V2Ray 全平台
安装配置大全

通用准备：系统、架构与配置来源

确认安装对象与客户端边界

V2Ray 是代理生态中的技术名称，不等于某个固定的图形界面。客户端负责保存服务器资料、更新订阅、生成配置和调用内核；内核负责实际的协议通信、入站监听与路由执行。v2rayN 面向 Windows、macOS 和 Linux 桌面；v2rayNG 与 v2flyNG 面向 Android。先选平台，再选安装包，不能把桌面程序解压到手机后直接运行，也不能把安卓配置界面的按钮名称当作桌面端的操作路径。

安装前记录操作系统、处理器架构和准备使用的包格式。Windows 可在“设置 → 系统 → 系统信息”查看系统类型；macOS 可在“关于本机”查看芯片；Linux 可运行下方命令查看机器架构与发行版；Android 可查设备规格或已有应用的架构信息。操作系统支持的架构比处理器宣传名称更重要，尤其是使用兼容层或较旧系统的设备。下载页给出的入口决定当前可选包，不要按文件名印象选择。

uname -m
cat /etc/os-release

Linux 输出为 x86_64 时通常选 x64；输出为 aarch64 时通常选 arm64。发行版信息用于判断 deb 或 rpm，不用于判断处理器架构。macOS 的 Apple Silicon 与 Intel 分别对应 arm64 和 x64。Android 的 arm64 包只适用于支持该应用架构的系统；无法确认时先阅读安卓下载说明，再考虑通用版。

准备可导入的连接资料

客户端安装完成并不会自动生成可用服务器。准备由可信配置提供方交付的单条分享链接或订阅地址，并确认资料仍在有效期内。分享链接描述一条配置，订阅地址用于获取一组配置，两者不能互换输入框。订阅链接有时带访问凭据，应视为敏感信息保存；截图、日志和求助文字中不应保留完整地址、用户标识或认证字段。

如果提供方给出多个协议或传输方案，先使用与客户端内核相容且说明完整的一项。地址、端口、协议、认证信息、TLS 设置和传输参数共同构成连接条件，不能只复制服务器域名。浏览器能打开某个域名也不能证明代理配置正确。新手先用明确的单条配置建立基线，再添加订阅，有助于区分订阅获取问题与实际连接问题。

保存环境基线，减少同时修改

安装前记下已有代理软件、系统代理状态、网络接口和是否存在虚拟网络工具。首次测试只启用一个客户端，避免两个程序竞争系统代理、监听端口或默认路由。公司设备的安全策略、受管理网络的访问规则和本机防火墙可能限制虚拟接口或后台监听，应先确认权限范围，不要把所有防护功能关闭作为安装步骤。

系统时间也属于连接条件。时间偏差会影响证书有效期判断与部分认证过程，先启用系统自动校时。保留安装前的网络状态和一份配置备份，修改前记录原值。备份包含服务器凭据时，应放在仅本人可访问的位置，不能作为公开附件上传。准备完成后进入对应平台章节，不需要同时实施系统代理和 TUN 两种接管方式。

macOS：芯片选择、安装与网络授权

按芯片选择 v2rayN 安装包

在“关于本机”中查看芯片信息，再进入macOS 下载区。Apple Silicon 使用 arm64 入口，Intel 使用 x64 入口。不要用屏幕尺寸或购买年份推断架构。某些兼容环境能运行另一种架构的应用，但原生匹配通常更便于判断运行依赖与权限问题。下载完成后打开 dmg，将应用按窗口指引放入“应用程序”目录。

复制结束后，从“应用程序”目录启动 v2rayN，不要长期在磁盘映像中运行。磁盘映像属于分发载体，卸载映像后其中的路径会消失，也可能影响应用保存和更新。首次启动若出现系统安全提示，确认文件来源与提示内容，再按系统提供的授权路径处理。不能为了单个应用关闭整个系统的安全检查，也不建议粘贴来源不明的权限修改命令。

