V2Ray 全平台
安装与配置

通用准备：先确认配置来源与接管方式

客户端、内核与节点的分工

客户端负责保存订阅、展示节点、生成配置和控制连接。内核负责协议握手、路由匹配与数据转发。节点则是实际连接的远端服务。安装 v2rayN 或 v2rayNG，不会自动获得可用节点；协议名称相同，也不代表地址、身份字段和传输参数可以互换。开始操作前，先确认已取得有权使用的订阅地址或完整节点参数，再按系统选择客户端。

桌面使用 v2rayN，可在 Windows、macOS、Linux 之间保持接近的配置习惯。Android 首选采用 Xray 内核的 v2rayNG；需要 V2Fly 生态配置时，再考虑 v2flyNG。具体协议能力取决于实际内核和客户端实现，不只看名称。导入前应向配置提供方确认分享格式、传输类型和 TLS 要求，避免把内核不认识的字段当成网络故障。

确认系统架构与安装位置

Windows 在“设置 → 系统 → 系统信息”查看系统类型；macOS 在苹果菜单的“关于本机”查看芯片；Linux 在系统“关于”页面确认发行版和处理器架构。Android 可在“设置 → 关于手机”查看机型，再对照设备规格。安装包架构必须与设备兼容，不能仅凭文件体积判断。各平台入口统一在下载页，先选系统，再选相应架构与包格式。

同时确认用户目录可写、磁盘空间充足、系统日期和时区正确。证书验证依赖准确时间，时间偏差也可能影响带时间约束的协议。已有旧客户端时，先记录节点分组、路由模式、监听端口和订阅更新方式。不要直接把旧目录中的所有文件覆盖到新安装中；不同界面或内核的配置结构可能变化，应先备份，再逐项迁移。

区分系统代理、应用代理与 TUN

系统代理是向遵循系统设置的应用公布本地代理地址，并不保证所有程序都会使用。应用代理是在某个程序内部单独填写地址和端口。TUN 则通过虚拟网络接口接收流量，接管范围通常更广，但依赖权限、路由和 DNS 配合。三者是流量进入客户端的方式；客户端里的“全局”或“绕过”路由，决定流量进入以后如何转发，不能混为一项。

准备订阅与恢复记录

订阅是一组可更新的节点描述，不是账户登录页。复制时保留完整路径和查询参数，避免带入空格、换行或消息末尾标点。含账户标识的订阅地址属于敏感信息，不应放进公开截图、在线解码工具或共享文档。建立独立订阅分组，后续更新、替换和删除都以分组为单位操作，可以减少手工节点与订阅节点混杂的问题。

首次配置先只启用一种接管方式，并保存系统代理原状态。完成连接验证后，再添加 TUN、复杂分流或自定义 DNS。这样出现问题时可以明确回退到哪一步。若设备受单位策略管理，先确认网络配置权限；不能修改系统代理或创建虚拟接口时，应遵守设备管理规则，不要把权限限制误判为安装失败。

Windows：v2rayN 安装与系统代理

桌面版与经典 WPF 版的选择

在Windows 下载选项中，v2rayN 提供桌面版与经典 WPF 版入口。桌面版采用跨平台界面，WPF 版保留经典 Windows 操作布局。两者都需要正确的节点配置和可运行的内核，界面差异不代表节点质量差异。首次安装可优先选择桌面版；已有 WPF 使用习惯时，保留原配置备份后再决定是否切换，不必同时运行两套。

运行安装程序，按向导完成安装。首次启动若提示运行环境缺失，应按该发行包的提示补齐对应系统组件，不要随意复制其他软件目录里的运行库。安装完成后先打开主窗口，确认日志区域没有持续的启动错误。普通系统代理通常不要求以管理员身份启动；只有涉及 TUN、服务或网络接口管理时，再按客户端提示授予相应权限。

