V2Ray 全平台安装配置大全

通用准备：先分清配置与流量入口

客户端、内核和订阅各自负责什么

图形客户端负责展示服务器、管理订阅、保存设置，并调用内核运行连接。内核负责实际处理协议、传输与路由。订阅则是获取服务器配置的一种方式，本质上是一个可以返回配置内容的地址。这三层有关联，但不能互相替代。下载客户端不会自动得到可用服务器；导入订阅也不会自动让所有应用接入代理。开始前应当准备好有效配置，并明确希望哪些应用使用它。

桌面系统优先按本手册选择 v2rayN。Android 的常规入口是使用 Xray 内核的 v2rayNG，需要对应 V2Fly 配置时再考虑 v2flyNG。协议名称相同，不代表所有扩展字段都通用。尤其是 REALITY、特定流控和传输选项，应核对客户端所带内核的支持情况。服务端给出的地址、端口、用户标识和安全参数需要成套使用，不能把两条服务器配置的字段拼在一起。

确认系统、处理器与安装包形式

先在系统信息中确认处理器架构，再进入客户端下载页选择安装包。x64 通常对应常见的 Intel、AMD 桌面处理器，arm64 对应 ARM 架构设备，但不要仅凭品牌或机身外观判断。macOS 还应区分 Apple Silicon 与 Intel。Linux 除了架构，还要判断发行版使用 deb 还是 rpm。Android 不确定架构时可以选通用包，代价是包体通常更大，而不是连接能力更强。

安装前保留旧客户端的数据位置、订阅分组名称和自定义规则记录。升级与迁移不是同一件事：前者通常继续使用原有数据，后者可能创建全新的配置目录。需要备份时优先使用客户端提供的导出功能，并把导出内容保存在个人可控位置。订阅网址、用户标识及配置二维码都可能包含访问凭据，不应作为普通截图发到公开讨论区，也不要直接复制到在线格式化工具中。

建立最小可验证配置

第一次测试只保留一个客户端运行，选定一条明确可用的服务器，暂时不叠加自定义 DNS、复杂分流和多个流量接管工具。设备同时运行其他代理或虚拟网络软件时，端口、路由和 DNS 都可能互相覆盖。先退出这些程序，而不是仅关闭它们的窗口。还应确认系统日期、时区和自动对时正常；明显错误的时间可能影响安全连接验证，让问题看起来像服务器故障。

连接过程可以拆成四次确认：配置是否成功导入，内核是否正常启动，应用是否把请求交给客户端，客户端是否按规则完成连接。每次只改变其中一层，并记录改变前后的现象。比如订阅列表已经出现服务器，就先不要反复删除分组；浏览器能访问而其他应用不能时，应先检查应用入口，而不是立刻换协议。这样排查，错误范围会逐步收窄，已有的正常部分也能保留下来。

Windows：安装 v2rayN 与系统代理

选择桌面版或经典 WPF 版

进入Windows 下载入口，优先选择 v2rayN。桌面版使用跨平台界面，经典 WPF 版保留 Windows 风格的操作方式。两者的界面布局和数据存放方式可能不同，不要把某一版的截图位置当成另一版的固定入口。第一次安装选定一版完成配置即可；已有稳定使用习惯时，可以继续采用对应界面。两版都需要匹配的运行环境和内核文件，具体以安装提示为准。

运行安装程序后，按照向导选择安装位置，再从开始菜单或应用列表启动。若安装过程提示缺少运行组件，应先读清组件名称和架构，通过系统认可的安装渠道补齐，不要从不明弹窗下载同名文件。启动后看不到主窗口时，先检查任务栏托盘区域，客户端可能仍在后台运行。重复启动容易让后续的端口占用问题更难判断，因此应先确认是否已有一个实例。

普通的系统代理使用通常不需要始终以管理员身份运行。只有某些网络接管、虚拟网卡或系统级操作可能请求额外权限。遇到安全软件提示时，先确认提示对象是安装程序、图形客户端还是内核进程，再核对文件所在位置。不要为了让程序启动而长期关闭系统防护。若程序刚启动便退出，保存报错文字，检查安装是否完成、数据目录是否可写，以及安全软件是否隔离了必要文件。

