全平台安装配置

通用准备工作

区分客户端、内核与连接资料

客户端负责图形界面、订阅管理和系统设置，内核负责建立连接、处理协议及执行路由。桌面端优先选 v2rayN；Android 优先选使用 Xray 内核的 v2rayNG，需要 V2Fly 内核兼容环境时再考虑 v2flyNG。安装客户端不等于获得可用服务器，开始前仍需准备有权使用的订阅地址、单条分享链接或完整配置，以及服务提供方给出的协议和传输要求。

先辨认拿到的资料。以协议名称开头的分享链接通常对应一条服务器记录；普通网页地址可能是订阅接口，也可能只是管理页面，二者不能混用。完整 JSON 配置则可能同时包含入站、出站、路由和 DNS，不能直接粘贴到订阅地址栏。导入前确认格式，比反复点击更新更有效。详细入口与格式区别可查阅订阅链接导入教程。

订阅地址往往附带访问凭据，应当按账号资料保存。不要把完整地址贴进公开截图，也不要为了转换格式提交到来源不明的网页。向他人描述问题时，只保留协议、传输方式和错误信息，隐去地址查询参数、用户标识及密码。需要迁移设备时，优先使用客户端提供的导出功能，并确认导出的究竟是服务器列表还是包含本地设置的完整备份。

确认架构、网络与权限

打开系统的设备信息页，记录操作系统、处理器架构和安装包类型。桌面下载中的 x64 与 arm64 指的是指令集，不能仅凭机器品牌判断；macOS 应在“关于本机”查看芯片，Linux 可通过系统设置的“关于”查看架构。Android 的 arm64 包适合多数较新的设备，无法确认时可先使用通用包。安装包选择集中在客户端下载页，本手册不重复提供文件入口。

首次排查前，先退出其他代理或隧道程序，保留一套接管机制。确认普通网络已经可用，完成需要浏览器登录的网络认证，并把系统日期、时间与时区设为正确值。时间偏差可能造成 TLS 证书验证失败；网络认证未完成则可能把订阅请求重定向到登录网页。两种情况看起来像配置错误，实际都应先在客户端之外处理。

把普通代理与 TUN 分开测试。普通代理通常只改系统代理设置或提供本地监听端口；TUN 还涉及虚拟网络接口、路由和 DNS，可能需要管理员权限或辅助服务。先验证普通代理，再启用 TUN，能够把“服务器不可用”和“系统接管失败”拆成两类问题。不要一开始同时修改内核、DNS、路由与权限，否则即使恢复连接，也难以确定是哪一步起效。

建立可回退的基线

记录本地监听地址和端口。常见示例是 SOCKS 使用 127.0.0.1:10808，HTTP 使用 127.0.0.1:10809，但应以当前客户端设置和启动日志为准；某些构建使用混合端口，不一定分别开放两个监听。回环地址只允许本机访问，适合初始配置。没有明确需求时，不要改成所有网卡监听，也不要顺手开放防火墙入站规则。

安装完成后先保存一份已知可用的配置，再做订阅更新和规则调整。可用基线至少应包含：当前服务器、内核类型、本地端口、系统代理状态、路由模式和 TUN 开关。备份文件应放在受控目录；如果需要恢复，先退出客户端再按其备份机制导入，避免运行中的程序把旧状态重新写回。跨设备迁移时不要直接假定配置目录、权限和绝对路径完全相同。

验收不应只看按钮是否变色。依次确认日志没有启动错误、应用确实使用当前本地端口、目标请求产生了连接记录、退出后系统网络能够恢复。客户端中的连接测试只能反映特定探测方式，不能替代浏览器或实际业务应用验证。完成这组检查后，再进入对应平台章节；这样后续遇到问题时，能够明确问题发生在安装、导入、内核还是流量接管环节。

Windows 安装配置

选择桌面版或经典 WPF 版

进入Windows 下载入口选择 v2rayN。桌面版采用跨平台界面，经典 WPF 版使用 Windows 界面体系；两者的菜单布局、配置目录和功能入口可能不同，不应同时运行来比较同一端口。需要了解界面差异时可阅读Desktop 与 WPF 版选择说明。先选一种完成基础配置，确认运行正常后再评估是否迁移。

运行安装程序时按提示选择目录与快捷方式。升级已有安装前先退出托盘中的客户端，并备份订阅和本地设置；仅关闭主窗口不一定结束后台进程。安装后从开始菜单启动，先观察日志是否提示运行环境、内核文件或规则资源缺失。若系统弹出安全提示，应先核实文件来源和发布者信息，不要通过关闭全部系统防护来解决启动问题。

