VMess
VMess 是 Project V 生态中的代理协议，使用用户标识等参数完成认证，并具有协议自身的数据保护机制。导入时应核对用户 ID、服务端端口以及传输设置，不能只确认地址是否相同。
旧配置中可能出现与历史认证机制有关的选项；不要为适配旧示例随意修改参数，应先确认服务端配置与当前内核的兼容要求。
REFERENCE / 术语与字段
V2Ray 术语表
从连接协议到配置字段，按六类概念查阅。先区分客户端、内核、协议与安全层，再定位具体设置；名称相近不代表字段可以互换。
01 / PROTOCOL & TRANSPORT
协议与传输
协议决定代理请求与认证格式，传输决定数据的承载方式。两者不是同一组选项。
VLESS
VLESS 是使用 UUID 标识用户的轻量代理协议，其本身不提供载荷加密。实际连接是否受到传输保护，取决于 TLS、REALITY 等安全层以及整体部署方式。
配置中的 encryption、flow 和传输安全项各有作用；其中 flow 需要服务端与内核配套支持，不能作为通用选项随意启用。
Trojan
Trojan 是通常配合 TLS 使用的代理协议，认证信息主要是密码，而不是 VMess、VLESS 使用的用户 ID。节点导入后，需要同时检查密码、目标端口、服务器名称与传输设置。
即使不同协议指向同一地址和端口，认证格式也不相同；仅把协议下拉框改成 Trojan，不能完成有效的协议转换。
传输方式
传输方式定义代理数据如何承载于网络连接，常见配置涉及 TCP、WebSocket、gRPC 等类型。路径、Host 和服务名称属于各自传输的参数，不应跨类型照搬。
客户端显示名与 JSON 取值可能随版本变化；核对配置时应同时查看 streamSettings.network 与该类型的设置对象，并确认两端兼容。
02 / CORE & CLIENT
内核与客户端
图形界面负责管理设置，内核负责处理连接。界面能导入某种链接，不代表运行中的内核能使用所有字段。
Xray
Xray 是由 Xray 项目维护的代理内核，负责协议处理、路由选择和域名解析等工作。REALITY 等功能属于其生态能力，能否使用还取决于实际内核版本和参数组合。
排查连接问题时，客户端版本与内核版本需要分别确认；更新图形界面后，也应在客户端信息或日志中检查实际启动的内核。
V2Fly
V2Fly 是延续 V2Ray 开发的社区项目，维护 v2ray-core。它与 Xray 存在生态关联，但后续发展的协议扩展、配置格式和字段支持并不完全相同。
把配置从一种内核迁移到另一种内核时，应逐段确认支持情况；文件同样叫 config.json，并不意味着内容可以直接通用。
图形客户端
图形客户端提供节点管理、订阅导入、路由编辑与连接控制界面。v2rayN 用于桌面平台；v2rayNG 与 v2flyNG 面向 Android，后者可作为 V2Fly 内核方向的备选。
客户端可能根据界面选项生成运行配置，因此直接改动生成文件可能在下次启动时被覆盖。应优先使用客户端支持的设置入口或自定义配置方式。
TUN 模式
TUN 模式通过虚拟网络接口接收流量，通常比仅设置系统代理覆盖更多应用，但具体范围取决于系统路由、权限与客户端实现。系统代理则主要影响遵循相关代理设置的应用，两者不能简单等同。
启用 TUN 后仍需检查 DNS 与排除规则；出现断网时，应结合虚拟接口状态和路由变化排查，而不是只反复切换节点。
03 / CONFIG STRUCTURE
配置文件结构
按数据流理解 JSON：入站接收请求，路由选择去向，出站发起连接，策略控制连接行为。
inbounds
inbounds 是入站数组，用于定义内核从哪里接收流量。常见本地 SOCKS 入站会配置 listen、port、protocol 和 settings。
127.0.0.1 通常只允许本机访问；修改监听范围后，还要考虑认证、防火墙与实际使用需求。入站端口是应用连接本地代理的端口，不是远程服务端端口。
outbounds
outbounds 是出站数组，描述连接如何发出，可以包含代理出站、直连出站以及阻断出站。每个出站的 tag 可作为路由规则引用的标识。
例如，规则中的 outboundTag 写成 direct 时，必须存在对应标记的出站；这个名称只是自定义标记，不会自动创建直连行为。
streamSettings
streamSettings 用于配置传输方式与安全层，常出现在代理出站中。network 选择传输类型，security 选择适用的安全机制，其他对象填写对应参数。
只复制这个对象不能组成完整节点，因为认证信息与服务端地址通常位于协议的 settings 中。字段名称和可用组合应以当前内核文档为准。
policy
policy 是内核的连接策略配置，可按用户等级等维度设置握手超时、连接空闲时间及统计行为。这里的“策略”不是“某类网站走某个出站”的分流规则。
连接频繁中断时可以检查超时设置，但不宜直接把所有数值增大；应先从日志确定中断发生在握手、传输还是空闲阶段，再修改相关字段。
04 / ROUTING & DNS
路由与 DNS
路由决定连接去向，解析决定域名对应的地址。检查分流结果时，两条路径需要一起确认。
路由规则
路由规则根据域名、IP、端口、入站标记等条件选择出站，这个过程通常称为分流。规则一般自上而下检查，首条匹配规则决定该连接的去向，因此具体规则应放在宽泛规则之前。
