代理协议
先确认两端使用的协议类型。安全层与传输方式仍需单独匹配；REALITY 在此一并解释，但不是独立代理协议。
- VMess
- Project V 生态中的代理协议，使用用户标识进行认证，现代配置通常采用 AEAD。客户端与服务端的用户标识、安全参数和系统时间需要匹配；旧教程里的额外认证参数不宜直接套用。选择 VMess 后，还要继续核对传输方式与 TLS 设置，协议名相同不代表整条配置相同。
- VLESS
- 一种轻量代理协议，本身不承担数据加密，通常配合 TLS 或 REALITY 使用。配置中的用户标识、传输、安全层与 flow 需要分别核对，其中 flow 的可用性取决于两端内核和连接组合。不要把界面中的“加密：none”理解为整条链路一定未加密，应同时检查外层安全设置。
- Trojan
- 以密码认证并通常依赖 TLS 保护连接的代理协议。服务器地址、端口、密码和 TLS 服务器名称是不同字段，不能只复制密码就完成连接。遇到证书错误时，应先核对名称、证书有效期与系统时间，而不是直接关闭证书验证。
- Shadowsocks（SS）
- 通过共享密钥或密码及加密方法配置的代理协议，分享链接常以
ss://开头。传统 AEAD 与 Shadowsocks 2022 的参数和密钥要求不同，客户端是否支持也需分别确认。协议类型、加密方法与密钥必须成套匹配，不能把不同方法的配置字段混用。
- REALITY
- Xray 生态中的传输安全方案，常与 VLESS 配合使用，不是可以单独替代 VLESS 的代理协议。配置通常涉及服务器名称、公钥、shortId 与客户端指纹等参数，具体字段以当前内核和客户端界面为准。导入后仍需确认这些信息被完整保留，单看服务器地址不足以判断配置是否正确。
传输与伪装
这一层决定数据的承载与握手方式。传输名称相同，也不意味着路径、主机名和转发配置可以省略。
- TCP
- 提供可靠、有序字节流的传输层协议，许多代理连接使用它作为底层承载。客户端中的 TCP 测试通常只检查到指定端口建立连接的耗时，不验证代理认证与后续业务请求。因此，TCP 测试成功而浏览失败并不矛盾，下一步应检查协议握手、TLS 与 DNS。
- UDP
- 以数据报为单位传输，不保证交付和顺序，常用于 DNS、实时通信等场景。应用需要 UDP，不等于启用系统代理后就能自动接管这些请求；本地入口、内核、服务端与运行模式都需支持。排查时应把 UDP 与 TCP 分开测试，不能用网页访问成功替代 UDP 可用性判断。
- WebSocket（WS）
- 一种双向通信机制，可作为代理数据的承载方式，但不负责替代代理协议的用户认证。客户端中的路径、Host 与 TLS 服务器名称用途不同，需要与服务端及反向代理设置一致。即使 TLS 握手正常，路径或转发规则错误仍可能导致连接失败。
- gRPC
- 基于 HTTP/2 的远程调用框架，部分代理内核将其作为传输方式使用。配置中的服务名称需要与服务端匹配，链路中若存在反向代理，也要正确支持 HTTP/2 与相应转发。它不是代理协议，也不保证在任意网络和业务负载下都比其他传输更快。
- TLS 与 SNI
- TLS 用于连接加密与身份验证，SNI 则在握手中指示希望访问的服务器名称。实际连接地址、SNI 与 HTTP Host 可能不同，但每个字段都应按服务端要求填写，不能随意互换。证书验证应与配置中的目标名称相符；填写任意域名不能自动建立正确的安全连接。
内核与客户端
内核处理协议与路由，图形客户端负责管理与调用。界面能保存某个字段，不代表当前内核一定支持。
- Project V
- 围绕 V2Ray 等网络工具形成的项目生态概念，不是某一个桌面或移动端应用的名称。阅读文档时，应区分生态名称、内核项目与具体客户端，避免把针对内核的参数直接当作界面操作步骤。本站的配置说明围绕 v2rayN、v2rayNG 与 v2flyNG 展开。
- V2Fly
- 延续 V2Ray 项目发展的社区与内核项目，提供代理协议、传输、路由和 DNS 等能力。它与 Xray 有共同历史，但后续功能、配置格式和字段支持逐步产生差异。迁移配置时，应针对实际内核核对文档，不能因为两份文件都使用 JSON 就认为能够直接互换。
- Xray 内核
- 由 V2Ray 分出的代理内核项目，提供 REALITY 等能力，并继续发展自己的配置与协议实现。v2rayNG 使用 Xray 内核；桌面客户端的实际行为则要结合所选内核判断。某项能力是否可用取决于安装版本与参数组合，更新图形界面和更新内核也不是同一件事。