添加订阅、更新并选择服务器

打开订阅分组管理，新增分组，在别名中写一个便于区分的名称，把完整订阅网址粘贴到地址栏。别名只是本地标签，不影响连接。地址中的查询参数同样属于网址的一部分，复制时不要漏掉问号之后的内容，也不要带入聊天软件自动添加的引号或换行。保存分组后执行更新订阅，等待列表产生实际条目，再选择需要使用的服务器并设为活动配置。

第一次更新建议采用当前网络能够完成的方式。部分界面提供经代理更新与直接更新两种入口；尚未建立任何可用代理时，经代理更新可能形成依赖循环。地址在浏览器中显示一段文本，并不代表客户端一定能解析；它也可能是登录页面、错误页面或另一种配置格式。更新后列表仍为空，应先看订阅相关错误，而不是在服务器编辑窗口中手填一串不明字段。

分组里原有手动调整时，更新可能重建订阅条目，因此不要默认所有本地修改都能保留。需要长期保留的特殊服务器，可以按客户端支持的方式复制到独立管理的条目，再确认不会被订阅更新覆盖。订阅导入完成后，先查看当前选中的服务器是否确实来自目标分组。分组列表里有很多条目，不等于活动服务器已经切换，最终运行的仍可能是上一次保存的配置。

启用系统代理，再决定是否使用 TUN

在系统代理菜单选择“自动配置系统代理”，让遵循 Windows 代理设置的应用把请求送到本地客户端。接着重新打开一个浏览器页面进行测试。路由模式先选客户端提供的常规预设，例如“绕过大陆”，不要同时导入来源不明的复杂规则。如果某个应用没有变化，先查它是否使用系统代理；游戏、命令行程序和部分内置网络组件可能采用自己的连接方式。

系统代理：自动配置系统代理
路由：绕过大陆
活动服务器：从已导入配置中选择
TUN：按应用需求另行启用

确有不遵循系统代理的应用需要接管时，再启用 TUN，并按提示授权。若开启后整个系统不能解析域名，先关闭 TUN，确认普通系统代理仍可用，再检查虚拟网卡、DNS 与其他网络软件冲突。退出客户端后浏览器仍不能联网时，检查 Windows 代理设置是否残留了本地地址。客户端中的“清除系统代理”用于撤销它设置的入口，不会删除订阅；“不改变系统代理”则不负责清理之前留下的设置。

macOS：芯片选择、权限与网络接管

按芯片安装并处理首次打开提示

先打开“关于本机”查看芯片信息，再到macOS 下载入口选择 v2rayN。Apple Silicon 对应 arm64，Intel 对应 x64。打开磁盘映像后，将应用复制到“应用程序”目录，再从该目录启动。不要长期直接在挂载的磁盘映像中运行，否则更新、权限记录和启动路径容易变得不一致。安装完成后可以推出磁盘映像，应用程序目录中的副本才是后续使用的对象。

首次启动如果被系统安全机制阻止，先核对下载来源和系统显示的应用名称。确认后，按当前系统提供的流程，在“系统设置”的“隐私与安全性”中查看与本次打开操作对应的提示，再选择允许打开。不同系统版本的文案和按钮位置会变化，不应通过关闭整套系统安全机制来绕过单个应用的提示。具体界面可以参照macOS 首次打开与权限说明。

应用能打开与内核能运行是两件事。图形窗口出现后，仍应检查内核启动结果以及数据目录写入权限。应用从下载目录移到“应用程序”后，如果系统再次请求网络相关权限，应根据提示对象确认后处理，而不是假定之前的授权一定适用于所有新路径。遇到重复授权或启动异常，可以先正常退出应用，再从固定安装位置重新打开，避免多个副本同时存在。

导入订阅并确认当前配置

在订阅分组中新增一项，填写别名和完整地址，保存后执行更新。订阅地址常包含访问令牌，使用剪贴板粘贴后应检查开头的协议和末尾参数是否完整。若导入的是单条配置分享链接，应使用对应的导入入口，而不是把它当作订阅网址填写。两种导入方式产生的条目可能都出现在服务器列表，但后续更新方式不同，不能仅凭列表显示相似就混用入口。