应用启动后先检查设置能否保存、内核能否正常启动。界面能够打开，但随包执行文件因权限或架构不匹配无法运行时，日志通常会停在启动阶段。此时应先解决本机执行问题，不必修改远端服务器参数。系统更新后如果原有授权发生变化，也应重新检查提示，而不是直接复制旧电脑上的权限状态。

导入配置与网络服务代理

复制分享链接后从客户端剪贴板入口导入，或在订阅分组内保存订阅地址并更新。macOS 剪贴板可能保留先前内容，导入失败时确认复制的是完整链接，没有附加说明文字或换行。导入完成后设置当前配置，再启动内核。测试时选用一个明确读取系统代理的应用，尽量避免同时开启带独立代理设置的浏览器扩展。

系统代理通常与具体网络服务关联。Wi-Fi 与有线网络可以拥有不同的代理状态，切换网络后应重新核对当前服务，而不是只看客户端托盘菜单。打开系统网络设置，在正在使用的网络服务中查看代理选项，确认地址和端口指向客户端实际监听值。若设备使用自动代理脚本，手动代理与脚本之间的作用顺序也需要确认。

系统要求授权修改代理设置时，先确认请求来自当前客户端，再完成授权。授权被拒绝并不一定妨碍内核本地监听，但应用不会自动使用该入口。可以在应用内部明确填写代理地址进行验证，确认链路正常后再处理系统设置。这样能把“无法写入系统代理”与“内核不能连接服务器”分成两个独立问题。

TUN、DNS 与休眠恢复

TUN 模式的可用性取决于当前客户端构建、内核能力与系统权限。启用前记录当前网络服务和 DNS 设置，并关闭其他虚拟网络工具的接管。若界面需要提权或安装辅助组件，应按当前版本的提示操作，不要把其他平台的驱动安装步骤搬到 macOS。启用后同时验证域名访问与本地网络资源，确认分流没有改变原本需要直连的路径。

DNS 问题可能只出现在一个应用。浏览器启用独立的安全 DNS 时，不一定使用系统或客户端指定的解析路径；因此一个浏览器失败不能直接证明所有 DNS 都失效。先比较另一个应用，再检查客户端日志中的域名解析与连接阶段。用 IP 地址访问带证书的网站会改变证书匹配条件，不能作为等价的 TLS 测试。

scutil --proxy
scutil --dns

这两条只读命令分别展示当前代理和 DNS 信息，用于与图形设置对照。输出可能包含企业配置或本地网络信息，分享前删除敏感内容。电脑从休眠恢复、切换热点或更换网络服务后，旧连接可能暂时失效；先重新建立连接并核对服务状态，再尝试重启内核，不需要第一时间删除整个应用数据目录。

退出与升级后的复核

退出前恢复由客户端修改的代理状态。如果程序异常关闭，当前网络服务可能仍保留本地代理，浏览器会连接已不存在的监听入口。重新启动客户端可以帮助恢复状态，也可在系统设置中仅移除本次新增的代理项，避免覆盖原有企业配置。升级后验证应用路径、权限、当前配置和路由预设；若同时更换了芯片架构，应重新下载对应包，不要直接迁移旧可执行文件。

Android：v2rayNG 与 v2flyNG 配置

选择客户端、架构与安装授权

安卓端优先使用 v2rayNG，其内核家族为 Xray；需要 V2Fly 内核配置时可考虑 v2flyNG。选择依据应是配置所需能力与现有使用习惯，而不是只比较名称。两者分别保存自己的配置和应用设置，安装其中一个不会自动迁移另一个的数据。先在Android 下载区确认包入口与系统要求。

支持 arm64 应用架构的设备通常选 arm64 包；无法确定架构或安装器提示不兼容时，再核对通用版说明。安装包解析失败还可能来自下载未完成、系统版本不符合要求或既有安装的签名不兼容，不能只归因于架构。允许当前下载来源安装应用时，仅针对实际使用的来源授权，安装结束后可以收回该权限。