- v2rayN
- 用于管理订阅、服务器、路由与代理模式的桌面图形客户端，覆盖 Windows、macOS 和 Linux。客户端界面负责生成或组织配置，协议连接由所选内核执行。查找问题时，应同时记录界面设置与内核日志，不能只根据客户端名称推断所有协议和模式都已启用。
- v2rayNG
- 基于 Xray 内核的 Android 图形客户端，可导入订阅和分享配置，通常通过系统 VPN 接口接管应用流量。系统授权、分应用设置与后台运行限制都可能影响实际接管范围。界面显示已启动，只能说明服务已开始运行，是否能访问目标仍需用实际请求验证。
- v2flyNG
- 采用 V2Fly 内核的 Android 图形客户端，可作为对应内核生态的客户端选择。它与 v2rayNG 名称相近，但内核不同，不能据此假定 REALITY、flow 或其他扩展字段具有相同支持。选择前先确认服务端所需能力，导入后再核对客户端是否完整识别配置。
订阅与节点
订阅是配置集合的获取入口，节点是其中一条连接配置。导入、更新与测试分别解决不同问题。
- 订阅链接
- 客户端用于获取一组服务器配置的地址，更新时会重新获取并解析内容。不同客户端对订阅内容格式的支持可能不同，一个能打开的地址未必能被正确导入。链接可能携带访问凭据，应按敏感信息保管；更新通常作用于对应分组，重要手动配置宜单独保存。
- 节点／服务器配置
- 客户端列表中的一条可选连接配置，通常包含地址、端口、认证、传输和安全参数。它是逻辑配置，不必对应一台独立物理服务器，同一地址也可能提供多种连接方式。备注名称只用于辨识，不能据名称推断实际位置、性能或协议是否正确。
- 延迟
- 一次指定测试从发起到收到响应的耗时，必须结合测试方法解释。ICMP、TCP 建连和经代理访问网址测量的是不同路径与过程，不能只比较列表中的数字。测试超时也不一定说明整条配置失效，应确认测试目标是否可达，以及该测试是否经过了预期代理。
- 真连接延迟
- 客户端中通常指通过代理出站访问指定测试地址的耗时，比单纯端口探测覆盖更多连接环节。结果可能受 DNS、协议握手、TLS、目标站点和连接复用影响，具体计时方式以客户端实现为准。它不等于下载速度；比较配置时应保持测试地址与测试方法一致。
路由与 DNS
流量如何进入客户端、匹配哪条规则、由谁解析域名，是三个需要分别验证的环节。
- 路由规则与分流
- 按域名、IP、端口或其他条件，把连接送往直连、代理、阻断等不同出站。常见规则按顺序匹配，具体行为还受默认出站、域名解析策略和嗅探设置影响。界面显示的“规则模式”只代表一套选择，判断实际去向时应检查匹配顺序与内核日志。
- GeoIP
- 按地区或用途组织的 IP 地址集合，路由规则可用它批量匹配目标 IP，例如
geoip:private。它匹配的是地址，不是网站名称；域名是否先被解析会影响规则能否参与判断。数据文件需要与配置兼容，地址集合也不能精确代表服务归属或实时网络位置。
- GeoSite
- 按站点或用途整理的域名集合，用于减少逐条维护域名规则的工作，例如
geosite:cn。分类标签是否存在，取决于实际加载的数据文件，不能把教程里的任意标签视为内核固定内置。若应用只提交 IP，域名规则可能需要 DNS 映射或嗅探提供域名信息才能生效。
- 系统代理
- 修改操作系统的代理设置，让遵循该设置的应用连接客户端提供的本地代理入口。它不会自动接管所有程序，自带网络栈的应用可能忽略系统设置，UDP 也不能据此推断已被转发。关闭客户端后若网络异常，可先检查系统代理是否仍指向已经停止监听的本地端口。
- TUN 模式
- 通过虚拟网络接口接收 IP 流量，再交由代理组件处理的一种运行方式，不是新的代理协议。它通常涉及额外权限、路由与 DNS 设置，接管范围也受排除规则影响。启用后应分别检查本地网络访问、域名解析与目标应用，不能把“全局接管”理解为所有流量都必须使用代理出站。
- FakeDNS
- 向应用返回合成 IP，并由内核保存该地址与原域名的映射，以便后续连接恢复域名信息并参与路由。合成地址不是目标网站的真实地址，需要配套的流量接管与映射机制。配置不完整时，地址可能离开预期处理链路；切换模式后的旧 DNS 缓存也可能导致异常。
- DNS 泄漏
- DNS 查询偏离预先设定的解析路径，例如本应经代理处理的查询交给了本地解析器。是否构成泄漏应对照既定策略判断，主动配置的直连解析不能一概算作异常。排查需同时检查系统 DNS、应用自带加密 DNS、内核 DNS 出站与分流规则，单个检测网页的结果不足以定位原因。