V2Ray 全平台安装配置

准备工作：确认设备、配置与接管范围

区分客户端、内核和连接配置

先把三个层次分开。v2rayN、v2rayNG、v2flyNG 是负责显示节点、保存订阅和调整代理模式的图形客户端；Xray 与 v2fly 是执行协议处理、路由和连接的内核；订阅或分享链接则提供服务器地址、端口、身份信息和传输参数。安装客户端不等于已经取得可用服务器。开始前应准备有效配置，并确认提供方允许当前设备使用，避免把缺少连接资料误判成安装失败。

桌面端从 v2rayN 开始，Windows、macOS、Linux 的操作思路相近，但安装格式和权限不同。Android 首先选择使用 Xray 内核的 v2rayNG，已有配置明确要求 v2fly 时再选择 v2flyNG。不要只凭协议名称判断兼容性：同为 VLESS，传输、安全层及附加选项也可能不同。应把整套参数与所选客户端内核的支持情况一起确认，不能靠更换应用图标解决配置差异。

确认架构、系统环境和配置来源

打开系统的设备信息，记录操作系统、处理器架构以及当前网络连接方式。桌面常见的 x64 与 arm64 不能混为一谈，安装格式也不决定处理器架构。先在下载页选对平台，再选对应入口。系统兼容范围以下载页说明和安装程序实际提示为准，不要根据某篇旧文章推断所有系统都能运行。设备时间应自动同步，明显错误的日期会影响证书验证和部分协议认证。

确认拿到的是订阅地址、单节点链接还是完整配置文件。订阅地址通常是可通过网络读取配置集合的网址；单节点链接通常带有协议前缀；完整配置文件可能包含入站、出站和路由。三者应使用各自的导入入口。保存一份原始资料，复制时留意换行、尾部空格和聊天软件截断。订阅链接可能包含账户标识，截图、日志和求助内容中都应遮去这些信息。

先建立最小连接，再逐项增加功能

首次配置只启用一个客户端、一个明确选中的节点和一种接管方式。先使用桌面系统代理，或 Android 的 VPN 接管，确认浏览器能按预期访问，再增加分流、应用排除和 TUN。多个代理程序同时启动时，可能争用本地端口、覆盖系统设置或重复接管路由。故障出现后先回到这个最小状态，比同时修改订阅、内核和 DNS 更容易判断是哪一步产生影响。

理解系统代理的边界。它告诉遵循系统设置的应用使用本地代理，不保证所有程序都会采用；浏览器扩展、应用自己的代理选项和命令行环境可能另有设置。TUN 通过虚拟网络接口接收更多流量，但仍受路由、DNS、应用排除和系统权限影响。不要把“全局”理解成任何情况下所有数据都一定经过同一个出口，应结合客户端实际规则和日志验证。

最后检查不使用代理时的基础网络。若设备连登录页面都打不开，先处理无线连接、网络认证或本地 DNS，再配置客户端。记录原有系统代理和手动 DNS，尤其是单位网络或受管理设备，不应直接覆盖已有策略。测试时尽量使用同一网络、同一目标和同一种模式；每次只改一项并记录结果，后续回退才能准确，而不是靠反复重装碰运气。

Windows：安装 v2rayN 并设置系统代理

选择桌面版或经典 WPF 版

进入Windows 下载入口，优先查看 v2rayN。桌面版使用跨平台界面，经典 WPF 版保留 Windows 界面与操作习惯，两者的菜单位置可能不同，但订阅、活动节点、系统代理和路由仍是相同的配置层次。按下载页列出的系统要求选择，不要同时启动两个版本测试同一个端口。先确定要使用哪一个，再把快捷方式与工作目录对应好。

运行安装程序后，按照系统提示完成安装，并把配置保存在当前账户具有写入权限的位置。若拿到的是压缩分发内容，应先完整解压，再从解压后的目录启动，不能直接在压缩文件预览窗口中运行。需要运行时组件时，先核对系统提示及下载页说明，不要从不明弹窗获取组件。首次启动遇到安全提示，应确认文件来源与系统提示内容，不要关闭整套系统防护。