在订阅分组中导入地址

主窗口进入“订阅分组 → 订阅分组设置”，添加分组名称与订阅地址，保存后回到主界面。在“订阅分组”菜单执行“更新当前订阅（不通过代理）”，适合当前网络能直接访问订阅服务器的情况。若订阅服务器只能通过已有可用代理访问，再选择通过代理的更新项。菜单措辞会随界面调整，但应区分当前分组与全部分组，避免误更新其他来源。

更新后在对应分组查看服务器列表。列表为空时，先读更新日志，区分请求失败、返回登录页面与内容解析失败。复制分享链接时，可从“服务器”菜单选择“从剪贴板导入批量 URL”；二维码则使用相应扫描入口。订阅地址、单节点分享链接和内核原生 JSON 是不同输入格式，不应全部粘贴到地址栏。结构区别见订阅与分享链接格式对照。

选择活动节点与开启系统代理

在服务器列表选中节点，通过右键菜单的“设为活动服务器”或界面对应操作启用。先观察日志中的内核启动结果，再在托盘图标右键菜单“系统代理”中选择“自动配置系统代理”。返回 Windows“设置 → 网络和 Internet → 代理”，检查手动代理地址是否指向客户端实际监听地址。端口以 v2rayN 参数设置和日志为准，不要照抄其他设备的数值。

浏览器若装有单独控制代理的扩展，应先停用扩展规则，避免覆盖系统设置。公司网络使用自动配置脚本时，先记录脚本地址；系统代理切换可能影响原有访问路径。需要停止使用时，先在 v2rayN 的系统代理菜单清除代理，再退出程序。若直接结束进程，系统可能仍指向已关闭的本地端口，表现为浏览器整体无法访问。

TUN 权限、端口与常见冲突

系统代理验证正常后，再打开主界面的“TUN”开关。若提示权限不足，退出后按需要使用管理员权限启动，并重新确认活动节点。TUN 建立失败时看日志中的虚拟接口、路由和权限信息，不要连续重装客户端。其他 VPN、虚拟机网络和安全软件也可能修改路由；先一次只保留一个接管工具，确定冲突来源后再考虑共存配置。

日志若出现端口绑定失败，进入“设置 → 参数设置”检查本地监听端口，并停止占用同一端口的旧实例。不要通过开启“允许来自局域网的连接”解决本机绑定问题，该项会改变暴露范围。远程桌面中切换 TUN 前应准备恢复手段，路由调整可能中断会话。最后重启一次客户端，确认订阅仍在、活动节点正确、系统代理退出后能够恢复。

macOS：芯片选择、授权与代理恢复

按芯片安装 v2rayN

打开苹果菜单“关于本机”，显示 Apple 芯片时选择 Apple Silicon 安装入口，显示 Intel 处理器时选择 Intel 入口。对应文件在macOS 下载选项中。打开磁盘映像后，按安装界面将应用放入“应用程序”，再从该目录启动。不要长期从临时挂载的映像中运行，否则升级、路径引用和权限记录可能与实际安装位置不一致。

首次启动若被系统阻止，先确认文件来源和安装过程，再查看“系统设置 → 隐私与安全性”中的具体提示。只有确认是预期应用时，才使用系统提供的单次授权入口。不要关闭整个系统的安全机制。若提示应用损坏或无法运行，先重新取得匹配芯片的安装文件，并确认系统满足该发行包要求；这类错误不能靠修改节点参数解决。

导入订阅并确认活动服务器

进入 v2rayN“订阅分组 → 订阅分组设置”，新建分组并保存地址，然后更新当前订阅。首次尚未建立代理时，优先尝试不通过代理更新；只有已有可用连接且订阅来源确实需要该路径时，才改为通过代理更新。更新结束检查日志中的请求与解析结果，再确认服务器列表出现了预期内容。分组名称只是本地备注，不会改变订阅服务器返回的节点。

选中节点后设为活动服务器，观察内核是否成功启动。若从另一台电脑迁移，优先重新导入订阅，而不是直接复制完整程序目录。桌面配置可以包含系统相关路径、窗口状态和内核文件位置；这些信息跨系统不一定有效。手工节点则逐项核对端口、身份、TLS、SNI 与传输路径，不能仅比较备注名称。名称相同不表示配置内容相同。

