设置名称 · 概念边界 · 使用位置
V2Ray 概念速查
从客户端里的字段名出发，区分代理协议、传输安全、内核与路由。每个术语都可通过独立锚点定位，便于对照配置和日志。
连接配置中的协议类型
传输协议
这一类名称通常出现在“添加服务器”或“协议”字段中。选定协议以后，还需要继续核对传输与安全层。
- VMess
- Project V 生态中的代理协议，使用用户标识进行认证，常见于既有订阅配置。VMess 的协议认证与 TCP、WebSocket 等传输方式不是同一层设置，填写用户标识并不代表其他参数已经齐全。导入后应检查服务端要求的传输、安全层和设备时间；旧式配置字段能否使用，还要看当前内核支持情况。
- VLESS
- 设计较精简的代理协议，使用用户标识认证，本身不提供载荷加密。实际连接通常搭配 TLS 或 REALITY，因此“选择 VLESS”不能代替安全层配置。若订阅中包含 flow 等扩展字段，应保留服务端提供的值，并确认当前内核支持该组合，而不是凭名称推断兼容性。
- Trojan
- 通常运行于 TLS 之上的代理协议，使用密码进行认证。客户端里除了地址、端口和密码，还需要关注服务器名称及证书验证设置。出现握手错误时，应先检查名称、证书信任与设备时间，而不是直接跳过证书验证；认证通过与安全连接建立是两个相关但不同的环节。
- Shadowsocks SS
- 以加密方法和密码作为主要连接参数的代理协议家族，分享链接常使用
ss://前缀。不同加密方法及协议代际存在兼容性差异，服务端指定的方法必须被当前内核支持。配置时不要只核对密码，也要检查方法名称；某些方法还对密钥格式有专门要求。
界面与实际执行连接的组件
内核与生态
图形客户端负责管理配置，内核负责执行连接。客户端名称、内核家族和协议名称不能互相替代。
- Project V
- 与 V2Ray 相关的网络工具生态背景，涵盖代理、路由及可扩展配置等设计。它不是客户端中可直接选择的一种连接协议，也不代表所有相关软件具备相同功能。阅读文档时，可以依次确认“使用什么客户端、调用什么内核、连接什么协议”，避免把生态名称当成具体能力清单。
- V2Fly
- 延续 V2Ray 开发的社区项目，其内核常称为
v2fly-core，v2flyNG 是相关安卓客户端选项之一。V2Fly 与 Xray 有共同历史，但功能和配置字段已存在差异。迁移配置时应查对应内核文档，不能因为两者都能读取 JSON，就认定所有协议扩展与路由行为一致。
- Xray
- 由 V2Ray 项目分支发展而来的网络代理内核，常见名称为
Xray-core，v2rayNG 使用这一内核家族。它负责执行协议连接、路由和相关 DNS 处理，图形界面则负责生成与管理配置。是否支持某个 REALITY、传输或 flow 选项，要结合实际内核版本判断，不能只看客户端版本名称。
- 核心切换
- 在客户端提供的范围内，调整实际负责处理连接的内核；并非每个客户端都有同样的切换入口。切换后，同一条连接配置可能因为协议扩展或字段解释不同而无法启动。应重新查看日志与配置结果，并确认路由数据库也适配新内核；切换内核不是解决所有连接问题的通用操作。
握手、身份验证与安全层参数
安全传输层
协议类型正确不代表握手参数正确。服务器名称、公钥相关参数和指纹等字段，应按服务端提供的信息填写。
- TLS
- 用于提供传输加密和身份验证的安全协议，可与多种代理协议组合。常规证书验证会检查信任链、名称匹配及有效期，因此设备时间不准确也可能造成连接失败。遇到错误时先核对服务器名称与证书配置，不宜把“允许不安全连接”作为日常修复方式。
- REALITY
- Xray 生态中的传输安全方案，常与 VLESS 配合使用；日常所说的“REALITY 协议”并不表示它与 VLESS 是同一层的替代项。配置通常涉及服务器名称、服务端公钥相关字段、short ID 与指纹等参数，字段名称可能随界面版本变化。应完整保留服务端提供的参数，不能套用普通 TLS 的填写习惯。
- SNI Server Name Indication
- TLS 握手中用于表达目标服务器名称的扩展信息，客户端界面可能将相关字段称为“服务器名称”或
serverName。它不一定等于实际连接的 IP 地址，但必须符合服务端要求和相应验证逻辑。随意填写一个能打开的网站域名，并不能让原本不匹配的配置建立连接。
- 客户端指纹
- 此处指 TLS 握手时使用的特征组合，部分内核会提供以浏览器名称命名的预设。选择某个指纹不等于切换浏览器，也不会直接修改网页中的浏览器身份。该选项是否生效，取决于内核、连接类型及配置位置；排查时优先保持订阅原值，避免同时更改多个握手参数。
配置来源、保存形式与测试结果