导入订阅并确定当前节点

在主窗口找到订阅分组管理，新增分组，填写便于识别的名称和完整订阅地址，保存后执行更新。添加地址只建立了订阅记录，通常还需要主动更新才能得到节点。更新成功后在该分组中选择一个节点，使用设为活动服务器或含义相同的操作确认。仅高亮一行不一定等于已经切换，需观察活动标识，并留意日志中是否加载了对应配置。

先启动内核，再启用系统代理。使用自动配置方式时，确认所选的是客户端提供的系统代理选项，而不是在 Windows 中填写远端服务器地址。系统代理指向的是本机监听入口，远端连接由内核处理。打开系统代理设置，可以核对地址是否为本地回环地址、端口是否与客户端一致。这里不应照抄别人的固定端口，实际数值应来自当前客户端设置。

按应用验证系统代理与 TUN

用遵循系统代理的浏览器打开测试页面，观察是否出现新的连接记录。若浏览器正常而某个应用失败，先检查该应用是否有独立代理设置、扩展或自带网络选项；不要立即更换节点。程序明确支持手动代理时，可按客户端实际监听协议填写 HTTP 或 SOCKS 入口，避免把 SOCKS 端口当成 HTTP 端口。验证完成后只保留一种清楚的应用代理配置。

需要接管不遵循系统代理的应用时，再考虑 TUN。保存已有配置，按客户端提示授予管理虚拟网卡或路由所需权限，然后启用该功能。首次测试不叠加额外的第三方 VPN 和手动路由。TUN 成功启动后，应能看到相关接口或启动日志；开关显示开启却出现权限错误，不能视为已经接管成功。具体步骤可结合TUN 模式说明核对。

处理 Windows 特有的启动与退出问题

启动失败先查看是否已有另一个实例占用了监听端口。关掉重复实例后再启动；若仍失败，到日志中寻找端口占用、配置解析或组件缺失的具体提示。安装目录位于受保护位置、配置文件被同步软件占用，也可能造成保存失败。此时应检查目录权限和文件状态，不要通过长期以管理员运行掩盖所有问题，更不要删除尚未备份的订阅资料。

正常退出前先关闭 TUN、清除由本客户端设置的系统代理，再结束程序。异常关机后若网页全部打不开，检查 Windows 是否仍指向已经停止的本地代理；恢复为原先设置后重新启动客户端。开机自启应在手动连接稳定后再打开，并分别检查登录后启动和提权提示。睡眠唤醒后出现异常时，先重启接管功能并复查网络，不必重新导入整份订阅。

macOS：按芯片安装并核对网络服务

识别芯片并完成应用安装

打开系统的关于本机信息，先辨认显示的是 Apple 芯片还是 Intel 处理器，再到macOS 下载入口选择 v2rayN。Apple Silicon 对应 arm64，Intel 对应 x64；不要仅凭设备购买年份判断。架构选错可能造成无法运行或引入额外兼容层，排错时会增加变量。下载页提供两种入口时，应选择与本机原生架构一致的一项，而不是把两份应用同时安装测试。

打开磁盘映像后按提示把应用放入应用程序目录，再从目标位置启动。不要长期从挂载的映像中运行，否则升级、快捷入口和权限定位可能混乱。首次打开时按系统提示确认应用来源；如果系统阻止启动，查看隐私与安全性中与这次操作对应的提示，确认来源后按系统允许的流程处理。不要使用关闭系统整体安全机制的命令来绕开原因不明的阻止。

导入资料并检查系统代理作用位置

打开 v2rayN 的订阅管理，新增分组并填写完整地址，保存后更新。节点出现后明确设为活动节点，再启动代理。若配置可以导入但内核无法启动，先检查日志中的协议、安全层和传输错误；导入成功只说明客户端识别了资料，不保证所选内核支持其中所有选项。跨设备迁移时也要确认没有误用只适合另一套环境的自定义配置文件。

启用系统代理后，进入系统网络设置，检查当前正在使用的网络服务。无线网络、以太网和其他网络服务可能分别保存代理选项；切换连接方式后，原先的设置不一定继续作用于新服务。核对本地地址、端口和协议，不要把服务器域名直接填入本地代理位置。单位网络若已有自动代理脚本，应先记录原设置，避免把既有访问路径覆盖后无法恢复。

浏览器测试通过后，再测试需要使用的应用。某些应用会保持自己的代理设置，某些终端程序只读取环境变量，不能因为系统代理已打开就认定所有程序已经采用。排错时先临时关闭浏览器代理扩展，并在同一目标上比较默认设置与应用独立设置。若只有一个应用异常，应优先检查它的网络选项，而不是反复修改整个系统的 DNS。