更新完成后，选定一个服务器作为活动配置，再启动连接。如果同一份订阅曾在其他设备上可用，可以用它作为比较基准，但不能据此排除平台差异：本地内核支持、系统时间、网络环境和 DNS 都可能不同。先保留订阅中的原始传输与安全字段，不要因为某个名称看不懂就改成默认值。尤其是服务器名称指示、传输路径和公钥相关选项，修改后可能直接导致握手失败。

系统代理作用于网络服务，TUN 另需权限

使用普通浏览器时，先在 v2rayN 中启用自动配置系统代理，再观察当前使用的网络服务是否得到正确设置。macOS 的代理配置与网络服务有关，Wi-Fi、有线网络及其他连接方式可能拥有不同记录。切换网络后出现“昨天能用，今天不能用”的情况，应检查当前活动服务，而不是只查看旧连接的代理页面。应用请求修改网络设置时，按系统提示完成必要授权。

如果浏览器正常，而某个应用始终直连，先检查该应用是否有自己的代理选项。需要更广泛地接管 IP 流量时可以考虑 TUN，但它可能需要额外的网络权限或辅助组件，具体以客户端实际提示为准。不要把授权窗口中的系统账户密码当成订阅密码，两者用途完全不同。启用后若局域网设备访问异常，应检查是否绕过了本地网段，以及其他虚拟网络服务是否也在改写路由。

退出前关闭连接并清除由客户端设置的系统代理，再观察普通网络是否恢复。如果客户端意外退出，而系统仍指向一个已停止监听的本地端口，浏览器会表现为无法连接代理服务器。此时可以在系统网络设置中移除残留代理，不必删除订阅重新安装。迁移到新电脑时，订阅可重新导入，系统授权却需要在新设备上重新完成；旧设备的数据备份不能代替新的系统权限确认。

Android：v2rayNG 与 v2flyNG 配置

选择客户端与安装包架构

进入Android 下载入口，常规使用优先选择 v2rayNG；需要 V2Fly 对应配置时再选择 v2flyNG。两者不是同一个应用的皮肤，内核能力和部分设置会有差异。遇到特定协议扩展时，应先核对支持范围，而不是在两个应用之间反复导入来碰运气。仅凭服务器名称里出现某个协议缩写，也无法判断全部参数是否兼容，应查看实际配置内容。

确认设备架构后选择 arm64 或通用包。近年的主流手机多为 arm64，但处理器支持某种架构，不代表系统一定开放对应应用运行环境，系统信息才是最终依据。安装器提示格式不兼容时，可以先回到下载页选择通用包，而不是反复打开同一个安装文件。系统要求授权当前文件管理器或浏览器安装应用时，只针对正在使用的来源处理，安装完成后可按个人安全习惯撤销该来源的权限。

如果设备已经装有同名应用，升级失败可能涉及签名来源、架构或系统限制。不要第一步就卸载，因为卸载通常会移除本地订阅和自定义设置。先确认原应用来源，导出需要保留的配置，并记录订阅分组。两个客户端可以分别安装，但不应同时尝试接管同一设备的 VPN 通道。测试前停止另一个客户端，也检查工作资料中的网络工具是否仍在运行。

导入订阅与启动 VPN 模式

在客户端的订阅管理中新增分组，写入名称与完整网址，保存后返回主界面执行订阅更新。若来源提供二维码，可以使用客户端的扫描入口，但要先确认二维码代表单条配置还是订阅地址。复制内容后，导入入口应与内容形式对应。二维码图片与订阅网址具有相近的敏感性，拍摄配置页面时应遮住这些内容，而不是只遮住服务器名称。

更新得到条目后，点选需要使用的服务器，再点击连接。首次启动通常会出现 Android 的 VPN 连接请求，需要用户明确允许。这个请求用于建立本地流量接管接口，不代表客户端提供了远端服务器，也不是订阅购买提示。授权后若仍立即停止，应查看客户端日志或错误信息，判断是配置解析失败、内核启动失败，还是连接建立后才发生网络错误。

需要让其他应用的流量进入客户端时，使用 VPN 模式；仅提供本地代理监听的模式则要求应用自行配置代理，适合有明确用途的场景。设备状态栏的 VPN 标识只能说明系统通道已建立，不能证明某个目标已经连通。完成连接后，应打开目标应用实际测试，再回到客户端查看对应日志。不要把“连接按钮已变色”或“系统图标出现”当成完整验证结果。