检查当前网络服务的代理状态

在客户端中启用系统代理后，进入“系统设置 → 网络”，选择当前使用的 Wi-Fi 或以太网服务，再打开“详细信息 → 代理”。检查网页代理、安全网页代理或 SOCKS 代理是否与客户端设置一致。不同系统界面的名称可能略有差别，关键是查看正在使用的网络服务，而不是一个未连接的接口。地址和端口必须与实际监听一致，协议类型也要对应。

切换 Wi-Fi、接入网线或更换网络位置后，如果浏览器行为变化，重新检查当前服务的代理项。部分程序保留自己的网络设置，未必跟随系统代理；应在程序内部确认是否选择“使用系统代理”。同时留意浏览器扩展是否接管代理。不要为了排除扩展影响直接删除全部浏览器数据，先用干净配置或暂时停用扩展的窗口做对照即可。

TUN、休眠与退出后的恢复

需要接管不遵循系统代理的程序时，再尝试 TUN。按客户端提示完成必要授权，开启后看日志是否成功建立接口和路由。若切换开关后没有流量，先关闭 TUN，确认普通系统代理仍能工作；随后检查权限、其他 VPN 和 DNS 设置。不要把系统代理与 TUN 的所有选项同时反复切换，否则难以判断实际改变了哪条路径。

电脑休眠后网络接口可能重新建立。唤醒时若无法连接，先确认网络已经恢复，再重启当前连接或重新启用接管方式。若只在特定 Wi-Fi 下失败，检查该网络是否有认证页面，必要时暂时停止代理完成正常网络认证。此时订阅和节点配置通常不需要删除，先把问题限定在网络恢复阶段，避免重新导入造成重复分组。

Android：订阅导入与 VPN 接管

v2rayNG 与 v2flyNG 的安装选择

在Android 下载选项中优先选择 v2rayNG，其内核为 Xray；需要 V2Fly 生态配置时使用 v2flyNG 作为备选。较新的主流手机通常选择 arm64，不能确认设备架构时再考虑通用版。通用版覆盖更多架构，但不能绕过系统版本或硬件兼容要求。两款客户端的节点格式支持范围可能不同，不能因为都能扫描二维码就认为所有协议完全通用。

打开安装文件时，系统可能要求允许当前文件管理器或浏览器安装应用。只给本次需要的来源授权，安装完成后可在系统设置中收回。若提示包与现有应用冲突，先确认是否正在更新同一应用、安装来源是否一致；不要立即卸载旧程序。卸载可能清除本地节点、分应用规则和订阅分组，应先完成配置备份，再处理安装冲突。

添加订阅与从剪贴板导入

v2rayNG 从侧栏进入“订阅分组设置”，通过添加入口填写备注与完整订阅地址，保存后回到主列表，在菜单中执行“更新订阅”。导入单个分享链接时，使用主界面添加菜单中的“从剪贴板导入”；二维码使用扫描入口。v2flyNG 的入口布局可能不同，按“订阅分组设置”及订阅更新操作查找，不要把其他客户端的按钮位置当成固定标准。

更新没有节点时，先确认复制的是实际订阅链接，而不是账户管理页。部分来源返回的是需要额外请求条件的内容，移动客户端未必可以识别。打开日志判断是网络访问失败还是格式解析失败，再向配置提供方确认格式。切勿把完整订阅链接贴到公开求助截图；即使节点地址已打码，地址查询参数中的账户标识也可能仍可被他人使用。

启动连接与系统 VPN 授权

在主列表点选节点，确认选中状态后，点击右下角连接按钮。首次启动会出现 Android 的 VPN 连接请求，允许后客户端才能创建本地接管接口。这里的授权用于把设备流量交给客户端处理，不代表远端节点已经连通。系统显示 VPN 图标，只能说明接管服务处于运行状态；仍需通过日志和实际访问确认远端握手与路由是否正常。

