V2Ray 全平台
安装配置大全

01 / BEFORE INSTALLATION

通用准备：系统、订阅与流量入口

先区分客户端、内核与服务端配置

图形客户端负责保存服务器参数、管理订阅、生成配置和启动内核。内核负责协议连接、流量转发与路由判断。桌面平台优先使用 v2rayN；Android 优先使用搭载 Xray 内核的 v2rayNG，已有 V2Fly 配置需求时再考虑 v2flyNG。安装客户端本身不会自动得到可用服务器，也不会替代订阅提供方的账户与服务。开始前应准备有权使用的订阅链接或单条服务器分享链接，并确认其仍在有效期内。

Project V 是理解这些组件的背景，不是需要额外安装的一款桌面应用。V2Fly 与 Xray 属于相关内核生态，支持范围会随内核实现变化。某条配置能否使用，取决于协议、传输、安全参数和实际内核能力的组合，不能仅按客户端名称判断。需要梳理关系时，可阅读Project V、V2Fly 与 Xray 生态关系，再决定是否需要调整内核。

确认系统架构与安装位置

处理器架构应以操作系统显示的信息为准，而不是只看设备年份。Windows 在系统信息中检查系统类型；macOS 在“关于本机”查看芯片；Linux 可运行下方命令。下载页按实际提供的安装包列出入口，架构不匹配时不要依靠反复启动解决。安装位置也要提前确定：便携目录需要用户可写，安装器管理的程序目录则通常不适合手工混入配置文件。

uname -m
cat /etc/os-release

Linux 输出的 x86_64 对应常见的 x64 包，aarch64 对应 arm64 包。发行版信息用于判断选择 deb 还是 rpm，不用于推断桌面代理一定如何生效。系统、桌面环境和应用程序各有自己的网络设置，三者需要分别确认。新建部署时，先保留默认目录结构，避免把主程序单独移走后遗漏随包提供的资源与运行组件。

建立可回退的网络基线

安装前先关闭其他正在接管流量的代理或隧道程序，记录系统代理原有状态。确认普通网络访问正常，系统时间和时区准确。时间偏差可能导致证书验证失败，而旧代理残留可能让订阅更新请求进入一个已经退出的本地端口。此时看到的现象像客户端故障，实际错误发生在客户端启动之前。不要在没有基线的情况下同时改网络适配器、解析器和路由预设。

首次验证宜使用系统代理，而不是直接开启 TUN。系统代理依赖应用遵循操作系统的代理设置，适合先验证浏览器链路；TUN 通过虚拟网络接口接管更多流量，需要额外权限，并可能影响 DNS、局域网和其他虚拟网络。两者并不等于两种服务器协议，也不存在开启越多连接越稳定的关系。应在基础连接可用之后，再根据具体应用是否遵循代理决定是否启用 TUN。

备份与隐私边界

如果设备已有配置，先通过客户端支持的导出或备份功能保存。手工复制数据目录时应先退出程序，避免写入过程中的文件被截断；备份应包含订阅分组、路由、自定义 DNS 与必要的本地设置。订阅地址往往带有账户标识，分享链接也可能包含认证字段，不要贴入公开截图、讨论串或公开网盘。排查时优先提供经过遮盖的错误类型与发生时间。

02 / WINDOWS

Windows：v2rayN 安装与代理接管

选择桌面版或经典 WPF 版

进入Windows 下载分区，先看操作系统架构，再选择 v2rayN 桌面版或经典 WPF 版。桌面版采用新一代跨平台界面，WPF 版延续经典 Windows 界面。两者都是配置管理入口，不代表服务器连接质量不同。已有配置需要迁移时，应先备份，再检查目标界面是否能识别原数据；不要让两套程序同时写入同一个配置目录。

安装器包按向导完成部署，便携式内容则应完整解压后启动。不要从压缩包预览窗口直接运行，也不要只复制主程序文件。解压目录宜放在固定、可写的位置，避免临时目录清理导致配置丢失。如果启动时提示缺少运行组件，依据当前包的说明和系统提示补齐对应组件，不要从不明来源下载单个动态链接文件替换。报错文字应保留，用于判断缺失的是运行环境还是程序资源。