处理分应用、局域网与后台限制

分应用代理如果启用了允许名单，只有列表中的应用会进入接管范围；排除名单则相反，被勾选的应用会绕开。修改前先读清当前模式，避免把“要代理的应用”填进排除名单。调整后可能需要重新建立 VPN 连接才能生效。浏览器可以访问而某个应用不能时，先检查名单和该应用的网络权限，再检查服务器是否支持其所需的传输，不必立即重置整个客户端。

VPN 模式：接管应用 IP 流量
绕过局域网：保留本地网络访问路径
分应用代理：先确认允许名单或排除名单
Mux 多路复用：仅在明确兼容时调整

熄屏后断开、切回应用又恢复，常与后台电量管理有关。可以在系统电池设置中检查该客户端的后台运行限制，并按需要允许后台活动；不同厂商的名称会变化，不要照搬另一台手机的菜单路径。Wi-Fi 切换到移动网络后连接中断，则应先重新连接并检查当前网络可达性。若只在某个网络失败，继续检查 DNS、网络访问策略与服务端入口，不要把所有问题都归因于电池优化。

Linux：软件包、桌面代理与 TUN

按发行版和架构安装 v2rayN

Linux 使用 v2rayN 桌面客户端。先打开发行版的系统信息，确认 CPU 架构和软件包体系，再到Linux 下载入口选择对应安装包。Debian、Ubuntu 系通常使用 deb，Fedora 等系统通常使用 rpm，但具体兼容性还受发行版版本和依赖条件影响。软件包后缀只能帮助判断安装体系，不能保证所有采用同类包管理器的系统都满足运行要求。

下载后优先通过发行版的软件安装器打开，查看依赖与安装提示，再确认安装。若系统报告依赖无法满足，应保留完整错误信息，检查包架构、发行版环境和软件源状态，不要通过强制忽略依赖来得到一个表面安装成功、实际无法启动的应用。安装完成后从应用菜单启动。图形客户端适合已有桌面会话的环境；只有远程终端的服务器不能直接照搬桌面界面的操作步骤。

普通用户启动图形界面即可。用管理员身份运行整个桌面客户端可能生成属于管理员的配置文件，之后再以普通用户启动便出现无法保存设置的问题。遇到写入失败时，应确认当前应用的数据目录及文件所有者，不要直接给整个用户目录放开权限。发行版安全机制阻止某项网络操作时，也应查看具体拒绝对象，再按平台规范处理，而不是关闭整套系统访问控制。

订阅导入与桌面环境的代理差异

在订阅分组中创建记录，填写别名与地址，保存后更新，再选择活动服务器。这里的逻辑与其他桌面平台一致。更新失败时要区分客户端无法访问网址，还是下载内容不能解析；如果直接访问得到登录表单或网络认证页，应先完成当前网络的接入认证。Linux 桌面中浏览器能打开网址，而客户端不能访问，还可能涉及两个程序使用了不同的代理入口或 DNS 路径。

系统代理的覆盖范围取决于桌面环境和应用实现。某些应用读取桌面设置，有些读取自身配置，还有些命令行工具读取环境变量。v2rayN 显示自动配置系统代理已启用，不意味着所有终端程序立即采用该设置。先用明确遵循桌面代理的应用测试，确认本地监听存在后，再处理特定程序。不要为了一个终端工具的访问问题，直接修改全系统的路由和 DNS。

环境变量也有作用范围。当前终端会话里修改变量，不会自动传给已经运行的图形应用；桌面设置变化也未必会改写已有终端的环境。若目标程序支持显式代理设置，可在它自己的配置中填写客户端实际监听的本地地址、端口及协议。HTTP 代理和 SOCKS 代理不能只看端口数字相似就互换，具体监听类型应以客户端设置为准。

TUN 的权限、虚拟接口与恢复路径

需要接管不支持代理设置的应用时，再评估 TUN。它涉及虚拟网络接口、路由、DNS 和必要权限，不等于普通系统代理的增强按钮。先确认当前客户端与发行版对该模式的支持，再按客户端提示完成授权或辅助服务配置。不同发行版的权限方案不同，不建议复制一条来源不明的提权命令长期执行，也不要把其他平台的安装步骤套到当前 Linux 环境。