同一用户环境中，其他 VPN 类工具可能占用系统接管位置。启动客户端后若另一个连接被停止，先确认两者是否都在使用 VPN 服务。需要分应用时，在客户端“设置 → 分应用代理”中选择相应模式，并仔细阅读是代理所选应用还是绕过所选应用。修改名单后重新建立连接，再打开目标应用验证，不能只根据名单里是否打勾判断方向。

后台限制与网络切换

应用退到后台后频繁断开，进入 Android“设置 → 应用 → v2rayNG → 电池”检查后台限制；不同厂商可能把入口放在电池优化、后台管理或自启动管理中。按实际需要允许后台运行，避免系统在锁屏后结束服务。不要把所有应用都改为不受限制，只调整需要持续连接的客户端，并观察电量和网络使用情况。

Wi-Fi 与移动数据切换会改变本地地址、路由和解析环境。切换后连接停滞时，先停止再启动连接，检查节点地址是否能够重新解析。若仅某个应用失败，核对分应用规则、应用自身代理设置和后台联网权限；若所有应用同时失败，再检查活动节点与基础网络。连接图标存在但日志没有新请求，通常应先检查流量有没有进入服务，而不是立刻更换协议。

迁移到另一部手机时，优先重新添加订阅，再单独恢复分应用规则。应用名单依赖新设备实际安装的软件，直接照搬旧名单可能遗漏目标应用。二维码和分享链接只适合转移对应节点，不一定包含订阅更新地址、DNS 与路由配置。多设备方案可继续查阅节点与配置同步说明。

Linux：包格式、桌面代理与权限

按发行版和架构选择安装包

Linux 桌面使用 v2rayN。先在系统“关于”页面确认发行版与处理器架构，再到Linux 下载选项选择安装包。Debian 系通常使用 deb，采用 RPM 包管理体系的发行版选择 rpm；两种格式不是可以随意改后缀互换的压缩包。常见桌面处理器使用 x64，ARM 设备则选择对应 arm64 入口。发行版、架构和桌面运行环境都需要同时匹配。

使用系统软件安装器打开文件，查看依赖提示并按发行版正常流程完成安装。若安装器报告缺失依赖，应先确认当前系统软件源可用，不要从其他机器复制动态库到程序目录。安装完成后从应用菜单启动 v2rayN，先检查窗口和日志能否正常显示。远程无桌面环境不属于这里的图形客户端操作流程，不应照搬桌面系统代理设置来配置后台服务。

订阅导入与配置目录权限

进入“订阅分组 → 订阅分组设置”添加地址，保存后更新当前订阅，再从列表设定活动服务器。首次运行先使用普通用户启动，让配置写入当前用户可管理的位置。若曾以管理员身份运行，后来出现无法保存或更新异常，应检查相关配置目录的所有者和访问权限。不要通过长期以高权限运行整个图形程序来掩盖目录权限问题。

更新失败时观察日志里的请求错误。基础网络可用但订阅无法访问，不代表客户端安装有误；可能是地址过期、返回内容不是节点列表，或需要通过现有代理更新。导入成功后仍要检查传输与 TLS 字段是否被识别。桌面程序能够打开，只能证明界面运行正常，内核启动、配置生成和远端握手还需要分别验证，不能把这些阶段合成一个“安装成功”结论。

GNOME、KDE 与应用的代理边界

GNOME 桌面通常在“设置 → 网络 → 网络代理”配置手动代理；KDE Plasma 通常在“系统设置 → 网络 → 代理”查看相应项目，具体分类随桌面版本调整。将代理协议、地址和端口与 v2rayN 实际监听对应。HTTP 与 SOCKS 入口不能只因为端口相近就互换。若客户端自动设置系统代理没有生效，先查看桌面代理页面，再决定是否手动填写。

桌面代理不一定传递给终端程序，环境变量也不一定影响已启动的图形应用。某个程序没有请求记录时，先查看它自身的网络设置或代理支持说明。隔离运行的应用还可能有独立网络环境；不要把容器中的回环地址理解成宿主机回环地址。需要访问宿主机代理时，应明确网络边界和访问控制，而不是直接把监听地址扩大到所有接口。