启动后导入订阅并确认列表

首次打开先确认主界面能够正常显示，再进入订阅分组管理。新增分组，填写便于识别的名称，将完整订阅地址放入地址字段，保存后执行更新订阅。导入地址与更新内容是两步：只新增分组不会自动证明已取得服务器。更新结束后查看服务器列表，并核对协议、地址与端口等基础字段是否有值。具体菜单措辞可能调整，应以当前界面的订阅管理入口为准。

如果剪贴板里是单条服务器分享链接，可使用客户端的剪贴板导入功能，而不是将其当作远程订阅地址。网页链接也不一定就是订阅链接；账户控制台页面、登录页和返回服务器配置的接口用途不同。更新后列表为空时，先看更新日志中的请求结果，再向订阅提供方确认链接格式与账户状态。不要为了得到列表而关闭证书验证，也不要把认证参数随意删去。

先验证系统代理，再扩大接管范围

选中准备使用的服务器并设为当前项，确认内核能够启动，然后选择自动配置系统代理。该操作会让遵循 Windows 系统代理设置的应用使用本地监听地址；本地端口应从客户端设置读取，不要照抄其他设备的端口。用浏览器访问一个已知支持正常 HTTPS 的页面，观察是否有对应连接日志。页面打不开时，先确认内核在运行，再检查服务器连通性，不要立即切换所有路由选项。

Windows 的系统代理不意味着每个程序都会跟随。部分命令行工具、服务进程或具有独立代理配置的应用需要单独设置。系统中不同网络组件也可能采用不同代理来源，因此浏览器正常而某个程序失败，不足以判定节点失效。先查该程序是否支持 HTTP 或 SOCKS 代理，再填入客户端实际启用的本地监听地址。只供本机使用时，应维持回环监听，避免意外开放给同网段设备。

TUN 权限与退出顺序

基础连接可用后，如果目标应用不遵循系统代理，再考虑 TUN 模式。首次启用可能涉及管理员权限、服务组件或虚拟接口，具体取决于当前客户端实现。按程序提示授权后，检查启动日志是否显示接口与路由建立成功。不要仅凭开关处于开启位置判断接管已完成；权限拒绝、接口创建失败和其他隧道冲突都可能使开关状态与实际网络路径不一致。

遇到虚拟机、办公网络或其他隧道工具共存的环境，先保留局域网访问并逐项测试。TUN 开启后只能访问部分资源时，优先检查路由与 DNS，不要反复重装虚拟适配器。结束使用前先关闭 TUN，再清除系统代理，最后退出客户端。异常退出后若浏览器完全无法访问网络，可到 Windows 代理设置中检查是否仍指向已关闭的本地端口，确认后恢复原有设置。

开机启动与连接成功是两件事。可以先验证手动启动稳定，再启用客户端提供的自启动选项。需要提升权限的 TUN 可能与普通登录启动采用不同路径，设置后应实际注销或重启测试。主窗口、托盘、日志和参数设置的对应关系可参照v2rayN 主界面功能详解，避免把关闭窗口误认为彻底退出进程。

03 / MACOS

macOS：芯片选择、安装与网络权限

按芯片下载并完成应用部署

打开系统的“关于本机”，确认显示的是 Apple Silicon 芯片还是 Intel 处理器，然后进入macOS 下载分区选择对应的 v2rayN 安装包。arm64 与 x64 不是界面语言或功能等级，而是处理器架构。不要仅凭应用能够被兼容层启动就认定选包正确；原生架构匹配可以减少运行组件与权限排查中的额外变量，尤其是在之后准备启用 TUN 时。

下载完成后打开磁盘映像，按包内提供的方式将应用放到固定应用目录，再从该位置启动。不要长期从挂载中的映像运行，也不要在应用还运行时移动整个程序目录。系统首次打开时可能检查来源与运行权限，应先确认安装包来自本次选择的下载入口，阅读系统给出的具体提示，再在系统允许的范围内决定是否继续。不要把关闭全局安全检查作为安装步骤。