开启后出现断网，先关闭 TUN，再检查原有系统代理是否正常。若关闭后仍异常，可以在系统网络管理器中检查当前 DNS 和默认连接是否恢复。虚拟接口存在本身不一定是故障，关键是路由是否仍把流量送往已经停止的路径。下面两条命令只读取状态，不会修改网络设置；它们适用于采用相应网络工具的系统，缺少命令时应使用发行版提供的等效查看入口。

ip route show
resolvectl status

查看路由时，关注默认出口与虚拟接口的关系；查看 DNS 时，关注解析服务器属于哪个网络连接，不要看到多个地址就直接删除。若同时运行容器网络、虚拟机或其他 VPN，先分别停止相关接管工具，再逐个恢复，观察是哪一步引入冲突。退出客户端后，也要确认桌面代理没有残留。重装软件通常不会自动修复其他组件留下的路由，因此保留“关闭接管后恢复普通网络”的操作路径比反复重装更重要。

接管与分流：系统代理、TUN 和路由

先决定请求如何进入，再决定出口

系统代理、TUN 和路由对应三个不同的问题。系统代理告诉遵循设置的应用去连接本地代理；TUN 在网络层接收进入虚拟接口的 IP 流量；路由规则则决定已经进入内核的请求走哪个出口。所谓“全局”通常是客户端提供的路由预设，并不保证所有应用流量都已进入客户端。一个忽略系统代理的程序，即使路由切成全局，也可能仍按自己的方式直接连接。

这也是先用系统代理验证浏览器，再考虑 TUN 的原因。普通代理模式中的故障主要集中在应用入口、监听端口和服务器配置；TUN 还增加了虚拟接口、路由表、权限及 DNS 的变量。需要接管范围扩大时才增加这些变量，而不是为了得到一个看起来更完整的状态把所有开关都打开。应用已有单独代理设置时，也应确认不会与系统或虚拟网络入口形成重复接管。

理解规则顺序与数据文件

路由通常按规则顺序匹配，前面的命中结果可能使后面的规则不再参与判断。因此排查某个域名为何直连，应先检查靠前的规则，而不是只确认末尾存在一条代理规则。域名规则依赖请求中可用的域名信息，IP 规则依赖目标地址及相关解析策略，两者不总是等价。应用直接访问 IP，或域名已在进入内核前被解析时，实际可用的匹配条件可能与预想不同。

GeoIP 和 GeoSite 是规则数据，不是服务器配置。前者提供 IP 分类数据，后者提供域名分类数据；使用哪些集合，取决于实际安装的数据文件。客户端预设可以引用这些数据，但不能保证所有第三方数据文件都有同名分类。更换来源后若启动报找不到集合，应检查规则引用与数据内容是否一致。需要更新方法时可查阅路由数据文件说明。

{
  "routing": {
    "domainStrategy": "AsIs",
    "rules": [
      {
        "type": "field",
        "ip": ["geoip:private"],
        "outboundTag": "direct"
      }
    ]
  }
}

DNS、局域网与复用的调整边界

域名打不开而直接访问目标 IP 有反应时，可以把 DNS 列为排查方向，但不能简单认定是某个公共解析服务器失效。客户端、系统、浏览器和应用都可能具有自己的解析路径，缓存也会保留旧结果。先确认问题发生在哪个应用、是否启用了独立加密 DNS，以及 TUN 是否接管了系统 DNS。每次只调整一处，重新连接并重新发起请求，避免多个解析设置互相覆盖。

访问打印机、共享目录或本地管理页面时，需要保留适当的局域网直达路径。绕过局域网通常处理私有地址，但具体网段与域名发现行为仍受规则和系统网络环境影响。不能为了访问本地设备而把所有目标都设置为直连，也不能只加一条域名规则就假定本地发现协议一定正常。先用设备的实际局域网地址测试，再检查名称解析和应用发现机制，可以把网络连通与自动发现分开定位。

