VMess
VMess protocolProject V 生态中的代理协议，使用用户标识参与身份验证，实际连接还会涉及协议自身的安全参数。VMess 可以搭配不同传输方式，节点里的 WebSocket 路径与 TLS 设置并不是协议名称的一部分。连接异常时应同时检查系统时间和两端参数，不能仅凭服务器地址可达就认定配置正确。
01 / 连接参数
协议与传输
协议、传输方式与传输安全是不同层次。导入后应保留服务端给出的组合，不要只改协议名称便尝试连接。
VLESS
VLESS protocol一种轻量的代理协议，自身不承担传输内容加密，实际部署通常结合 TLS 或 REALITY 提供传输安全。用户标识、传输方式、安全设置以及可能使用的 flow 参数都需要与服务端对应。能够导入 VLESS 链接，不代表当前内核支持链接中采用的全部扩展功能。
Trojan
Trojan protocol通常依托 TLS 保护连接、通过密码进行身份验证的代理协议。配置时要分别确认密码、端口、服务器名称与证书验证设置，不能把 TLS 握手失败直接当成密码错误。它也可以配合特定传输方式使用，具体组合仍以服务端提供的配置为准。
REALITY
Transport securityXray 生态中的传输安全机制，不是与 VMess、VLESS 并列的独立节点协议。客户端通常需要对应的公钥、服务器名称和短标识等参数，并使用支持该功能的内核。排查时应逐项核对这些参数，关闭证书验证不是修复 REALITY 配置错误的通用办法。
02 / 软件层次
内核与客户端
界面负责管理，内核负责执行。遇到协议不支持、字段不识别等提示，先确认实际启动的是哪个内核。
V2Ray
Project V ecosystemProject V 生态中的网络代理工具及相关项目名称，围绕入站、出站、路由和 DNS 等模块组织网络连接。日常搜索中的“V2Ray 客户端”常泛指能管理相关配置的图形应用，并不表示所有应用都使用同一个内核。讨论兼容性时，最好同时说明客户端名称与内核名称。
V2Fly
V2Ray community / core围绕 V2Ray 持续维护的社区与内核项目，也是理解 Project V 生态时常见的名称。支持哪些协议、传输与配置字段，需要按实际内核版本确认，不能直接套用另一内核的示例。Android 上的 v2flyNG 属于采用 V2Fly 内核的图形客户端选择。
Xray
Xray-core从 V2Ray 相关代码发展而来的代理内核项目，支持 VLESS 与 REALITY 等功能，负责执行连接、路由和 DNS 配置。v2rayNG 使用 Xray 内核，但客户端界面与内核仍是两个层次。内核启动失败时，应先读启动日志中的字段或端口错误，而不是反复更新订阅。
图形客户端
Graphical client提供订阅分组、服务器选择、参数设置和系统集成界面的应用，例如桌面的 v2rayN 与 Android 上的 v2rayNG、v2flyNG。客户端会把界面选项转换为内核能执行的配置，部分功能也可能由辅助组件承担。界面菜单存在某个选项，不表示任意内核和操作系统都能以相同方式运行它。
对照三款客户端 →03 / 配置来源与测试
订阅与节点
订阅负责交付配置，测速负责观察连接。配置能导入、服务器能连通与实际访问正常，是三个需要分别验证的结果。
订阅
Subscription客户端通过一个订阅地址取得的一组服务器配置，通常保存于订阅分组中，更新时重新读取远端内容。更新成功只说明本次内容获取和解析完成，不保证每条配置都能连接。订阅地址可能带有访问凭据，分享日志或截图前应隐藏完整地址，并留意更新是否会覆盖手动修改。
查看订阅导入步骤 →节点
Server profile / node客户端中一条服务器连接配置的常见称呼，通常包含地址、端口、协议、认证信息及传输安全参数。显示名称只是备注，不能据此确认物理位置、出口归属或连接质量。选择节点后，还需要让应用流量进入客户端并匹配正确出站，单纯选中一行不会自动完成这些步骤。
TCPing
TCP connection timing通过向指定地址和端口建立 TCP 连接来估计连接耗时，主要反映目标端口在当时网络下是否可达。它不验证完整代理协议认证，也不代表远端出口能够访问测试网站。TCPing 正常而网页打不开时，应继续检查握手、路由与 DNS，不要把端口可达当成端到端成功。
真连接延迟
Real connection latency客户端经由代理向测试地址发起请求，再按自身实现记录耗时，通常比单纯测试服务器端口更接近实际访问链路。数值会受到测试目标、DNS、握手和连接复用影响，因此不同客户端或不同测试地址的结果不宜直接横比。它仍不是下载测速，选择配置时还应观察连续访问是否稳定。
区分延迟与下载测速 →04 / 出站选择
