v2rayN
下载与配置指南

订阅把多条服务器配置集中到一个更新入口。先建立分组，再粘贴你有权使用的地址，更新后确认列表实际出现了配置。普通更新失败时，可以在已有连接可用的前提下尝试通过代理更新。订阅地址可能包含访问凭据，不适合贴到截图或公开日志中。与逐条手动录入相比，分组更容易保留来源和更新边界；但自定义备注、排序与路由应单独备份，避免把远端更新误当作本地设置的永久存档。右侧示例仅展示 JSON 中保存 URL 的形式，不是客户端订阅文件格式。

{
  "url": "https://example.com/sub"
}

VMess、VLESS 与 Trojan 是不同的出站协议，不是可以随意互换的标签。导入后还要核对端口、传输方式以及 TLS 等安全设置；协议相同，也不代表所有参数都兼容。图形客户端便于保存和切换多种配置，实际能否运行仍由所选内核决定。先按服务端提供的完整参数使用，连接成功后再考虑调整传输选项。右侧是直连与阻断两种基础出站，适合先理解 tag 如何被路由引用；它不包含远端服务参数，不能替代可用的代理配置。

{
  "outbounds": [
    {
      "tag": "direct",
      "protocol": "freedom"
    },
    {
      "tag": "block",
      "protocol": "blackhole"
    }
  ]
}

路由决定一条连接交给哪个出站，规则从上向下匹配，因此例外通常要放在宽泛规则之前。geosite 用于域名集合，geoip 用于地址集合，两者依赖相应数据库。开始时先保留少量明确规则，例如局域网地址直连，再逐项加入需要的域名。与全部流量使用同一出口相比，分流能减少对本地服务的干扰，但需要维护规则顺序与出站标签。示例中的 direct 必须在出站中真实存在；修改后用具体目标验证匹配结果，不要仅凭规则已保存就判断生效。

{
  "routing": {
    "domainStrategy": "IPIfNonMatch",
    "rules": [
      {
        "type": "field",
        "ip": ["geoip:private"],
        "outboundTag": "direct"
      }
    ]
  }
}

DNS 配置不仅是填一个解析器地址，还涉及谁发起查询、查询经由哪条路径，以及结果如何参与路由。内核内置 DNS 不会自动接管系统里所有应用的解析。遇到域名访问失败时，先区分解析失败与连接失败，再检查查询策略和实际出口。相较于不断更换解析器，保持应用、系统和内核之间的边界清晰更有帮助。示例展示服务器列表与 IPv4 查询策略的写法，并非所有网络都适用的推荐值；修改前记录原设置，每次只动一项，才能判断变化来自哪里。

{
  "dns": {
    "servers": [
      "1.1.1.1",
      "localhost"
    ],
    "queryStrategy": "UseIPv4"
  }
}

系统代理让遵循系统设置的应用使用本地代理入口，TUN 则借助虚拟网络接口处理流量；两者的权限要求和影响范围不同。首次配置建议先用系统代理完成验证，再按实际需求了解 TUN。右侧是本地 SOCKS 入站示例，不是 TUN 配置；监听回环地址时只接受本机连接。与直接开放局域网监听相比，这个起点更容易控制访问范围。如果确实需要其他设备接入，还应一起检查防火墙、认证与网络边界，不能只把监听地址换成所有接口就结束。

{
  "inbounds": [
    {
      "tag": "socks-in",
      "listen": "127.0.0.1",
      "port": 10808,
      "protocol": "socks",
      "settings": {
        "udp": true
      }
    }
  ]
}

客户端界面与代理内核分别承担不同工作，界面中出现某个选项，不等于当前内核一定能识别对应字段。切换之前先确认配置使用的协议、传输和安全特性，再查看内核支持范围。与仅按名称判断相比，启动日志能更直接指出不支持的字段或参数。建议保留一份可用配置，切换后先运行最小连接测试，再恢复自定义路由与 DNS。右侧是常见日志级别示例，不是选择内核的开关；内核选择通常在客户端设置中完成，不能靠给 JSON 增加一个自造字段实现。

{
  "log": {
    "loglevel": "warning"
  }
}