应用无法启动时，应区分架构错误、系统不满足要求、运行组件缺失和系统阻止打开这几类情况。前两类不能通过反复授权解决，后两类也不能靠随意重命名应用处理。先记录弹窗文字和系统信息，再核对包说明。终端中的删除扩展属性命令不应作为通用修复动作，因为它绕过了对问题来源的判断，还可能作用于错误目录。

导入订阅并检查当前服务

启动 v2rayN 后进入订阅分组管理，新建分组、保存完整地址，再执行更新。首次更新建议使用当前可工作的普通网络；如果订阅接口只在已有代理下可达，应在确认旧连接可用后选择相应更新方式，不要创建“先取得订阅才能连接、先连接才能取得订阅”的循环。更新完成后选择一个服务器设为当前项，先观察内核是否能正常启动，再调整系统代理。

macOS 的网络设置按网络服务组织。无线网络、有线网络与其他网络接口可能分别保存代理参数，切换网络后应重新确认当前服务的代理状态。客户端的自动配置功能需要作用于正在使用的服务；如果浏览器仍然直连，先到系统网络详情中的代理设置核对，不要立即修改服务器参数。手工设置时应填入本机回环地址和客户端显示的端口，而不是远程服务器的端口。

区分系统代理与应用独立设置

遵循系统代理的应用通常能使用自动配置后的入口，但带独立网络设置的工具可能忽略它。终端工具也不一定读取桌面网络服务里的代理字段。处理单个工具时，应先查它支持的代理方式和配置作用域，避免把临时测试参数写入所有登录会话。若工具支持 SOCKS，还要分清域名解析发生在本地还是代理侧；同一个服务器下出现不同结果，有时来自解析路径而非传输失败。

浏览器正常而开发工具异常时，先清除该工具以前保存的代理地址，再与客户端当前监听配置对照。代理端口改变后，独立配置不会自动跟随。对于访问本机服务的场景，应保留回环与局域网直连策略，避免把本地调试流量发往远程出口。也不要为了方便而开启不必要的局域网共享，本机代理与向其他设备提供代理是不同的部署任务。

TUN 与其他网络扩展的共存

需要接管更多应用时，再启用客户端实际提供的 TUN 功能。系统可能要求管理员授权或相关辅助组件，权限请求与客户端实现有关。授权后观察日志和系统网络状态，确认虚拟接口确实建立。已有办公隧道、网络过滤或虚拟机网络时，应一次只启用一种接管方式验证，再测试共存；多个组件同时改变默认路由，可能造成连接绕回自身或局域网目的地不可达。

从睡眠恢复、切换无线网络或接入有线网络后，如果仅 TUN 模式失效，可先停用再重新启用，并检查 DNS 是否跟随当前网络恢复。不要在未停止隧道的状态下连续更改多个 DNS 服务器。若系统代理模式仍可用，可以暂时退回该模式，保留工作连接后再查 TUN。退出应用前清除其写入的代理设置，尤其要留意异常退出后系统里残留的回环地址。

04 / LINUX

Linux：deb、rpm 与桌面代理环境

先选包体系，再处理安装依赖

Linux 桌面使用 v2rayN。先查看发行版与架构，再进入Linux 下载分区选择 deb 或 rpm。Debian、Ubuntu 系通常选择 deb；Fedora、openSUSE 等采用 rpm 包体系，但具体依赖解析方式由发行版决定。x64 与 arm64 分别选择对应架构，不要将包格式正确等同于架构正确。下载完成后可用发行版的图形软件安装器部署，也可使用本地包安装命令。

下面两条命令分别适用于相应包管理环境，只执行与你的系统匹配的一条。在保存安装包的目录打开终端，将文件路径换成实际下载的完整文件名。使用包管理器安装本地文件有利于同时处理依赖；安装失败时应阅读依赖名称、架构和仓库错误，不要通过强制忽略依赖让程序进入不可预测状态。openSUSE 应使用其对应的软件管理工具，而不是直接照搬 Fedora 命令。

sudo apt install ./实际下载的文件名.deb

sudo dnf install ./实际下载的文件名.rpm

安装成功后，从桌面应用菜单启动。图形程序应以普通用户身份运行，配置保存在该用户环境中。不要为了让安装后的程序启动而长期以超级用户运行整个界面，否则可能产生属于超级用户的配置文件，随后普通启动便无法写入。只有确实涉及虚拟网络接口或辅助服务时，才按客户端提示提供所需权限，不能把系统代理设置问题一律归因于权限不足。