TUN 与已有网络工具共存

启用 TUN 前，确认普通代理能够完成访问，再按客户端提示处理虚拟接口与权限。不同发行版的权限管理方式不完全一致，应以实际错误和发行包说明为依据。日志出现无法创建接口、权限不足或路由添加失败时，先解决对应阶段。不要把整个桌面会话切换到管理员账户，也不要随意给不相关程序增加网络管理权限。

虚拟机、容器网络和其他 VPN 会增加路由复杂度。启用 TUN 后局域网设备不可达时，先检查私有地址是否按预期直连，再看是否存在重叠网段。修改路由规则前保留原配置，每次只改变一个条件。DNS 服务也可能由系统网络管理器维护，手工修改解析文件可能被自动覆盖，应该先确定实际生效的解析管理入口，再决定由客户端还是系统处理域名。

退出前关闭 TUN、恢复桌面代理，然后确认普通浏览器可以直接联网。若仅终端异常，检查当前会话是否保留了代理环境变量；若所有应用异常，再查看系统代理与路由。升级前备份订阅和自定义规则，升级后先按原有简单模式验证，不要在同一次操作中同时更换内核、修改 DNS 和引入新路由，这样才能保留可比较的基线。

路由与 DNS：分开检查入口和出口

全局代理不等于全设备接管

先判断请求有没有进入客户端，再判断进入后走哪个出口。系统代理只影响遵循代理设置的应用；即使在路由菜单选择“全局”，没有进入客户端的请求也不会因此被接管。反过来，开启 TUN 后仍可通过路由让局域网与指定域名直连。因此排查“全局代理没有效果”时，应同时记录接管方式、活动路由和目标应用，不能只看一个模式名称。

v2rayN 可从主界面路由选择位置切换预设，并在“设置 → 路由设置”查看规则；Android 客户端从“设置”中的路由相关项目检查。不同界面的预设名称可能不同，应展开查看实际匹配条件。规则通常按顺序判断，前面的宽泛条件可能覆盖后面的具体条件。把例外域名加在一个已经匹配全部流量的规则后面，通常不会达到预期结果。

读懂域名规则与出口标签

下面是内核配置中的路由结构片段，用于说明字段关系，不是可以单独启动的完整配置。它依赖可用的 geosite 数据，并要求完整配置中存在标签为 direct 的出站。代理出口仍需由实际节点配置定义。客户端会生成自己的完整配置，修改前应确认编辑的是路由规则入口，还是自定义配置文件，避免把片段粘贴到订阅地址或节点分享链接输入框。

{
  "routing": {
    "domainStrategy": "AsIs",
    "rules": [
      {
        "type": "field",
        "domain": ["geosite:cn"],
        "outboundTag": "direct"
      }
    ]
  }
}

geosite:cn 是域名集合引用，不是对所有中国地址做实时地理判断。集合内容与数据文件有关，目标域名也可能通过别名或其他资源域名加载内容。outboundTag 必须对应已有出站标签，不能只填写一个看起来合适的名称。测试时用少量明确域名验证命中，再扩展到集合；不要依靠网页语言判断规则是否正确。

系统解析与内核解析的区别

DNS 的任务是把域名转换成地址，但解析请求可能由系统、应用、内核或远端代理发起。应用若先自行解析再发出 IP 请求，客户端可能已经看不到原始域名；若应用把域名交给代理，则可由后续链路处理。浏览器的加密 DNS 也可能改变解析路径。所以“修改 DNS”不是统一动作，必须说明改的是系统网络设置、浏览器设置，还是客户端生成的内核 DNS。

检查 v2rayN“设置 → DNS 设置”或 Android 客户端“设置”中的本地、远程 DNS 项时，先保留默认方案并建立基线，再调整一个解析入口。远程 DNS 若依赖尚未建立的代理，而节点域名又必须通过它解析，可能形成启动依赖循环。处理时需要保证节点地址的初始解析路径可用，不能只把所有 DNS 请求一律指定到代理链路。