同一条规则内，不同条件字段通常需要同时满足；同一字段内的多个值通常表示候选匹配项。未命中规则时的默认行为也应明确配置或核对，不能只检查命中的情况。
查看路由规则 →GeoIP
GeoIP 是按 IP 地址集合匹配路由的数据分类机制，常见写法如 geoip:private。实际集合内容由所使用的数据文件决定，标签本身不是一次实时地理定位查询。
当目标最初以域名形式出现时，能否进行 IP 规则匹配还与解析策略有关。数据库变化或域名解析结果变化，都可能使同一规则产生不同的匹配结果。
GeoSite
GeoSite 是按域名集合匹配的数据分类机制，写法如 geosite:cn。它与 GeoIP 的区别在于匹配对象：前者是域名，后者是 IP 地址集合。
标签是否存在、覆盖哪些域名，取决于具体数据来源与版本；使用前应确认客户端加载的数据文件。单个站点需要明确处理时，可以使用更具体的域名规则，不必依赖整组分类。
DNS 与 domainStrategy
DNS 负责把域名解析为地址；routing.domainStrategy 则决定路由匹配过程中何时尝试解析域名。以 IPIfNonMatch 为例，域名规则未匹配时才会尝试通过解析结果继续匹配 IP 规则。
这个字段不等于“所有应用都使用内核 DNS”。系统、浏览器与代理内核可能分别发起解析，出站中同名或近似字段也需要按各自位置理解。
查看 DNS 配置 →FakeDNS
FakeDNS 通过合成地址与域名之间的映射，使后续连接能够恢复目标域名信息。这里的地址主要服务于内部映射，不应理解为目标网站真实服务器的公网地址。
它需要解析入口、流量接管和域名恢复等环节配合，单独增加一个配置对象并不一定生效。切换模式后若旧解析缓存仍在使用，应同时检查缓存与实际流量路径。
DNS 泄漏
DNS 泄漏指查询没有遵循预期解析路径，而被交给其他解析器处理的现象。它描述的是路径偏离，不能仅凭某个解析器的名称或地理位置判断。
排查时应分别检查系统 DNS、浏览器的加密 DNS、客户端接管方式与内核 DNS 出站。网页请求经过代理，不代表该请求之前的域名查询也走了相同路径。
05 / SUBSCRIPTION & NODE
订阅与节点
订阅管理的是参数集合，节点保存的是连接配置。导入成功与连接成功是两个不同的检查阶段。
订阅
订阅是通过一个地址获取并更新节点集合的管理方式，不是代理协议本身。客户端需要支持对应订阅格式，才能把内容转换为可用的节点条目。
更新时通常会重新读取远端内容，手动编辑的节点参数是否保留由客户端决定。订阅地址可能带有访问凭据，应避免出现在截图、公开日志或分享文本中。
节点
节点是客户端中保存的一组连接参数，通常包括服务端地址、端口、代理协议、认证信息和传输设置。一个节点条目不一定对应一台独立物理服务器，显示名称也不参与协议认证。
地址能够解析，只说明域名解析这一环节有结果；要建立连接，还需要端口可达、认证正确，并且传输与安全层参数相互兼容。
分享链接与二维码
分享链接把节点参数编码为可导入文本，二维码则是承载这段文本的一种形式，也可能承载订阅地址。扫码导入不是另一套连接协议，最终仍需还原为客户端配置。
不同客户端对链接扩展字段的识别范围可能不同，导入后应检查传输、安全层及服务器名称。二维码可能包含认证信息，分享前应先确认内容与接收范围。
真连接延迟
真连接延迟通常指客户端通过代理链路访问测试目标所得的耗时，具体是否计入解析、握手和响应等待，取决于客户端实现。它与只测试端口建立连接的 TCP 延迟不是同一种指标。
比较结果时应保持测试目标和测试方式一致；耗时较低不等于持续下载速度较高，测试超时也可能由目标站点或解析环节引起。
06 / SECURITY LAYER
加密与安全层
认证标识、证书验证与传输保护分别解决不同问题。遇到握手错误时，应先定位对应层次。
TLS
TLS 为传输连接提供加密与身份验证，证书验证涉及信任链、有效期、系统时间和域名匹配。服务端地址能够访问，并不意味着证书一定满足客户端的验证要求。
遇到证书报错，应先检查时间、服务器名称和证书部署。启用 allowInsecure 会放宽证书验证，不应作为处理所有 TLS 错误的默认办法。
REALITY
REALITY 是 Xray 生态中的传输安全机制，常与 VLESS 等协议组合使用，但它不是与 VLESS 同层的代理协议。使用时需要双方内核支持，并配置相互匹配的认证与握手参数。
客户端通常需要服务器名称、公钥或相关验证参数、短 ID 等信息，实际字段名随版本而定。不要将服务端私钥填入客户端，也不要把普通 TLS 设置原样视为 REALITY 设置。
SNI 与 serverName
SNI 是 TLS 握手中的服务器名称指示，serverName 是客户端配置里与该名称及证书验证相关的字段。实际连接的 address 可以是 IP 地址，而服务器名称仍可以是域名。
这两个字段不必始终相同，但必须符合服务端部署要求。服务器名称还不同于 WebSocket 的 Host 或 HTTP 请求头，修改其中一项不会自动同步其他项。
UUID
UUID 是 VMess、VLESS 等协议中使用的用户标识，客户端填写的值应与服务端授权项一致。它用于身份识别，不是传输加密算法，也不能替代 TLS 或 REALITY 的相关参数。
格式正确仅代表该值符合语法，不代表服务端已授权；重新生成 UUID 后，需要同步更新两端配置。公开节点截图时，应遮蔽用户标识和其他认证信息。