订阅导入与桌面环境差异

进入订阅分组后新增地址，保存并更新，再选择当前服务器。先确认内核能启动，日志没有缺失文件或监听失败，再配置代理。GNOME、KDE 与其他桌面环境的代理设置接口不同，应用是否读取桌面代理也各有差异。客户端显示已配置系统代理，只能说明对应操作已执行，不能据此推断所有进程都已通过代理。应分别测试浏览器和实际需要使用的工具。

浏览器可用而终端不可用时，先检查终端进程环境。下面命令只查看常见代理变量，不会修改网络。变量名的大小写支持因工具而异，旧会话还可能保留已经停用的端口。若需临时为某个命令设置代理，优先采用该工具自身支持的单次参数；确认效果后再决定是否持久化，不要直接写入所有用户共享的环境文件。

env | grep -iE '^(http|https|all|no)_proxy='

桌面代理、环境变量和应用内部代理是三条独立路径。它们可以指向同一个本地监听，但不会天然互相同步。设置 NO_PROXY 的工具还可能绕过某些目的地，其匹配语法也不完全一致。遇到“某个域名始终直连”时，除了客户端路由，还应检查工具本身的绕过名单，避免在错误层级反复调整 GeoSite 规则。

TUN、解析服务与容器网络

TUN 需要访问虚拟网络接口，并具备建立路由等必要能力。启用失败时先检查客户端日志中的权限与设备错误，再按照当前包提供的方式配置辅助组件。不要对整个安装目录递归开放写权限，也不要给未知二进制随意增加系统能力。发行版安全策略、服务启动方式与安装包布局都会影响结果，应针对报错处理，而不是从其他系统复制一组提权命令。

Linux 的 DNS 可能由网络管理器、本地解析服务或其他组件管理。开启 TUN 后若只有域名访问失败，而已知地址路径仍可达，应检查解析链路和客户端 DNS 设置。不要把临时生成的解析文件当作唯一配置源反复覆盖，因为网络重连可能重新生成它。容器、虚拟机与网桥通常还维护自己的路由和解析，应保留对应网段的访问，再评估是否需要纳入 TUN。

登录自启与升级回退

桌面客户端通常应在用户登录并具备图形会话之后启动。优先使用程序提供的自启动选项，再检查桌面启动应用列表是否重复添加。不要同时启用桌面自启、用户服务和系统服务启动同一份配置，否则容易产生端口占用。自启动成功后也要确认系统代理是否写入当前会话，而不是仅看到进程存在就认为接管完成。

升级前退出客户端并备份数据，优先沿用同一安装来源与包体系。升级后若界面正常而连接失败，先看内核路径、配置兼容性和规则资源，不要立即删除用户目录。需要恢复时应保留本次日志，回到备份验证差异。关于安装器、桌面启动项与登录自启的展开步骤，可继续查阅v2rayN Linux 部署与自启动说明。

05 / ANDROID

Android：客户端安装与 VPN 授权

选择 v2rayNG 或 v2flyNG

进入Android 下载分区，优先选择搭载 Xray 内核的 v2rayNG。v2flyNG 是 V2Fly 内核方向的备选，适合已经确认配置与该内核相符的场景。不要为了同一条配置反复安装多个客户端作为默认排错方式，先核对协议、传输与安全参数是否受当前内核支持。两款应用的数据管理各自独立，安装另一款不代表原有订阅、路由和授权会自动迁移。

主流较新的设备通常使用 arm64，设备架构不明确时可考虑下载页提供的通用包。准确判断仍应以设备系统与包说明为准。系统安装器提示不兼容时，先检查架构、系统要求和下载是否完成；提示与现有应用冲突时，应检查包来源与签名是否一致。不要先卸载再排查，因为卸载通常会移除应用私有数据，原有订阅和自定义设置可能无法恢复。

