协议与传输
协议决定通信方式，传输承载数据，安全机制负责连接保护；这三层不能仅凭一个名称互相替代。
- VMess代理协议 · 用户标识认证
- VMess 是 Project V 生态中的代理协议，使用用户标识进行认证，常见配置还包括服务端地址、端口、传输方式和安全设置。客户端与服务端必须对这些参数达成一致，不能只填一个地址就建立连接。认证对时间有要求，设备时间明显偏差时，应先同步系统时间，再判断是否为配置失效。
- VLESS轻量代理协议 · 与安全层组合
- VLESS 精简了协议层的处理，本身不承担通信内容加密，常配合 TLS 或 REALITY 等安全机制使用。导入时除用户标识外，还应保留传输方式、服务端名称和流控等原始参数。VLESS 与 VMess 不是可以直接互换的标签，将协议下拉框改名并不能完成配置转换。
- Trojan代理协议 · 密码与 TLS
- Trojan 通常在 TLS 连接上承载代理通信，并以密码完成认证。除地址与密码外，服务端名称、证书验证及实际传输方式同样影响连接结果。证书报错时应核对域名、设备时间和服务端配置，不宜把关闭证书验证作为日常解决方式。
- REALITY传输安全机制 · Xray 生态
- REALITY 是 Xray 生态中的传输安全机制，不是独立的代理协议，常与 VLESS 一起出现。连接需要匹配公钥、服务端名称、短标识等配置，具体字段受客户端与内核版本影响。看到 REALITY 字样时，应确认当前内核支持这套配置，而不是只检查协议列表里是否有 VLESS。
内核与生态
界面负责配置，内核执行连接。排查兼容性时，应同时确认两者，而不是只看软件名称。
- Project V项目体系 · 模块化代理通信
- Project V 是以模块化代理通信为核心的项目体系，V2Ray 是理解这一生态的重要起点。日常讨论里的“V2Ray”有时指内核，有时泛指兼容协议和客户端，阅读教程时需要看具体上下文。选择软件前先分清协议名称、执行内核和图形客户端，能够避免把三者的能力混为一谈。
- V2Fly社区项目 · V2Ray 核心维护
- V2Fly 是维护 V2Ray 核心及相关组件的社区项目，实际连接能力由所用内核版本决定。Android 客户端 v2flyNG 是使用这一路内核的选择之一，但客户端名称并不等同于协议名称。迁移配置时应核对协议、传输和字段支持情况，不能假定另一内核的全部配置都可原样运行。
- Xray代理内核 · 连接与路由执行
- Xray 与 V2Ray 具有技术渊源，承担协议协商、连接处理和路由执行等工作，部分功能沿各自路线发展。v2rayN 可以管理内核配置，v2rayNG 则是常见的 Android 图形客户端选择。内核启动失败时，应查看启动日志中的具体字段或文件错误，而不是仅凭界面已打开判断连接正常。
- 内核与客户端执行层与配置界面的区别
- 客户端提供订阅管理、服务器选择、日志查看等界面，内核在后台按生成的配置执行网络任务。界面能显示某项设置，不代表当前选用的任意内核都能识别该字段。更新客户端、更新内核和更新订阅是三件不同的事，遇到问题时应记录实际更改了哪一层。
订阅与节点
订阅用于获取配置，节点用于描述连接；分享与备份时还要考虑敏感信息和迁移范围。
- 订阅链接一组连接配置的获取地址
- 订阅链接是客户端用来获取一组连接配置的地址，返回内容必须是客户端能识别的格式。链接中可能携带身份信息，不适合放进公开截图、日志或讨论记录。导入失败时先区分地址访问失败与格式解析失败；订阅转换只是格式适配，不会自动补齐来源中缺失的连接参数。
- 节点服务器条目 · 连接配置
- 节点通常指客户端列表中的一条连接配置，包含服务端地址、端口、协议、认证和传输安全参数。列表里的显示名称只是备注，不能据此确认实际服务位置或连接质量。选中节点表示把它作为当前连接候选，应用是否使用它，还取决于代理模式、路由规则和内核是否正常运行。
- 订阅更新刷新配置列表 · 不是程序升级
- 订阅更新是重新请求订阅地址，并按客户端的处理方式刷新配置列表；它不会替代客户端或内核升级。来源发生变化时，原有条目可能被修改或移除，因此不宜把订阅条目当作长期手工编辑的备份。更新后应确认当前选中项仍然存在，再进行连接测试，避免把选项变化误判为网络故障。
路由与分流
规则判断条件，出站执行连接。先核对顺序与数据来源，再检查最终匹配结果。
- 路由规则匹配条件 → 出站标签
