代理协议
VMess
VMess 是 Project V 生态中的代理协议，具有身份认证和数据加密机制。配置时需要匹配用户标识、服务端地址及传输设置，不能只填地址与端口。系统时间明显偏差可能影响认证，因此出现认证错误时，也应检查设备时间是否准确。
协议 · 字段 · 设置项
V2Ray 术语手册
先区分协议、传输与内核，再定位配置字段。以下 27 个条目按配置层级分类；术语名称可直接作为页内链接使用。
协议与传输
代理协议规定数据如何组织与认证，传输方式决定连接如何承载，安全层负责相应的加密与身份验证。三者不能只按名称互相替换。
代理协议
VLESS
VLESS 是轻量代理协议，本身不提供数据加密，通常配合 TLS 或 REALITY 使用。客户端与服务端需要匹配用户标识、传输方式和适用的流控参数。分享链接以 vless:// 开头只能说明协议类别，不能据此判断安全层与传输的完整组合。
代理协议
Trojan
Trojan 通常运行于 TLS 连接之上，使用密码完成认证。密码正确并不代表整条连接配置正确，服务器名称、证书验证及传输方式仍需相互匹配。遇到证书错误时，应先核对域名、时间和证书链，不宜直接关闭证书验证来绕过错误。
传输安全
REALITY
REALITY 是 Xray 生态中的传输安全机制，不是与 VLESS 并列的独立代理协议。客户端通常需要匹配服务端提供的公钥、服务器名称及短标识等参数，具体字段随内核版本而定。仅更改界面中的安全类型，不能把普通 TLS 配置直接转换为可用的 REALITY 配置。
传输安全
TLS
TLS 为连接提供传输加密、完整性保护和对端身份验证。服务器地址可以是 IP，但用于证书验证的服务器名称必须符合实际证书与服务端要求。界面里的“允许不安全连接”通常与证书验证有关，不是改善连接质量或提高速度的常规选项。
传输方式
WebSocket
WebSocket 可承载代理数据，但它本身不规定代理用户的认证方式。使用时需要核对路径、Host、端口，以及反向代理是否正确转发连接。配置中的服务器名称、HTTP Host 和连接地址可能承担不同职责，不能因为它们都像域名就一律填写成同一个值。
内核与生态
界面负责管理，内核负责执行。判断某个协议能否使用，应同时确认客户端能否生成对应配置，以及实际调用的内核是否支持。
项目背景
Project V
Project V 是理解 V2Ray 模块化网络代理设计与相关生态的背景概念，不是客户端中的某个连接模式。相关技术将入口、出口、路由和传输能力拆分为不同模块。阅读资料时，应继续确认其讨论的是哪个内核及哪个版本，而不是仅凭“V2Ray”这一统称判断兼容性。
内核项目
V2Fly
V2Fly 是维护 V2Ray 内核的社区项目，内核处理协议连接、路由与 DNS 等实际任务。v2flyNG 是调用相关内核能力的 Android 图形客户端，两者不是同一个软件层级。配置文档中的字段需要结合该内核的格式和版本阅读，不能直接套用其他内核新增的功能。
内核项目
Xray
Xray 源于 V2Ray 技术体系，随后独立发展协议与传输能力，REALITY 属于其生态中的代表性功能。Xray 与 V2Fly 的部分配置结构相近，但这不意味着所有字段和行为都一致。排查功能缺失时，既要看图形客户端版本，也要看实际运行的 Xray 内核版本。
应用层
图形客户端
图形客户端提供订阅导入、服务器选择、日志查看和参数设置等界面，并通常为内核生成运行配置。本站介绍的 v2rayN 面向桌面平台，v2rayNG 与 v2flyNG 面向 Android。界面中能看到一条配置记录，只表示导入成功，不能代替内核启动与实际连接验证。
查看客户端选择 →运行方式
内核切换
内核切换是更换客户端调用的网络处理程序，不是单纯切换界面主题。切换前需要核对目标内核是否支持当前协议、安全层和路由配置，切换后通常还需重新加载配置。某个内核专有的功能不会因为客户端保留了同名选项，就自动在另一个内核中生效。
查看内核适用范围 →配置文件结构
先找流量从哪里进入，再找规则把它送往哪里。以下字段名保留原始大小写，便于在 JSON 与日志中检索。
配置文件结构
inbounds · 入站
inbounds 是入站数组，定义内核如何接收来自应用或其他设备的连接。常见设置包括监听地址、端口、协议与流量嗅探，SOCKS 和 HTTP 都可作为本地入口。监听本机回环地址与监听所有网卡的可访问范围不同，开放局域网入口前应确认认证与防火墙设置。
配置文件结构
outbounds · 出站
outbounds 是出站数组，描述流量通过代理服务器发送、直接连接或被阻断等处理方式。它不是界面服务器列表的简单复制，而是内核实际可选择的出口集合。路由规则引用的出站必须存在；在常见 V2Ray / Xray 配置中，未匹配规则的流量通常使用第一个出站。
配置对象引用
tag 与 outboundTag
