的格式；需要登录的网页、错误提示页和其他软件专用配置都不能当作节点列表。排查时保留原地址，不要随意删除查询参数。
v2rayN 和 v2rayNG 导入配置后如何开始连接？
在 v2rayN 中，先确认服务器列表已出现有效条目，再设为活动服务器，检查内核能否启动，最后按需要选择自动配置系统代理。只选中列表中的一行，不一定等于已设为活动服务器。在 v2rayNG 中，导入后选择要使用的配置，点击连接按钮，并确认 Android 弹出的 VPN 连接授权。首次授权后仍应查看运行日志是否报错。按钮显示运行只说明服务已启动，不代表远端握手成功；后续还要用实际访问及日志确认连接路径。
开启 TUN 为什么要求管理员权限或 VPN 授权？
桌面 TUN 需要创建或配置虚拟网卡、调整路由等系统操作，因此可能要求管理员权限、辅助服务或系统授权，具体取决于平台与客户端版本。v2rayN 开启失败时先阅读日志中的权限、网卡创建和路由错误，再按界面提示重新启动或授权。Android 客户端通过系统 VPN 服务接管流量，需要用户确认 VPN 权限，通常不要求 root。已有其他 VPN 运行时可能发生占用冲突。不要为了绕过授权而长期关闭系统安全功能，应先确认授权对象和错误原因。
分组管理、应用接管与规则测试
使用技巧
保留可工作的配置基线。每次只调整一类设置，再用新连接验证。
多个订阅如何分组，才能避免更新后配置混乱？
按配置来源分别建立订阅分组，为每组设置清楚的备注与更新地址，再检查该组是否启用自动更新及服务器过滤。不要把多个来源反复导入同一个临时分组，否则更新后很难判断条目来自哪里。手动修改订阅生成的服务器参数可能在下一次更新时被覆盖；确需修改时，可复制为独立的手动条目并注明用途。更新完成后确认当前活动服务器是否仍存在，必要时重新选择。分组只负责组织配置，不会自动决定该组流量使用哪套路由规则。
启用系统代理后，有些程序仍然直连怎么办？
先检查应用是否读取操作系统的代理设置。有些程序使用自己的网络栈，需要在应用内部指定 HTTP 或 SOCKS 代理；终端工具也可能需要单独设置代理环境变量。本地地址与端口必须以客户端当前设置为准，不能把 HTTP 和 SOCKS 端口混用。修改后重新启动目标应用，排除旧连接继续复用的影响。如果程序没有代理入口，再考虑 TUN，并检查它是否被进程或地址绕过规则排除。不要把某个应用直连直接判断成整个客户端失效。
路由规则调整后为什么看起来没有生效？
先确认修改的是当前启用的路由配置，并已保存、应用或重启内核。规则通常自上而下匹配，较早命中的宽泛规则会遮住后面的具体规则；域名例外应放在相关分类规则之前。随后检查 outboundTag 是否对应实际存在的出站标签，geosite 与 geoip 数据是否可用。若应用已把域名解析为 IP，域名规则未必有足够信息参与匹配，还需结合 DNS 与嗅探设置判断。测试前关闭目标应用的旧连接，再从日志确认新连接实际命中了哪个出站。
测试与求助时，怎样提供有用的日志？
先记录客户端名称、系统类型、接管模式以及复现步骤，再临时调整为适合排查的日志级别。清理旧日志后只复现一次，保留从内核启动到失败的相关片段，尤其是第一条具体错误及其前后上下文。公开日志前隐藏订阅地址、认证字段、个人目录和不宜公开的服务器地址；截图也要检查这些内容。不要只提供最后一行超时提示，因为它可能是前面配置错误的结果。问题定位后恢复日常日志级别，避免长期积累包含访问目标的详细记录。
本地网络、解析与远端连接
故障排查
先定位失败发生在哪一层。服务启动、远端连通和网站可访问是三个不同的检查点。
v2rayNG 节点连接超时，按什么顺序排查？
先停止代理，确认设备本地网络正常，并检查系统日期与时间是否准确。然后核对订阅是否仍有效，更新配置并确认当前选择的服务器没有被移除。继续对照来源参数检查地址、端口、协议、传输路径与 TLS 设置，尤其不要随意替换 serverName。用同一网络测试另一个已知有效配置，可帮助区分单个服务端问题与本地网络问题。若所有配置都失败，再检查其他 VPN、私人 DNS 和安全软件的影响。每次只改一项，保留对应日志，避免同时修改后失去判断依据。
显示已连接却无法上网，怎么区分 DNS 与路由问题？
已连接可能只表示本地代理或 VPN 服务运行。先看日志是否出现远端握手失败、解析失败或路由拒绝，再分别测试应直连和应代理的常用站点。若日志明确出现域名解析超时，检查 DNS 服务器是否可达、解析请求走哪个出站，以及是否与私人 DNS 冲突。若域名已解析但连接仍失败，应继续检查路由及远端服务，不要只反复更换 DNS。不要用直接访问 HTTPS 站点 IP 的失败来证明网络不通，因为证书和虚拟主机也会影响测试结果。
订阅以前能更新，现在更新失败怎么办？
先保留现有可用配置，不要删除整组订阅。检查地址是否过期、来源是否变更，以及返回的是访问拒绝、网络超时还是内容解析错误。若客户端提供通过代理更新的选项，可在已有可用连接时切换更新路径测试；直连与代理都失败时再确认来源服务状态。返回内容为空或变成登录网页，通常需要处理订阅权限或地址，而不是修改节点协议。排查期间关闭频繁自动重试，避免触发来源的请求限制；恢复后再启用合理的更新间隔。
退出客户端后网络异常，或提示本地端口被占用怎么办？
先检查系统是否仍指向已经停止的本地代理；若是，清除残留的手动代理设置，再确认网络恢复。若使用过 TUN，还要确认虚拟网卡接管已停止，必要时通过正常退出及重新启动恢复路由。端口被占用时，检查是否运行了重复的客户端或残留内核进程，先正常关闭多余实例。确需更换本地端口，应同步修改应用内的代理地址与端口。不要随意终止不明系统进程，也不要把本地监听地址改成所有网卡作为修复手段，以免扩大代理的可访问范围。