启用 TUN 并处理权限、网络切换

需要更广的流量接管时，可使用客户端实际提供的 TUN 功能。先保存配置，按当前界面的权限引导操作，再观察虚拟接口和路由是否成功建立。不同发行形式与系统环境下，辅助组件或权限提示可能不同，应以当前客户端的提示为准。不要照搬旧文章中的接口名称，也不要在不清楚用途时手动删除系统网络接口。启用后若网络中断，先关闭 TUN 恢复基线。

从无线网络切到有线网络、热点或需要网页登录的网络时，先确认基础连接已经建立。认证页面可能要求使用当前网络直接访问，旧的代理、DNS 或路由会干扰这一过程。可先关闭接管并完成认证，再重新启用。睡眠唤醒后若内核仍在运行但连接停止，检查网络服务是否变化，随后重新建立接管；只有订阅确实过期或参数变化时才需要更新节点资料。

保存配置并保持退出路径清楚

升级应用前，通过客户端支持的方式备份订阅分组和必要设置，记录现有的路由与接管模式。程序目录和用户配置目录承担不同职责，不应把删除应用等同于清除配置。迁移到新设备时先用原始订阅重新导入，再逐项恢复自定义设置，避免直接搬入旧设备的网络路径、权限状态或接口相关参数。备份文件应保存在个人可控制的位置，不要公开分享。

退出应用后若仍无法联网，检查当前网络服务的代理页面是否保留了本地地址，并确认对应本地进程是否已经停止。按记录恢复原设置，再测试基础网络。若同时安装了企业网络工具，应遵循设备管理要求，避免自行改写受管理策略。长期使用时保留一个明确的启停顺序：先建立网络，再启动内核，最后启用接管；退出时反向执行，便于发现残留设置。

Linux：选择软件包并区分桌面代理与 TUN

按发行版和架构选择安装入口

进入Linux 下载入口选择 v2rayN。先在系统设置或设备信息中确认发行版与处理器架构，再选择软件包。deb 常用于 Debian、Ubuntu 及相关发行版，rpm 常用于采用对应包管理体系的发行版；两者不是可以随意替换的压缩格式。桌面常见 x64，部分设备使用 arm64，必须同时满足包格式与架构两个条件。不要仅凭文件扩展名判断能否安装。

优先通过系统的软件安装器完成本地包安装，让包管理工具处理依赖关系和安装记录。若提示依赖不满足，先查看具体组件与系统版本，再判断当前环境是否在支持范围内。不要强行忽略依赖继续安装，也不要为运行一个客户端随意替换系统基础库。安装后从应用菜单启动；若桌面入口没有立即更新，可重新登录桌面会话，再检查安装是否确实完成。

以普通用户配置订阅和本地入口

先使用日常账户运行客户端，导入订阅并更新节点，再选定活动节点。订阅和界面配置通常属于当前用户，长期用高权限账户启动可能把文件写成普通用户无法修改的状态，造成下次保存失败。遇到设置无法持久保存时，先检查配置目录的所有者和写入权限，而不是再次提高权限运行。需要迁移配置时先备份，再使用客户端支持的导入方式恢复。

Linux 的桌面代理不是所有进程统一遵循的开关。不同桌面环境可能使用不同设置机制，浏览器、软件商店、终端和后台服务又可能分别读取系统设置、环境变量或自己的配置。先让一个明确支持系统代理的浏览器完成测试，再逐个确认其他应用。终端窗口在修改环境后可能需要重新打开；已运行的服务也不会自动继承后来在桌面会话中改变的变量。

按客户端引导配置 TUN 权限

准备启用 TUN 时，先确认客户端在当前 Linux 环境提供了对应功能，并阅读界面中的授权要求。虚拟网络设备和路由修改通常需要额外权限，但这不意味着图形界面应始终以高权限运行。优先采用客户端支持的辅助服务或授权流程。不要把其他发行版的权限命令直接复制到当前系统，也不要为省去提示而给整个应用目录过大的访问权限。