tag 给配置对象命名，路由中的 outboundTag 则引用目标出站的同名标签。标签只是标识，例如名为 direct 的出站仍需配置实际的直连协议，名称本身不会创造直连行为。引用时应保持拼写与大小写一致，避免规则指向不存在的出口。
传输配置
streamSettings
streamSettings 用于组织连接的传输方式与安全设置，和用户标识、密码等协议认证参数分属不同部分。内部可能出现传输类型、TLS 或 REALITY 的设置对象，具体结构取决于内核版本。复制配置时应整体核对服务端要求，不能只替换某个传输名称而保留不兼容的子字段。
入站处理
sniffing · 流量嗅探
sniffing 通常配置在入站中，通过分析部分连接的初始数据识别协议或域名线索，辅助后续路由。它不等于解密加密内容，也不能保证为每条连接识别出域名。不同内核的路由辅助选项与目标覆盖行为可能不同，启用后应结合日志确认规则实际使用了什么信息。
路由与 DNS
分流取决于匹配条件、规则顺序与可用的域名信息。DNS 负责解析，不等于出站选择；两部分需要配合，但不能混为一个开关。
流量去向
路由规则与分流
分流是根据域名、IP、端口或入站标签等条件，为不同连接选择出口的过程。在常见字段规则中，规则按顺序检查，先命中的适用规则决定去向，因此具体规则通常应放在宽泛规则之前。同一条规则同时设置多种条件时，还应确认它们的组合逻辑，不能把所有条件都当成任选其一。
查看路由配置 →IP 规则数据
GeoIP
GeoIP 把 IP 地址段按类别或地区组织为集合，路由可通过 geoip:private 等标签引用。可用标签与覆盖范围取决于本地数据文件，不是所有数据源都包含相同内容。IP 归属也不等于网站服务归属，遇到共享地址或地址变化时，需要结合域名规则判断。
域名规则数据
GeoSite
GeoSite 是按类别整理的域名规则集合，常以 geosite:cn 这类形式参与路由匹配。它匹配域名，而不是查询目标 IP 属于哪个地区；连接只有 IP 信息时，相关规则未必能够命中。数据更新会改变分类覆盖范围，调整规则前应确认客户端实际加载的数据文件。
路由解析策略
domainStrategy
routing.domainStrategy 控制路由匹配阶段是否以及何时解析域名，常见值包括 AsIs、IPIfNonMatch 和 IPOnDemand。例如 IPIfNonMatch 会在域名未匹配规则后尝试解析，再参与 IP 匹配。其他对象中的同名字段可能影响实际连接阶段，不能直接按这里的含义解释。
域名映射
FakeDNS
FakeDNS 为域名分配合成 IP，并保存两者映射，帮助接管后续流量的代理程序恢复目标域名。这些地址不是网站真实服务器的解析结果，需要由配套链路识别和处理。只启用 FakeDNS 而没有正确接管相应连接，可能造成访问失败，因此应同时检查 DNS 查询路径、路由和缓存。
解析路径
DNS 泄漏
DNS 泄漏指域名查询绕过预期的解析路径，并不等同于 DNS 解析失败。系统解析器、浏览器安全 DNS、应用内置解析及未被接管的查询都可能影响结果。排查时要明确预期解析器与实际查询出口，仅看到网页可以访问，不能证明 DNS 已按设计流转。
查看 DNS 配置 →订阅与客户端
订阅提供配置，节点是配置记录，代理模式决定应用如何进入内核。测试结果应注明方法，不能把单次测量当作长期质量结论。
配置来源
订阅
订阅是客户端获取一组服务器配置的更新入口，通常使用一个地址返回可识别的配置内容。订阅地址可能包含访问凭据，不宜放进公开截图或转发给他人。更新订阅会重新获取配置，但是否覆盖备注、保留手动修改或删除失效记录，取决于客户端及分组设置。
查看订阅管理 →服务器记录
节点
节点是客户端中一条服务器连接配置的常用称呼，一般包括地址、端口、协议、认证与传输参数。列表中的名称通常只是备注，不能据此确认服务器位置、带宽或运营归属。两条记录即使名称不同，也可能指向同一服务端；排查重复配置时应比较实际参数。
连接测试
延迟与真连接延迟
延迟数值必须结合测试方法理解，TCP 建连耗时和经代理请求网页的耗时测量的是不同环节。“真连接延迟”通常经所选代理访问指定测试地址，可能包含握手和响应等待，具体实现以客户端为准。数值较低不代表持续下载更快，超时也可能来自测试地址、DNS 或证书问题。
应用接入
系统代理
系统代理是客户端向操作系统登记本地代理地址与端口的功能，通常只影响遵循该设置的应用。它与客户端“全局”或“规则”等路由选择属于不同层级，设置了系统代理不等于所有流量都经过内核。若应用自行指定代理或使用独立网络栈，需要另外确认其连接入口。
查看系统代理说明 →网络接管
TUN 模式
TUN 模式通过虚拟网络接口接收符合系统路由条件的 IP 流量，使不读取系统代理的应用也有机会进入代理处理链路。它通常涉及额外权限、路由调整与 DNS 接管，具体行为由客户端和所用内核决定。TUN 不是所有 V2Ray / Xray JSON 都通用的单一开关，也不意味着每条连接都会使用代理出站。
查看 TUN 配置范围 →