安装外部下载的应用时，Android 会按发起安装的来源管理授权。只给当前使用的文件管理器或浏览器授予必要权限，完成安装后可按需要收回。若设备受组织管理，安装或 VPN 权限可能受策略限制，应遵循设备管理要求。系统限制不应通过未知工具绕过；先确认是安装权限、应用兼容性还是设备策略问题，再决定后续操作。

添加订阅、更新并选择配置

在应用内打开订阅设置或订阅分组入口，新增名称与完整 URL，保存后返回主界面执行更新。远程订阅和剪贴板单条配置应使用各自入口。更新完成后检查列表是否出现配置，并选择准备连接的一项。若服务提供方同时给出不同协议条目，应按已有说明选择，不要以条目排序推断性能，也不要把地址与认证字段拼接到另一条不相关配置中。

扫码导入适合单条分享配置，但二维码内容仍可能包含认证信息。使用系统截图或跨设备传图时，要注意图片保存位置和共享范围。订阅更新失败后，可先看应用日志，区分请求失败、返回空内容与解析失败。浏览器能打开账户网站不意味着订阅接口也可用；接口可能需要完整路径与查询参数，复制时遗漏一段就会得到完全不同的返回内容。

理解系统 VPN 授权与应用范围

首次连接时，Android 通常通过系统 VPN 接口建立本地流量接管，需确认系统弹出的连接授权。这是本机流量进入客户端的入口，不等于应用已经成功连接到远程服务器。授权完成后仍需观察日志和实际访问结果。系统状态栏出现 VPN 标记，只能说明本地接口处于工作状态，不能单独证明所选服务器可达或 DNS 已按预期解析。

Android 通常只允许一个应用占用当前用户的活动 VPN 通道。已有其他隧道程序、网络过滤应用或工作资料中的网络组件时，应先确认冲突，再测试连接。应用分流名单也会改变接管范围：白名单与绕过名单含义不同，保存后可能需要重新连接才生效。某个应用仍然直连时，应先核对它是否在接管范围内，而不是立即更改服务器或重新导入订阅。

后台运行、网络切换与 DNS

连接仅在锁屏后断开，通常需要检查后台运行与电池策略。按系统提供的设置允许必要的后台活动，再测试熄屏与恢复；不同设备的菜单名称可能不同，不应照搬其他厂商截图。持续连接也不意味着要关闭设备全部省电功能，应只处理与客户端有关的限制。若设置了始终开启的 VPN，还要理解它与“未连接时阻止网络”选项之间的关系，避免误以为普通网络同时损坏。

无线网络与移动网络切换后，底层地址、解析器和可达路径可能变化。先等待应用重建连接，再查看日志中是否有明确错误。只在某个网络下失败时，应比较该网络的登录状态、DNS 与服务器可达性，而不是删除全部配置。系统私人 DNS、客户端 DNS 与应用自身的加密解析也可能共同作用，应一次只改变一个解析来源，记录哪次修改影响了结果。

迁移到新设备后要重新确认系统 VPN 授权、后台策略和应用范围，这些系统设置不一定随配置文件迁移。完成迁移后先用默认路由验证，再恢复自定义分流与 DNS。关于导入入口与更新动作的常见差异，可结合快速上手教程逐步核对，其他安装及使用疑问见帮助中心。

06 / CONFIGURATION LAYERS

订阅与分流：保存、匹配与解析

订阅更新不是全部设置同步

订阅通常用于分发服务器配置，不等于同步本机所有偏好。系统代理、本地端口、TUN 权限和应用分流一般仍由设备本地管理。更新时客户端可能替换或重建订阅条目，因此不要把长期手工修改只保存在会被覆盖的条目里。确有固定修改需求时，可使用客户端支持的独立配置或分组方式，同时记录修改原因，避免下次更新后无法判断哪些字段来自订阅、哪些来自手工调整。