启动后检查日志，确认虚拟接口确实创建、路由确实添加，再验证应用流量。系统自身的 DNS 管理器、网络管理服务和客户端 DNS 设置可能同时存在，谁接收查询、谁提供上游需要分清。只有域名访问失败而直接网络连接正常时，先观察 DNS 相关错误，不要把所有问题都归为服务器不可用。修改解析配置前记录原状态，停止客户端后也应能够恢复正常解析。

处理端口、桌面会话与网络管理冲突

本地端口占用是常见启动失败原因。若另一个用户会话、旧实例或其他代理工具已经监听同一端口，新实例可能无法建立入口。优先结束不再需要的实例；确实要改端口时，应同步修改所有手动指向该端口的应用。不要只改客户端一端，否则浏览器仍连接旧入口。防火墙规则也应按实际需要检查，本机使用通常不需要把代理监听开放给整个局域网。

图形界面无法打开与网络无法连接是两类问题。显示服务、桌面会话或界面依赖异常时，应先解决应用启动；内核能够运行但流量不通时，再检查配置和网络路径。不要把没有桌面环境的远程系统当作同样的图形使用场景。本手册以图形客户端为主，不要求为排错额外建立独立后台代理服务，以免同一机器出现两套来源不清的路由设置。

设置开机启动前，先验证普通登录后的手动流程。自启动任务、用户服务和系统服务运行的账户及环境并不相同，桌面中可用的路径不一定适用于后台。更新软件后检查自启动入口是否仍指向有效位置；正常退出时关闭 TUN 并恢复代理。若异常退出后联网失败，先对照原网络管理配置恢复基线，再重新启用客户端，不要直接清空整套防火墙或系统路由。

Android：安装客户端并管理 VPN 接管

选择 v2rayNG 或 v2flyNG

从Android 下载入口开始，优先选择 v2rayNG，它使用 Xray 内核；需要 v2fly 内核时再考虑 v2flyNG。两款应用是不同客户端，订阅、路由和应用排除等设置不应假定会自动共享。主流较新的手机通常可先查看 arm64 入口，设备较旧或架构不明时查看通用版说明。最终应以设备支持的架构和安装提示为准，不能仅按手机外观判断。

安装前允许当前下载来源进行应用安装，只给实际使用的浏览器或文件管理器授予必要权限。安装完成后可关闭不再需要的来源授权。遇到解析失败、无法安装或与已安装应用冲突时，先检查文件是否适用于当前设备及已有应用的安装来源。不要直接卸载后重装，因为卸载可能清除配置；先保存订阅地址和必要设置，再决定是否需要迁移或重新安装。

导入订阅、选择节点并允许连接

打开应用，从菜单进入订阅分组或订阅设置，新增名称与地址，保存后返回主界面执行更新。节点出现后点选要使用的一项，再启动连接。若只是复制了单节点分享链接，应使用从剪贴板导入的对应入口；完整订阅网址不应被当成单节点内容处理。列表高亮、服务启动状态和系统 VPN 图标分别反映不同层次，测试时三者都要结合观察。

首次连接通常会显示系统 VPN 授权对话框。确认由正在使用的客户端发起后允许建立连接，这项授权用于在本机建立流量接管接口，并不代表订阅服务器已经可用。出现 VPN 标识但网页失败时，继续检查节点、DNS 和路由。Android 的这种接管方式不等同于桌面浏览器填写系统 HTTP 代理，不需要在无线网络代理页面重复填入远端节点地址。

检查应用范围和后台限制

先以默认应用范围测试，再按需要启用分应用代理。要分清“仅所选应用使用代理”与“所选应用绕过代理”两种相反含义，具体名称以当前界面为准。添加或删除应用后，按照客户端要求重新建立连接。若浏览器正常而某个应用失败，先看它是否被排除、是否处于另一用户空间，再查路由与协议，不能只因桌面端能用就认定手机设置完全相同。

多数普通使用场景下，同一用户空间通常只能保持一个活动 VPN 连接。其他 VPN、采用本地 VPN 方式工作的过滤工具或企业网络工具可能替换当前连接，造成客户端看似启动后又停止。排错时只保留一个接管工具，观察系统状态和客户端日志。受管理设备应遵循组织策略，不应为了让连接常驻而随意关闭企业管理功能或绕过系统限制。