- 路由规则根据域名、IP、端口或进程等条件选择出站，具体可用条件取决于内核与客户端。规则通常自上而下匹配，命中后使用对应出站，因此宽泛条件可能遮住后面的精细条件。排查时先检查规则顺序，再确认请求是否带有可用的域名信息，兜底处理应放在最后考虑。
- GeoIPIP 地址集合 · 区域与用途分组
- GeoIP 将 IP 地址按区域或用途组织为路由集合，例如
geoip:private常用于匹配私有地址。集合结果受到数据来源和更新版本影响，不能视作地址实际位置的绝对证明。使用 IP 条件时，还要考虑域名何时被解析，以及当前路由策略是否会为匹配主动查询地址。
- GeoSite域名分类集合 · 依赖规则数据
- GeoSite 按类别组织域名，规则可引用
geosite:cn等分类，而不必逐个维护域名。分类是否存在、包含哪些条目，都取决于当前加载的数据文件。若日志提示分类缺失，应检查数据文件与分类名称；单纯改变规则先后顺序无法修复不存在的分类。
- 分流与出站请求分配过程与实际连接配置
- 分流是把不同请求交给不同处理路径的过程，出站则是实际执行连接的配置。界面常用
direct、proxy、block标记直连、代理和阻断，但标签名称本身并不自动产生行为，必须对应正确配置。直连也需要设备能够访问目标，选择直连并不意味着跳过正常的网络条件。
客户端功能
代理模式决定哪些流量进入客户端，连接测试只验证特定目标，两者都需要明确作用范围。
- 系统代理向系统登记本地代理地址
- 系统代理把本地代理地址登记到操作系统，主要影响遵循该设置的应用，并不会自动接管所有网络连接。v2rayN 中的“自动配置系统代理”与“清除系统代理”改变的是系统设置，不是远端连接参数。退出客户端后若保留了失效的代理地址，浏览器仍可能继续向已停止的本地端口发起请求。
- TUN 模式虚拟网络接口 · 更广的流量接管
- TUN 模式通过虚拟网络接口接收流量，可处理部分不遵循系统代理的应用，通常需要管理员或相应网络权限。实际接管范围由系统路由、排除规则、IPv6 配置及具体实现共同决定，不能仅凭开关已亮就认定所有流量都被处理。启用前应确认权限与 DNS 设置，并留意其他虚拟网卡软件的路由冲突。
- 延迟测试测试方法不同，结果不可直接比较
- 延迟是一次特定测试所需时间，TCP 建连、HTTP 请求和其他探测方法覆盖的过程并不相同。TCP 端口可连接，只能说明对应连接阶段可达，不能证明协议认证和目标访问都成功。比较结果时应使用相同方法与测试目标；延迟较低也不直接代表持续下载速度更高。
- 真连接延迟经代理配置发起请求的测试
- 客户端里的真连接延迟通常通过当前代理配置向测试地址发起请求，比单纯探测服务端端口覆盖更多连接环节。是否计入 DNS、握手与重定向，以及成功状态如何判定，要以具体客户端实现为准。测试失败可能来自测试地址本身或该地址的路由，不足以单独证明所有应用都无法连接。
网络基础
域名解析、地址映射和本地端口是不同环节。先定位问题发生在哪一层，再调整设置。
- DNS域名解析 · 连接前的地址查询
- DNS 用于把域名解析为 IP 地址等记录，解析结果会影响后续连接和按 IP 执行的路由判断。系统、浏览器与代理内核可能各自具有 DNS 设置，修改其中一处不一定改变全部查询路径。遇到域名无法访问时，应分别检查解析是否成功、得到的地址是否可达，以及请求最终使用了哪个出站。
- FakeDNS虚拟地址与域名映射
- FakeDNS 返回特定地址池中的虚拟地址，并维护虚拟地址与原始域名的映射，让后续处理环节保留域名信息。这些地址不是目标服务器的真实地址，需要由能识别映射的组件继续接管连接。启停模式后若应用仍缓存旧地址，可能出现访问异常，应结合客户端实现处理 DNS 缓存与接管范围。
- DNS 泄漏查询路径偏离预期
- DNS 泄漏通常指域名查询没有经过预期的解析路径，而是被系统或应用交给其他解析服务。是否属于异常，取决于原本设计的分流目标；直连域名采用本地解析不应仅凭位置就判为故障。检查时需要同时看浏览器安全 DNS、系统解析、内核 DNS 和 TUN 设置，单个检测页面只能反映部分情况。
- 本地监听端口应用连接客户端的本机入口
- 本地监听端口是客户端在设备上接收连接的入口，与远端服务器端口不是同一个概念。部分 v2rayN 配置使用
10808作为 SOCKS/HTTP 混合监听端口，实际值应以当前参数设置为准，应用中填写的协议和端口必须与之匹配。端口被其他程序占用会导致内核启动或监听失败，通常应先从日志定位冲突。