订阅与节点
导入、更新、选择和测试是四个不同动作。列表出现内容，只能说明客户端解析到了配置。
- 订阅
- 通过一个地址批量获取连接配置的分发方式，客户端通常将结果存放在指定分组。更新订阅是在重新获取配置，不等于续期账户，也不一定立即切换当前连接。订阅地址可能包含访问凭据，应按敏感信息保存；分享截图、日志或求助内容前，需要移除完整地址和认证信息。
- 节点
- 客户端列表里一组可供选择的连接配置，通常包含地址、端口、协议、认证及传输参数。显示名称只是便于识别的标签，不能作为位置、性能或可用性的可靠证明。两条名称不同的记录也可能指向同一服务；判断是否重复，应结合实际连接字段，而不是只比较备注。
- 真连接延迟
- 通过代理链路请求测试地址所得的响应耗时，可能包含代理握手、DNS、TLS 和目标站响应等多个环节。它不同于仅检测地址端口的 TCP 连接测试，也不能直接换算成下载速度。比较结果时应保持测试地址、测试方式和网络环境一致；失败也可能来自测试目标本身，而非配置完全不可用。
连接去向与域名解析路径
路由与分流
分流依赖规则、数据库和解析结果共同工作。只看到某条规则存在，还不能确认实际连接命中了它。
- 路由规则与分流
- 按域名、IP、端口或入站等条件，把连接送往直连、代理或阻断出站的机制。在常见 Xray 路由配置中，规则按顺序检查，首条符合条件的规则决定去向，因此宽泛条件可能遮住后面的例外。修改后应结合日志验证实际出站，并确认未命中规则时的默认处理方式。
- GeoIP
- 为路由提供按分类组织的 IP 地址集合，常通过
geoip.dat等数据库加载。数据库里的地区或用途标签不等于实时地理定位，更不能直接代表某个域名所属的服务。若规则需要通过解析域名得到地址再匹配，还应检查域名解析策略；仅更新数据库未必改变当前连接的判断。
- GeoSite
- 为路由提供按类别组织的域名集合，常见数据库文件名为
geosite.dat。例如geosite:cn是引用分类的写法，但具体标签与收录范围由所用数据库决定，不应假定各来源内容相同。标签不存在可能导致配置加载错误，分类存在也不代表某个新域名已经被收录。
- FakeDNS
- 把域名映射到保留地址池，并在后续连接中恢复域名信息的机制，可帮助在接管 IP 流量后保留域名路由依据。这里的映射地址不是目标站点的真实公网地址，也不应直接用于判断站点位置。它需要 DNS、流量接管与相关路由配置配合，单独打开一个开关可能造成解析结果无法正确回收。
- DNS 泄漏
- DNS 查询没有沿预期解析路径发送的情况，例如连接走了代理，而域名查询仍交给系统的其他解析器。判断时需要同时检查系统 DNS、浏览器安全 DNS、应用内解析和客户端的 DNS 路由。只看到出口 IP 改变并不能证明解析路径也改变；测试网站显示的解析器名称也需要结合实际配置理解。
- 嗅探 Sniffing
- 从连接早期的可见协议特征中提取域名等信息，用于辅助路由或目标识别。嗅探不能任意解密流量，能够获取什么信息受连接协议、加密方式及内核实现限制。还要区分“仅供路由判断”与“覆盖连接目标”的设置，后者可能改变实际访问行为，并非功能越多越适合所有场景。
应用流量怎样进入客户端
客户端功能
系统代理、虚拟接口和本地入站解决的是不同问题。配置成功后，应使用目标应用验证，而不是只看连接开关。
- 系统代理
- 向操作系统登记代理地址，让遵循这套设置的应用连接到本地代理入口。开启后并不代表所有应用流量都会进入客户端，一些程序会使用自己的网络设置或直接连接。若浏览器能用而其他程序不能用，应先检查该程序是否读取系统代理，再决定使用应用内代理还是其他接管方式。
- TUN 模式
- 通过虚拟网络接口及相关系统路由接管 IP 流量的方式，可覆盖部分不读取系统代理的应用。它与系统代理不是同一个开关，具体实现和所需权限也会随平台及客户端变化。启用后应检查 DNS、局域网访问和已有虚拟接口是否冲突；安卓客户端中的 VPN 授权界面不一定直接使用“TUN”这一名称。
- SOCKS 入站
- 供应用连接到客户端的本地代理入口，常见形式为 SOCKS5 地址与端口。某些配置使用本地
10808端口，但实际值应以客户端设置为准，不能把本地入站端口填成远端服务器端口。UDP 能否通过还取决于应用、内核与服务端链路；通常只需监听本机，开放局域网访问前应评估访问控制。
- HTTP 代理入站
- 让应用使用 HTTP 代理协议向客户端提交请求的本地入口，支持时可通过 CONNECT 方法为 HTTPS 建立隧道。某些配置使用本地
10809端口，但不同版本可能提供独立端口或混合入站，应查当前设置。它与 SOCKS 的交互方式不同，应用选择的代理类型必须与所填端口提供的协议一致。