配置目录和程序目录不一定相同，不能把安装位置当作唯一的备份位置。若界面提供打开配置目录或备份设置的入口，优先使用它。出现“无法写入配置”时，先确认当前用户有目录写入权限，以及目录是否被同步软件或受控文件夹保护拦截。普通日常使用不应长期依赖管理员身份；只有明确需要安装服务或调整 TUN 权限时，才按界面提示提升权限。

导入订阅并选择活动服务器

在 v2rayN 的“订阅分组设置”中新建分组，填入便于识别的备注，再把订阅地址粘贴到对应字段。初次导入先把“过滤关键字”留空，保存后回到主界面执行更新订阅，选择对应分组。更新成功只代表获取和解析完成，还需要在服务器列表中选中一条记录并设为活动服务器。若只是双击打开编辑窗口，应关闭窗口后检查当前活动标记是否确实改变。

若菜单区分经代理更新和不经代理更新，首次没有可用连接时通常先尝试不经代理更新；已经具备可用连接且订阅接口需要该路径时，再切换经代理更新。不能把更新失败简单归因于客户端：还要区分请求超时、返回网页、授权失效和解析失败。浏览器能打开订阅管理页，也不代表订阅接口返回的是客户端能够识别的内容。

手动添加服务器时，协议、地址、端口、用户标识、传输方式和 TLS 设置都应来自同一份连接资料。不要把一个示例的传输路径与另一个服务器的端口拼在一起。保存后查看内核选择是否支持该组合，特别是包含 REALITY 等特性的配置。更新订阅后记录可能被重建，因此临时修改宜先复制到独立分组，避免下次更新覆盖本地修正。

系统代理、TUN 与退出恢复

确认内核已启动后，将“系统代理”设置为“自动配置系统代理”。它通常把 Windows 的代理目标改为客户端本地监听，并不保证所有程序都跟随。浏览器一般会读取系统代理，命令行工具和自行实现网络栈的软件则可能需要单独设置。若应用要求填写 SOCKS 地址，使用实际 SOCKS 监听端口；不要因为端口数字相邻，就把 HTTP 与 SOCKS 类型互换。

需要接管不读取系统代理的程序时，再考虑“启用 TUN 模式”。可用性取决于所选构建、配套后端和权限准备，不是勾选后所有内核都会自动获得同一种能力。按界面提示安装或启动必要服务，观察虚拟网卡、路由和 DNS 是否建立成功。第一次测试保留默认接管设置；企业网络、虚拟机及其他隧道程序可能已有特殊路由，应先记录，再逐项验证冲突。

Windows 上常见的假故障是残留代理。退出客户端前先选“清除系统代理”，再正常退出托盘进程；若此前异常终止，到“设置 → 网络和 Internet → 代理”检查手动代理是否仍指向已停止的本地端口。关闭 TUN 后也应确认网络恢复。如果浏览器正常而某个服务进程失败，不要直接重装客户端：服务账户的代理配置可能与当前桌面用户不同，需要在该应用侧确认。

最终验收应覆盖正常启动、切换服务器、订阅更新和退出恢复四个动作。开机启动可以在手动使用稳定后再配置；如果开机时网络尚未就绪，自动更新失败不代表订阅已经失效。先等网络连接完成，再手动更新并查看日志。遇到系统休眠后连接异常，先重启内核而不是删除配置，并检查是否仍保留休眠前的网络接口或 DNS 状态。

macOS 安装配置

按芯片选择安装包

打开苹果菜单中的“关于本机”，查看显示的是芯片名称还是 Intel 处理器，再进入macOS 下载入口选择对应 v2rayN 安装包。Apple Silicon 选择 arm64，Intel 选择 x64，不要根据系统外观或机器尺寸判断。下载后打开磁盘映像，将应用拖入“应用程序”目录，再从该目录启动；长期直接运行映像中的副本，容易造成更新、权限和应用路径判断混乱。

首次打开若受到系统安全机制阻止，应在确认下载来源后，按“系统设置 → 隐私与安全性”提供的方式处理本次应用授权。不要批量关闭系统安全机制，也不要照搬不明来源的终端命令。若提示应用无法运行，先核对架构与系统要求，再查看是否是下载中断或安装不完整。权限问题、架构问题与配置问题属于不同层次，应按顺序排除。

升级前退出菜单栏或后台中的旧实例，备份设置，再替换“应用程序”里的应用。保留在“下载”目录、磁盘映像和应用目录中的多个副本，可能让登录项启动了旧副本。若启动后看不到预期订阅，先检查当前运行的应用位置及用户账户，而不是立即重新导入所有资料。配置文件通常属于当前用户，使用另一账户运行不会自然共享同一组设置。