局域网、IPv6 与验证边界

局域网设备、打印机和本地服务通常需要直连。若连接后只能访问外部网页，却打不开路由器管理页，检查私有地址路由与本地域名解析，而不是关闭全部分流。IPv6 也需要独立核对：系统拿到 IPv6 地址，不代表当前节点、TUN 或解析方案支持同样的路径。只验证 IPv4 访问成功，不能据此推断双栈环境下所有请求都按同一规则处理。

复杂问题先恢复客户端预设，再逐项加入自定义规则。记录目标域名、实际解析结果、命中出口与错误阶段，比反复切换 DNS 地址更有意义。若只有 UDP 相关应用失败，应确认节点协议、传输和接管方式是否支持其流量，而不是只调整网页代理。更多集中问答可在常见问题中查阅；排错记录中保留字段名称即可，不必公开身份信息。

连接验证：日志、测速与跨设备迁移

按基础网络、内核和请求顺序验证

先停止接管，确认设备能够正常访问当前网络允许的普通站点。酒店、校园或访客网络可能需要先完成认证，不能把尚未联网的状态当成节点超时。随后启动客户端，设定一个活动节点，观察内核是否成功运行。最后只打开一个目标应用发起请求，查看日志是否出现对应连接。这个顺序能把基础网络、配置生成和代理转发三个阶段分开，避免一次改动过多设置。

日志没有目标请求时，优先检查接管入口：系统代理是否被其他工具覆盖，应用是否使用独立代理，分应用名单是否选反。日志有请求但握手失败时，再检查节点参数、系统时间、TLS 和网络可达性。若请求已成功转发但页面仍不完整，查看页面其他资源域名的路由和解析情况。一次网页加载包含多个连接，不能用首页标题出现就代表所有资源都正常。

区分端口测试、真连接与下载测速

TCPing 一类测试主要观察到目标端口的建立连接过程，不等于完整代理协议可用。真连接延迟会进一步经过代理握手与测试目标请求，更接近实际使用链路；下载测速则关注一定时间内的吞吐。三者回答的问题不同，不应按同一数值排名。端口能连但真连接失败时，应检查身份、传输与 TLS，而不是把端口测试结果当成节点正常的最终证据。

测速受本地网络、测试目标、节点出口和并发负载影响。不同设备、不同时间或不同测试地址的结果不能直接比较。为了减少干扰，一次只测少量候选节点，并停止其他大流量任务。实际选用时优先确认目标应用能持续完成请求，再观察延迟和吞吐。原理可参考TCPing、真连接延迟与下载测速区别，不要把单次测试当成长期质量保证。

阅读错误阶段，而不是只看最后一行

端口绑定错误通常发生在本地启动阶段；连接超时可能位于网络建立或后续握手；证书错误则应结合主机名、系统时间与验证要求检查。读取错误前后的几行，确认当时启用的是哪个节点和哪个出口。长时间保留的日志可能混有旧连接错误，切换后先记下时间点再测试，避免拿上一节点的失败信息解释当前节点的行为。

提交求助记录时，保留客户端名称、操作系统、接管方式、错误关键词及复现步骤。移除订阅地址、身份字段、敏感域名和账户信息。不要为了截图清晰而展示整个配置文件；通常只需要相关字段和错误段落。若出现可重复的节点超时，可按系统时间、端口、TLS 与路由排查顺序逐项记录，检查完成的项目应注明结果，而非只写“都试过”。

订阅同步与本地设置迁移

多设备保持节点一致，优先在每台设备中添加同一个有权使用的订阅来源，再分别更新。订阅同步的是服务端返回的节点集合，并不自动同步活动节点、系统代理、TUN、分应用名单与自定义 DNS。电脑和手机网络条件不同，适合的路由也可能不同；可以共享节点来源，但应在各设备独立验证接管方式，不必追求所有开关完全一致。

手工分享节点适合临时转移单条配置，完整备份适合保存本地组织方式，两者用途不同。恢复备份前先保存当前配置，再核对文件路径和平台相关选项。更换客户端或内核后先导入少量节点测试，确认协议字段完整后再迁移全部分组。订阅更新可能覆盖来源管理的节点，手工修改前应另存副本；恢复旧备份也不会恢复已经失效的远端账户。