如果系统提示更新签名冲突，不要直接卸载已有客户端。先确认旧应用的来源并导出可恢复配置，因为卸载可能删除分组、手工条目和应用分流设置。导出文件含连接凭据，应保存在私密位置。尝试重新下载同来源的正确包通常比盲目覆盖更容易判断问题；不同来源安装包之间能否直接更新，应以系统实际提示为准。

剪贴板与订阅分组导入

单条分享链接从剪贴板导入；订阅地址在订阅设置中新建条目，保存后更新。Android 的剪贴板可能自动清理内容，复制完成后及时进入客户端，确认不是空内容或网页说明文字。首次更新失败时，先记录错误属于地址格式、连接、响应还是解析阶段，再决定是否需要通过已工作的配置获取订阅。

列表中选择一条配置作为当前使用项，然后点击连接。第一次建立本地 VPN 通道时，系统会弹出授权对话框，这是安卓客户端接管流量所需的系统接口。授权后查看客户端连接状态和系统通知，再用一个应用测试。系统出现 VPN 标识只表示通道已建立，并不证明远端连接或域名解析已经成功。

订阅更新会依据提供方返回内容刷新条目。手动修改订阅内配置可能在下次更新后消失，需长期保留的调整应复制为独立条目，并记录原始来源。不同客户端对同一分享格式的支持可能不同，尤其是包含较新传输字段的配置；导入成功后仍应检查协议、TLS、传输类型及必要参数是否完整。

应用分流与后台运行

安卓客户端主要通过系统 VPN 接口工作，不需要照搬桌面端的系统 HTTP 代理步骤。系统通常只允许一个 VPN 服务同时占用该接口，其他依赖相同接口的工具可能使当前连接被替换。测试时先保留一个接管程序，避免连接按钮显示成功后又被另一项服务立即接管。

按应用分流需要先理解当前模式是“仅代理所选应用”还是“绕过所选应用”。这两种名单含义相反，勾选同一应用会产生不同结果。先用一个测试应用验证，再扩大名单；修改名单后，按客户端提示重新建立连接。应用分流与域名路由属于不同层次，某个应用被排除后，其流量可能根本不会进入内核规则匹配。

息屏后断连常与电池优化、后台限制或厂商任务清理有关。先检查客户端通知是否仍存在、进程是否被终止，再在系统应用设置中允许必要的后台运行。不要一开始就改服务器协议。移动网络与 Wi-Fi 切换会重建连接，若只有某个网络失败，应保留相同配置进行对照，而不是同时修改节点和 DNS。

DNS、热点与更新后的检查

系统私人 DNS、浏览器独立解析和客户端 DNS 设置可能形成不同路径。域名访问失败时先观察日志，并与关闭连接后的解析结果比较；不要把随机 DNS 地址逐个替换作为固定操作。热点共享的其他设备也不一定自动进入手机客户端的通道，本机应用正常不能证明热点设备已经使用相同出口。

更新客户端后核对当前条目、应用分流名单、路由模式和后台权限。系统升级可能重置部分权限，需要重新检查。v2rayNG 与 v2flyNG 的具体设置名称可能不同，迁移时应按功能逐项对应，不要只导入订阅就认为所有行为一致。选型背景可参阅三款客户端横向评测，首次连接步骤见快速上手教程。

代理与路由：入口、出口和规则顺序

先分清流量是否进入内核

路由规则只处理已经进入内核的流量。系统代理负责向应用提供本地代理入口，TUN 负责通过虚拟接口接管符合条件的网络流量，安卓应用名单则可决定哪些应用进入通道。若应用根本没有使用客户端，修改 routing 不会改变它的行为。排查分流前，先确认应用入口与本地监听一致，再看规则匹配。