更新订阅与连接服务器采用的网络路径也可能不同。当前代理不可用时，选择经代理更新可能失败；订阅接口在直连网络不可达时，选择直连更新也会失败。应依据实际可用路径选择更新方式，而不是反复切换直到偶然成功。更新前后核对分组、条目与当前选中项，确认是否发生服务器替换，再决定是否重新测试。订阅里保留旧名称并不能证明底层地址没有变化。

先判断流量是否进入内核

路由规则只处理已经进入内核的流量。应用忽略系统代理时，无论添加多少域名规则都无法让该应用自动进入代理。相反，流量经 TUN 进入内核后，仍然可以根据规则选择直连，因此接管范围与远程出口选择是两个层次。排查时先确认入口，再确认路由命中，最后看出口连接。把三层混在一起，容易出现浏览器正常而其他应用一直失败的误判。

下面是路由规则片段，用于说明私有地址与中国大陆域名分类的匹配方式，不是可直接替代客户端完整配置的文件。使用前需确认所选内核支持这些字段、规则资源存在，并且出站标签已经在实际配置中定义。客户端可能使用不同的标签命名，示例中的名称不能脱离当前配置独立工作。优先通过客户端路由编辑界面维护，手工编辑前先备份。

{
  "routing": {
    "domainStrategy": "AsIs",
    "rules": [
      {
        "type": "field",
        "ip": ["geoip:private"],
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "domain": ["geosite:cn"],
        "outboundTag": "direct"
      }
    ]
  }
}

规则顺序、资源文件与默认出口

常见路由实现按规则顺序检查，前面命中的规则会影响后面的规则能否生效。具体域名例外应放在更宽泛分类之前，再检查客户端预设是否额外生成了其他规则。上面片段没有规定未匹配流量的去向，默认出口还要结合完整配置判断。不能看到两条直连规则就推断其余流量一定走代理，也不能把界面中的“全局”理解成绕过所有本机应用设置。

geosite:cn 依赖域名分类数据，geoip:private 依赖相应地址分类支持。域名规则需要可用于匹配的域名信息，IP 规则依据目的地址判断，两者不能机械互换。规则库缺失或标签不存在时，内核可能启动失败；规则库内容变化也可能改变分流结果。更新客户端后应一并观察资源加载日志，具体说明见GeoIP 与 GeoSite 规则库更新方法。

DNS 与内核切换的边界

DNS 分流和连接分流需要配合，但不是同一个配置项。域名走直连出口，不代表查询一定使用本地解析器；远程 DNS 地址本身也需要可达路径。引入 FakeDNS 后还要考虑虚拟地址映射与接管范围，不能仅从其他配置复制一个开关。应先在普通解析模式验证连接，再逐步引入分流。需要配置细节时可阅读V2Ray DNS 分流配置说明，并对照当前内核字段。

切换 Xray 与 V2Fly 时，要重新核对协议、传输、安全参数及客户端生成的配置。客户端提供选择项，不代表任意组合都兼容。切换前保留原配置和日志，切换后先确认内核启动成功，再测试原来能够访问的目标。不要在切换内核的同时更换 DNS、路由和服务器，否则即使结果改变，也无法判断究竟是哪项调整起了作用。

07 / DIAGNOSTICS

配置常见问题：从启动到连接逐层检查

先记录现象，再选择检查层级

故障描述应包含平台、客户端、接管模式、发生动作与错误类型。把“连不上”拆成应用打不开、内核无法启动、订阅更新失败、浏览器访问失败或只有某个应用失败，才能选择有效检查路径。先保留一份当前配置，不要马上清空数据。日志应围绕故障发生时间读取，启动时的旧错误与后来某次访问失败可能没有关系，不能只搜索一个醒目的报错词就下结论。

检查顺序建议固定为本机网络、客户端进程、内核启动、本地监听、服务器连接、域名解析和应用接管。每层只验证一个问题，并保留结果。一个已知可用的普通网页可以用来比较前后状态，但不要把单个网站能否打开作为全部连接结论；网站自身故障、账户限制或应用缓存也会改变结果。排查目标是缩小范围，而不是不断更换配置直到暂时出现成功。