Mux 多路复用用于复用连接，并不保证所有网络和协议组合都更合适。出现仅特定协议或应用异常时，可以在保留其他条件的情况下关闭复用做对照，但不要同时更换服务器、传输与 DNS。自定义配置也应遵循相同原则：先保存原规则，再增加一条有明确目的的变化。客户端生成配置与手写配置可能存在覆盖关系，编辑前要确认当前运行的究竟是哪一份，不能只看文件被成功保存就认为设置已生效。

配置问题：从订阅到目标逐层排查

订阅更新失败与导入后没有条目

先看失败发生在请求网址还是解析内容。无法解析订阅域名、连接超时、访问被拒绝，分别指向不同阶段；返回内容不是支持的配置格式，则应检查订阅类型和响应内容。复制地址时，确认没有前后空格、换行或残缺查询参数。地址在浏览器能显示页面，并不能证明客户端收到的是配置。页面可能要求登录、显示网络认证提示，或返回一个面向浏览器的管理界面。

已有可用服务器时，可以根据实际网络尝试直接更新或经代理更新，观察错误是否变化；没有任何可用配置时，不要依赖尚未建立的代理去完成首次更新。若服务端调整了订阅地址或访问令牌，应使用新的完整网址，而不是只替换自己猜测有变化的一段。多设备同时失败更值得检查订阅来源和服务状态，只有一台设备失败则优先比较该设备的网络、时间、解析与客户端设置。

服务器存在，但内核启动或握手失败

订阅列表已经有条目后，先确认活动服务器选择正确，再查看内核启动结果。配置解析失败通常发生在真正建立远端连接之前，应检查字段支持和内核兼容性。地址无法解析则先处理域名解析；连接被拒绝通常表示目标地址可达但该端口未接受连接；超时只说明等待未完成，不能单凭这一条判断是本地网络、远端防火墙还是服务进程问题。

握手类错误需要比较整套安全与传输参数，包括服务器名称、传输类型、路径、用户标识和相关扩展选项。服务器地址与安全连接使用的名称可能不同，不要因为两个字段看起来重复就删除其中一个。系统时间明显错误也可能造成验证异常。不要把跳过证书验证作为长期修复方法，应先核对证书名称、有效时间、配置来源与网络中间环节，让安全参数恢复到与服务端对应的状态。

同一份配置在 v2rayNG 能用、在 v2flyNG 不能用时，应优先检查内核特性差异，而不是推断其中一款安装损坏。桌面端也存在客户端更新与内核功能不完全同步的情况。需要比较协议边界时，可阅读Xray 与 V2Fly 内核差异。比较时保留相同网络和服务器，仅更换一个条件，才能让结果对定位有意义。

已显示连接，但应用仍不能访问

把问题分成“应用没进来”和“进来后没出去”。操作目标应用时，若客户端没有对应请求迹象，先查系统代理、分应用名单、应用自带设置及 TUN 接管范围；若已经有请求，再查看命中的路由和远端错误。只有部分网站失败时，应比较域名解析、分流结果及目标服务自身情况。浏览器缓存、连接复用和后台进程可能继续沿用旧连接，调整设置后应重新发起请求再判断。

本地监听启动失败时，检查是否有第二个客户端占用了同一端口，也检查上一次运行的进程是否仍在后台。修改端口后，应用的手动代理地址也要一起更新；只改客户端而不改应用，会造成两端不一致。开启 TUN 才出现故障，则先退回普通代理，确认服务器连接仍正常，再检查权限、虚拟接口、DNS 和其他网络工具。不要在普通代理也未验证成功时继续增加接管复杂度。

恢复普通网络并整理有效线索

需要恢复网络时，先停止连接和 TUN，再清除客户端设置的系统代理，确认没有其他代理进程残留。Android 则检查当前 VPN 是否确实停止，以及系统是否启用了阻止非 VPN 连接的相关选项。桌面系统还应查看应用自己的手动代理设置，它不会总随系统代理清除而自动重置。确认普通网络恢复后，再从一个活动服务器和一种入口重新建立测试基线。

记录问题时，保留系统平台、客户端名称、发生阶段、触发操作及最接近出错时间的日志。分享前移除订阅网址、用户标识、服务器访问凭据和二维码，不要直接上传完整数据目录。日志里的错误可以结合v2rayN 日志报错解释逐项理解；简短的常见问答可查帮助中心。一次清楚的失败步骤，比大量没有时间范围的截图更容易帮助定位。