客户端中的“全局”通常表示把进入客户端的流量交给某个统一出口，而不是自动强制接管设备上的全部程序。类似“绕过大陆”“黑名单”或“白名单”的名称属于客户端预设，实际行为取决于生成的规则和出口。不要只凭预设名称推断所有域名的路径；同名预设在不同客户端或版本中也可能存在规则差异。

本地 HTTP、SOCKS 或混合入站把流量交给内核，outbounds 定义可用出口，routing.rules 将匹配对象指向出口标签。标签是引用关系，不是预留的魔法名称。规则中的 outboundTag 必须与实际出口的 tag 一致，否则配置可能无法启动或不能按预期转发。

规则匹配与示例边界

规则通常按顺序检查，前面的匹配优先于后面的兜底。广泛匹配规则放在过前的位置，会遮住更具体的规则。域名规则适合明确的服务范围，IP 规则适合私有网络或地址范围；应用使用域名还是直接使用 IP，会影响可匹配的信息。嗅探功能可以补充部分目标信息，但并非所有流量都能还原出可靠域名。

下方是一份可作为结构学习与本机监听测试的完整配置。它只定义直连与阻断出口，不包含远端代理服务器。所有入站流量默认直连，访问文档示例域名的流量被阻断。运行前确认端口未被占用；该示例适用于理解字段关系，不应粘贴覆盖已经可用的服务器配置。客户端是否允许导入完整配置，应以当前界面入口为准。

{
  "log": {
    "loglevel": "warning"
  },
  "inbounds": [
    {
      "tag": "local-socks",
      "listen": "127.0.0.1",
      "port": 10808,
      "protocol": "socks",
      "settings": {
        "auth": "noauth",
        "udp": true
      }
    }
  ],
  "outbounds": [
    {
      "tag": "direct",
      "protocol": "freedom",
      "settings": {}
    },
    {
      "tag": "block",
      "protocol": "blackhole",
      "settings": {}
    }
  ],
  "routing": {
    "domainStrategy": "IPIfNonMatch",
    "rules": [
      {
        "type": "field",
        "domain": ["domain:example.com"],
        "outboundTag": "block"
      },
      {
        "type": "field",
        "ip": [
          "10.0.0.0/8",
          "172.16.0.0/12",
          "192.168.0.0/16",
          "127.0.0.0/8"
        ],
        "outboundTag": "direct"
      }
    ]
  }
}

domain:example.com 匹配示例域名及其子域；只匹配精确主机名可使用 full: 写法。没有命中规则的流量通常使用第一个出站，因此示例把直连放在首位。要实现代理分流，必须另行定义真实可用的代理出口，再把相应规则引用到该出口，不能只新增一个叫 proxy 的标签就获得代理能力。

域名策略、数据文件与 DNS

IPIfNonMatch 表示域名规则未匹配时，可解析目标域名并尝试 IP 规则；它不是让每次请求都先解析 IP。AsIs 与 IPOnDemand 的解析时机不同，选择会影响匹配信息和 DNS 请求。对不熟悉的配置，先保持客户端预设，再通过日志确认问题，不要把域名策略当作通用加速开关。

geosite:cn、geoip:cn 和 geoip:private 依赖内核可读取的数据及分类名称，不是任意配置都自带的字典。缺少文件或分类时，应按客户端支持的资源更新方式处理。上面的示例用显式私有网段避免依赖外部分类，但它不穷举所有需要直连的地址，也没有配置 IPv6 私有范围，不能直接充当完整生产分流模板。

验证一条规则的实际行为

每次只新增一条规则，重启或重载后确认内核启动正常，再测试一个明确目标。对照连接日志中的目标、入站标签和出口标签，而不是只看网页是否打开。网站可能同时请求多个域名，主页正常不代表所有资源使用同一路径。检查完成后记录规则意图与顺序，避免后续更新预设时无法解释已有规则。