锁屏后断连、切换应用后服务停止，往往与后台管理有关。先检查客户端是否被电池优化限制、是否允许后台数据，再复现一次锁屏过程。不要一次性关闭全机节电设置，只调整必要应用。长期驻留也不能保证网络永远连续；无线网络切到移动网络时，原连接可能需要重建。判断是否恢复应看实际访问和新连接记录，而不只看通知栏是否仍有图标。

处理网络切换和常开设置

在热点、无线网络和移动数据间切换后，先确认设备自身能联网，再检查节点连接。部分网络要求先完成网页认证，可暂时停止接管完成登录，随后重新连接。若只有移动数据失败，检查客户端和目标应用的移动网络权限；若所有网络都失败，再检查订阅有效性、时间和参数。把问题限定到某一网络，通常比连续切换多个节点更有帮助。

需要常开 VPN 或断开后阻止连接时，先理解它们的后果：服务停止、设备重启或订阅失效时，系统可能按设置限制其他网络访问。建议在普通连接稳定后再开启，并记住系统中恢复设置的位置。迁移到另一客户端前停止原服务，备份配置并核对新应用的内核能力；迁移完成后重新设置应用范围，避免沿用记忆中的规则却没有实际保存。

订阅管理：导入、更新与配置迁移

识别三种资料并选择正确入口

先看资料的形态。以 vmess://、vless:// 等协议前缀开头的通常是单节点分享链接，包含连接一台服务器所需的信息；订阅地址通常是用于获取配置集合的网址；完整 JSON 配置则可能同时描述入站、出站、DNS 和路由。应分别使用分享链接导入、订阅分组管理和自定义配置入口。文件扩展名与网址外观只能提供线索，最终还要看内容格式。

单节点链接适合临时测试或固定配置，参数发生变化后通常需要重新导入；订阅适合管理一组由提供方维护的节点，更新时读取新的内容。二维码只是承载文本的方式，扫描后仍要判断得到的是哪一种资料。不要因为链接可以在浏览器中打开，就认定它一定是客户端可解析的订阅；登录页面、错误页和账户管理页面都不是有效节点集合。

建立分组并验证更新结果

为每个来源建立独立分组，名称写清用途或设备，避免把多个来源混入一个无法追踪的列表。保存地址后手动更新一次，观察更新结果与节点是否出现。若客户端区分通过代理更新和直接更新，先选当前确实可用的路径：尚无可用节点时依赖失效代理更新会形成循环。只有证实访问订阅需要另一条已工作的路径时，再切换更新方式，而不是反复点击按钮。

更新后核对活动节点。某些客户端会尽量保留原选择，但节点被删除、改名或替换后，活动项可能改变或失效。节点名称只是显示标记，不是服务器身份的可靠证明；遇到同名项要结合分组和连接参数确认。自动更新应建立在手动更新稳定的基础上，不必设置过短间隔。频繁刷新无法修复账户到期、请求限制或内容格式不兼容，反而可能让错误信息更难区分。

定位空列表、缺项和参数不兼容

没有节点时先区分下载失败与解析失败。下载失败应检查网址完整性、网络路径、账户状态和系统时间；解析失败则检查返回内容是否为有效格式，是否包含当前内核不支持的选项。不要把订阅地址贴到公开在线工具中试读，地址中可能包含访问权限。需要求助时，仅提供已遮去主机身份信息、账户参数和凭据的错误摘要，同时说明客户端与平台。

只有部分节点缺失时，检查协议、传输与安全层组合是否受支持，也要检查客户端是否启用了筛选。协议名称相同不代表每种扩展参数都能被另一内核识别。不要为了让导入通过而随意删掉 TLS、REALITY、服务名称或路径等字段；客户端与服务器必须对这些参数达成一致。相关概念可阅读分享链接与订阅地址的区别，再回到原始资料核对。

迁移前备份，更新后验证

换设备或重装前，分别备份订阅来源、手动添加节点、路由规则和应用排除设置。订阅重新更新可以恢复来源仍提供的节点，却不一定恢复本地备注、自定义排序或已被来源删除的项目。完整配置导出也不保证跨平台直接可用，因为本地监听、文件路径、虚拟接口和权限可能不同。迁移时优先恢复连接资料，再恢复通用规则，最后调整平台专属设置。