配置常见问题：按故障边界处理

订阅能更新，为什么节点仍然连不上

订阅服务器和节点服务器可能是不同地址。更新成功只说明客户端取得并解析了配置，不证明节点端口、账户或传输可用。先确认列表中实际启用了预期节点，再测试真连接并查看日志。若所有节点都失败，优先检查基础网络、系统时间、内核启动和公共路由设置；若只有个别节点失败，再检查该节点的地址、账户状态及服务端参数，避免重复重装客户端。

订阅返回的字段也可能超出当前客户端或内核支持范围。可导入不代表每个扩展字段都已生效，尤其需要注意传输、TLS 与特定安全参数。不要通过删除不认识的字段强行保存后就认为兼容。先确认提供方要求，再选择匹配的客户端和内核。若手工节点经过订阅更新后被替换，应另存到独立分组，而不是在同一来源分组中反复修改。

端口可达，但 TLS 或真连接失败

TLS 检查应从系统时间、服务器名称和证书要求开始。连接地址与用于验证的服务器名称可以不同，SNI 也不能随意填成当前想访问的网站域名。按照节点原始参数核对，不要凭地址外观猜测。传输路径、Host 等字段若由服务端要求，也必须准确匹配；只检查端口和身份字段，可能遗漏真正导致握手失败的参数。

不要把关闭证书验证当成常规修复。这样会改变连接的安全边界，也可能只是掩盖错误配置。时间正确但仍报名称不匹配时，确认是否导入了旧参数、连接到了错误服务器，或当前网络存在认证页面干扰。若原配置本身有误，应取得正确参数再测试。连续切换多项设置会让后续日志失去对照，保留原始配置再逐项核对更有效。

开启连接后，网页与局域网表现不同

浏览器可用但其他程序不可用，先看程序是否遵循系统代理，而不是直接更换节点。启用 TUN 后只有局域网异常，先核对私有网段直连和本地域名解析。某一网站失败而其他网站正常时，检查其资源域名是否被不同规则分流，以及应用是否缓存旧解析结果。可以重启目标应用重新测试，但不必因此清空全部配置或删除所有订阅。

若外部访问与局域网同时失败，关闭 TUN 并恢复简单系统代理做对照。只要简单模式可用，就应把问题收敛到 TUN 权限、路由、DNS 或其他网络工具冲突。远程操作设备时尤其要谨慎，切换默认路由可能断开管理连接。先准备本地恢复路径或保留已有会话，再进行会影响全设备流量的调整，不要在无法恢复的环境里同时修改多项网络设置。

退出客户端后，系统为什么仍不能联网

先检查系统是否仍指向客户端的本地监听端口。Windows 查看网络代理设置，macOS 查看当前网络服务的代理页，Linux 查看桌面代理与应用环境。客户端已经停止时，该端口没有服务，遵循代理设置的应用自然无法连接。重新启动客户端并清除系统代理，或在保留原网络配置记录的前提下手动恢复；企业网络已有的代理脚本不应一并删除。

Android 则检查 VPN 是否已停止，以及系统“VPN”设置中的始终开启或阻止未使用 VPN 的连接选项。若启用了阻断策略，服务停止后普通连接也可能被系统限制。按自己的实际使用需求恢复设置，再验证基础网络。电脑若仍残留虚拟接口或路由错误，先正常关闭其他网络工具并重启网络连接，不要通过随意删除全部网络适配器来处理单一客户端问题。

什么时候回到简单配置

当日志、代理状态和实际应用行为互相矛盾时，先保存现状，再回到一个节点、一个接管入口和默认路由。确认该基线可用后，依次恢复 DNS、分流、分应用与 TUN。快速操作主线见使用指南；客户端选型见客户端对比。需要进一步查阅时，把问题描述为明确阶段，例如订阅请求失败或 TLS 握手失败，比笼统描述“软件不能用”更容易定位。