路由与分流
规则决定连接交给谁处理。查看规则时，把匹配条件、排列顺序与出站标签放在一起读。
路由规则
Routing rule根据域名、目标 IP、端口或入站等条件选择出站的规则，通常从上到下依次匹配。较宽泛的规则如果放在前面，可能让后面的精细规则没有命中机会。配置中的 outboundTag 引用已定义的出站标签，标签叫 direct 还是其他名称并不决定其功能，实际出站配置才决定行为。
分流
Split routing让不同连接按规则分别交给直连、代理或阻断等出站处理的策略，并不是一种额外代理协议。分流是否准确取决于规则顺序、可用的目标信息和 DNS 策略，不能只看当前选择的服务器。排查单个网站走错出站时，先确认规则看到的是域名还是 IP，再检查具体命中项。
查看路由配置步骤 →GeoIP
IP address sets按地区或其他类别整理的 IP 地址集合，常用于目标地址匹配，例如 geoip:cn。它依据数据文件中的地址范围判断，不直接识别域名所属公司，也不能保证与服务器的实际物理位置完全一致。使用 IP 规则时，还应确认该连接是否已经得到目标 IP，以及相关数据文件是否可用。
GeoSite
Domain name sets按类别组织的域名集合，常用 geosite:cn 这样的写法引用，适合以域名为依据进行路由。标签是否存在、具体包含哪些域名，取决于当前使用的数据文件，而不是客户端菜单名称。应用若只提交 IP 且没有可恢复的域名信息，单靠域名集合可能无法命中预期规则。
05 / 域名与目标识别
DNS 与网络
打开网页时，域名解析与内容连接可能走不同路径。定位问题要先分清是谁在解析、解析请求发往哪里。
DNS
Domain Name System将域名解析为 IP 地址等记录的系统，常见的 A 与 AAAA 记录分别提供 IPv4 和 IPv6 地址。应用、操作系统和代理内核可能各自执行解析，因此修改内核 DNS 不一定影响应用自带的加密 DNS。域名打不开而已有 IP 连接仍正常时，应先检查解析结果、查询路径与缓存，而不是立即更换协议。
FakeDNS
Synthetic address mapping给域名分配合成地址，并在后续连接到达内核时利用映射恢复目标域名的机制，返回的并非真实服务器 IP。它可以帮助保留域名信息，但必须与相应的流量接管和内核配置配合使用。启用或关闭后若应用仍缓存旧合成地址，可能暂时访问异常，此时需要检查缓存和映射是否一致。
DNS 泄漏
DNS leakDNS 查询没有按预期策略发送，而走了其他解析通道的现象，例如本应经指定出站的查询仍由系统解析器发出。是否异常要对照预设策略判断，特意保留给本地网络的解析并不自动构成问题。检查时应同时查看系统 DNS、应用自带的加密 DNS、IPv6 和 TUN 的 DNS 接管设置。
流量探测
Sniffing从连接的初始数据中尝试识别目标域名等信息，为路由提供更多匹配依据，菜单中也常保留 Sniffing 英文名称。它不等于解密通信内容，是否能够识别取决于协议及连接方式。探测所得域名用于路由还是进一步影响目标地址，要看具体内核选项，不能只根据“已开启”推断行为。
06 / 流量入口与预设
代理模式
“系统代理”描述应用接入方式，“全局代理”常描述路由策略，“TUN”则是一种流量接管方式。三者不在同一层。
系统代理
System proxy通过操作系统代理设置，引导遵循该设置的应用连接客户端的本地监听端口。部分应用使用自己的代理配置或直接建立网络连接，因此开启系统代理不代表所有应用都已接入。退出客户端后若网络异常，可检查系统是否仍保留指向已停止端口的代理设置，并通过客户端清除系统代理。
全局代理
Global routing mode通常指把已经进入客户端的流量统一交给代理出站的路由策略，具体是否保留本地网络例外取决于客户端实现。它不能自动接管那些忽略系统代理的应用，所以“全局”不等于操作系统所有连接都被覆盖。切换后应分别检查应用是否接入和出站是否改变，不要把两类问题混在一起。
TUN 模式
Virtual network interface通过虚拟网络接口接收 IP 数据包，再交给代理处理的方式，适合需要接管更多应用连接的场景。实际覆盖范围取决于权限、系统路由、DNS 与排除规则，也可能与其他虚拟网络接口产生冲突。初次配置时宜先确认普通代理连接正常，再启用 TUN，便于区分服务器问题和系统接管问题。
查看 TUN 启用步骤 →绕过大陆
Mainland China bypass preset客户端常见的分流预设，通常把匹配中国大陆域名或 IP 集合的连接交给直连，其他连接按后续规则处理。它不是实时识别网站归属的服务，实际结果受规则数据、DNS 和自定义规则影响。同名预设在不同客户端中可能包含不同例外，遇到差异应展开规则查看，而不是只对照菜单文字。