不要直接编辑订阅生成的节点作为长期维护方案。下一次更新可能覆盖这些改动；确有必要修改时，可在客户端支持的范围内复制成独立条目，并记录改动原因。这样更新来源时不会把本地实验与原始配置混在一起。手动节点也应定期确认仍然有效，不能因为它不参与自动更新，就认为服务器参数永远不会变化。

恢复完毕后用一个节点做最小测试，确认内核启动、应用接管和域名访问，再恢复更多分组与规则。订阅中显示的备注或期限不能替代实际连接测试；客户端能够读取列表也不意味着账户仍允许建立连接。若提供方调整了格式或内核要求，先确认迁移说明，再更新客户端设置。切勿在未备份前批量删除分组，否则排错过程会失去原始对照。

模式与分流：明确流量入口和规则顺序

分开理解接管模式与路由模式

系统代理与 TUN 回答的是“流量怎样进入客户端”，全局、直连和规则分流回答的是“进入之后发往哪里”。两组开关不在同一层次。打开系统代理后，不遵循它的应用仍可能直接联网；开启 TUN 后，规则仍可能让部分流量直连。排错时先确定应用有没有进入内核，再检查命中了哪个出站，避免看到“全局”字样就忽略应用接管是否实际生效。

先用默认规则建立基线，再决定是否需要更改。全局代理适合短时排除分流因素，但不会自动修复错误服务器或解析问题；全局直连适合验证本地网络，但不代表客户端所有后台请求都没有独立设置。长期使用规则分流时，应知道默认出站、局域网处理和应用排除分别在哪里配置。不同界面的名称可能变化，操作时以实际规则内容和日志为准。

按从具体到一般的顺序组织规则

常见路由规则按顺序匹配，前面的规则已经决定出站后，后面的同类规则通常不会再改变该决定。因此特定域名、业务网络和局域网规则应放在更宽泛的规则之前。域名规则与 IP 规则并不完全等价：目标域名可能尚未解析，也可能因为应用或接管方式而只看到 IP。排错前确认内核实际获得的目标信息，不能只凭浏览器地址栏推断匹配结果。

下面是用于理解顺序的 Xray 路由片段，针对示例域名及其子域名选择代理，对常见私有地址选择直连。它不是完整客户端配置，必须合并到有相应出站标签的配置中；proxy 和 direct 必须与实际出站标签一致。图形客户端自动生成配置时，优先在其自定义规则界面设置相同逻辑，不要直接覆盖每次启动会重新生成的文件。

{
  "routing": {
    "domainStrategy": "AsIs",
    "rules": [
      {
        "type": "field",
        "domain": ["domain:example.com"],
        "outboundTag": "proxy"
      },
      {
        "type": "field",
        "ip": [
          "10.0.0.0/8",
          "172.16.0.0/12",
          "192.168.0.0/16"
        ],
        "outboundTag": "direct"
      }
    ]
  }
}

这里的 domain:example.com 用于匹配示例域名及其子域名，不能理解成任意包含该字符串的地址；私有网段规则也不包含所有特殊用途地址和 IPv6 情况。AsIs 不会仅为 IP 规则强制解析域名，因此域名目标不一定命中后面的 IP 规则。片段只表达明确的两类意图，剩余流量仍由完整配置的默认行为决定，不能当作完整分流方案直接导入。

核对规则资源、DNS 与 IPv6

使用 geosite 或 geoip 分类时，规则文件必须存在，并与当前内核支持的格式及分类名称相符。找不到分类、资源加载失败和网络连接失败是不同问题，应先看启动日志。不要在不清楚数据来源和类别含义时大量追加规则。需要系统整理时可查看路由分流配置说明，再结合自己的目标域名做少量、可解释的调整。

DNS 决定名称怎样解析，路由决定连接怎样发出，两者相互影响但不能互相替代。应用可能使用自己的加密解析，也可能先得到 IP 再发起连接；客户端看到的信息不同，域名规则效果就可能不同。开启 TUN 后应核对解析请求是否进入预期路径，以及远端解析所需连接有没有可用出站。不要一次更换所有解析器，先通过日志确认失败发生在哪个环节。

IPv6 也要作为独立路径检查。设备能取得 IPv6 地址，不等于当前节点、目标和接管规则都支持同样的连接方式。只在双栈网络异常时，可在受控测试中比较不同地址族的结果，但不应把永久关闭 IPv6 当作所有故障的通用修复。局域网打印机、文件共享和内部域名还可能要求直连，应在加入广泛规则前验证这些本地服务，避免代理配置破坏原有网络使用。

每次改动后使用同一目标重新测试，并核对命中的规则或出站日志。规则数量增加不等于准确性提高；无法说明用途的旧规则应先备份再整理。确认没有问题后再保存为长期方案，同时记录默认出站与回退方法。若只是某个应用绕过系统代理，解决入口层问题通常比添加更多域名规则有效，路由无法处理根本没有进入内核的连接。

配置排错：沿连接路径逐层定位

先分类症状，再决定检查位置

把故障写成可复现的现象：应用无法启动、订阅更新失败、内核启动失败、只有域名访问失败、只有某个应用失败，或锁屏与网络切换后断连。记录平台、接管方式、活动节点及最后一次有效改动。不要把这些现象合并成一句“不能用”，因为它们发生在不同层次。先关闭接管确认基础网络，再使用一个节点和一个应用复现，是最稳定的排错起点。

应用无法打开时先处理安装、架构、系统依赖和权限；界面正常但内核失败时检查配置解析与本地端口；内核正常而应用没有连接记录时检查系统代理、应用排除和 TUN；已有连接记录却失败时再检查目标解析、服务器和协议参数。按这个顺序处理，可以避免在程序尚未启动时就修改路由，也不会把订阅过期误当成系统权限问题。

读取日志并保留必要上下文

先看错误发生的时间，再找相邻几行，而不是只截取最后一个单词。端口占用通常指向本地进程冲突；认证或握手失败可能涉及凭据、时间、传输和安全层参数；名称解析失败则应检查 DNS 路径。日志中的超时只能说明某次操作没有在期限内完成，不直接证明是哪一端故障。结合请求目标、使用的出站和基础网络结果，才能进一步缩小范围。

需要更详细的日志时，在客户端提供的日志级别设置中临时调整。下面是 Xray 配置中合法的日志对象示例，不包含服务器信息，也不是完整连接配置。图形客户端应优先使用界面选项；直接修改自动生成文件可能在重启后失效。info 可帮助观察运行情况，若仍不足再短时启用更详细级别，问题结束后恢复，避免长期记录不必要的访问内容。

{
  "log": {
    "loglevel": "info"
  }
}

分享日志前删除订阅地址、身份参数、服务器凭据和可识别个人的路径。保留错误类别、时间顺序和必要的目标类型，通常已经足以讨论问题。不要把完整导出配置直接贴到公开页面，也不要为了方便让陌生工具读取订阅。需要更多常见问答时可查阅FAQ；补充信息应围绕当前故障层次，而不是把所有设置截图一次性公开。

区分延迟、吞吐与真实可用性

延迟测试只是诊断线索，不是连接保证。TCP 建连结果主要反映端口连接，真连接测试还会涉及代理握手与测试目标，下载测速则受到吞吐、拥塞和并发影响。某项数值低而网页打不开并不矛盾，可能是测试路径与实际应用不同。应使用相同节点、网络和目标做比较，避免把不同时间、不同协议的结果排在一起就得出稳定性结论。

只有一个目标失败时，比较其他目标是否正常，再检查该目标的解析、协议和路由。所有目标都失败时，优先检查活动节点与入口；只有一个应用失败时，优先查应用设置；只有某个网络失败时，优先查网络认证、地址族和连接限制。更详细的测试差异见延迟测试与下载测速说明。不要以重复测速代替对错误日志的阅读。

回退配置并验证恢复结果

遇到复杂故障，按相反顺序撤销最近改动：先停用新增规则，再恢复默认 DNS 与接管模式，最后才考虑重新导入连接资料。每次回退后测试同一目标并记录结果。准备重置客户端前，备份订阅、手动节点、路由和应用范围；重装不一定清除用户配置，也不一定恢复系统网络设置，因此它不是可靠的第一步排错手段。

最后保留一份已验证的最小配置与恢复记录。桌面端检查系统代理是否能清除，TUN 是否能正常关闭；Android 检查后台运行、应用范围与常开策略是否符合预期。升级前备份，升级后先做最小测试，再恢复复杂规则。需要重新走完整连接流程时返回快速上手教程，需要核对安装入口时返回客户端下载页，让安装、配置和排错各自保持清楚的边界。