订阅导入与系统网络代理

在 v2rayN 中打开订阅分组设置，新增备注清晰的分组，粘贴订阅地址并保存，再执行更新订阅。导入单条分享链接时，使用服务器导入入口，而不是把它填进订阅地址字段。列表更新后选择活动服务器，检查协议与内核是否匹配。初次测试不要同时开启过滤关键字，否则空列表既可能是请求失败，也可能只是过滤条件把导入内容全部排除了。

启用系统代理后，在“系统设置 → 网络”选择当前使用的网络服务，进入“详细信息 → 代理”核对结果。系统设置的具体层级可能随系统界面变化，但检查对象始终是当前活动网络服务。无线网络和有线网络可能分别保存代理选项；切换连接方式后，应重新确认代理地址和端口，不能因为无线网络上可用，就默认有线网络也已应用相同设置。

浏览器通常遵循系统代理，但扩展程序或浏览器自身的代理设置可能覆盖它。排查时先停用代理类扩展，并检查应用是否指定了独立代理。若程序仅支持 HTTP 代理，应填实际 HTTP 监听端口；若只支持 SOCKS，则填 SOCKS 端口。不要把服务器的远端地址直接填进系统代理栏，系统代理应连接到本机客户端，由客户端再完成协议握手和路由判断。

TUN 权限、休眠与网络切换

TUN 接管依赖当前构建提供的辅助机制和系统授权，不能把 Windows 的服务安装方式原样照搬到 macOS。先通过普通代理确认连接，再按 v2rayN 的实际提示准备所需权限。授权弹窗应与刚执行的操作对应；若权限被拒绝，回到系统设置核对后重新启动相应功能。界面没有提供某个接管入口时，不要通过修改无关内核字段强行模拟该功能。

休眠唤醒、切换热点或从无线网络转到有线网络后，旧连接可能失效。先关闭并重新启用接管，观察日志是否重新绑定当前网络；必要时重启内核。若只有域名访问异常而已有连接仍可用，重点检查 DNS 与网络服务切换，而不是立即更换服务器。企业网络中的自动代理配置也可能重新写入系统选项，应与网络管理要求保持一致，避免两个机制持续互相覆盖。

正常退出前关闭 TUN，并清除客户端设置的系统代理。异常退出后若所有浏览器请求都失败，到当前网络服务的代理页检查是否仍启用了指向回环地址的代理。仅停止内核不会自动保证所有网络服务都恢复默认状态。不要随意删除系统网络服务来修复残留代理；先撤销明确由客户端添加的设置，保留原来的 DNS、自动配置地址与网络认证信息。

排查安装路径或权限时，也要区分主应用与辅助进程。活动监视器中仍存在进程，不一定表示主界面未退出；反过来，界面显示正常也不代表所需辅助组件已经工作。以日志中的监听成功、路由建立和请求处理结果为准。最终应分别验证普通代理、所需的 TUN 接管以及退出后的直连恢复，再决定是否添加登录启动，避免把尚未完成授权的状态固化到每次登录。

Linux 安装配置

匹配发行版与软件包架构

桌面环境优先使用 v2rayN。进入Linux 下载入口后，按发行版的软件包体系选择 deb 或 rpm，再确认处理器是 x64 还是 arm64。软件包格式只解决安装器兼容，不代表所有桌面环境的系统代理行为相同。安装前查看发行版的系统信息，并使用图形软件安装器打开文件；出现依赖提示时优先通过发行版的软件管理工具解决，不要把不明脚本当作通用安装步骤。

安装完成后从应用菜单启动，不要默认以超级用户身份运行整个图形客户端。高权限进程可能把配置写入另一套用户目录，导致普通启动时订阅消失或目录不可写。若之前已经这样运行，先退出程序，确认实际配置位置和文件所有权，再根据发行版的管理方式修复。不能为了让一次启动成功，就把配置目录改成所有用户可写，这会扩大本地资料暴露范围。

图形界面打不开时，先区分桌面会话问题与内核问题。缺少显示环境、图形依赖或会话变量时，主窗口可能无法创建，此时尚未进入服务器连接阶段。主窗口可以打开而日志提示内核缺失，则应检查安装是否完整，以及安全策略是否阻止执行。容器、远程会话与精简桌面环境可能缺少完整的系统代理集成，本手册的图形操作路径不能替代这些环境的专门部署设计。

订阅与应用代理分开配置

在订阅分组设置中添加地址，保存后更新订阅，再选择活动服务器。若订阅地址包含特殊字符，应完整粘贴，不要手动删除查询参数；换行、首尾空格或复制出来的网页标记都可能导致解析失败。首次更新不成功时，先检查网络认证与接口响应，不要先调整系统路由。已有可用连接后再尝试经代理更新，能够避免更新操作依赖尚未建立的代理通道。

GNOME、KDE 以及其他桌面环境对系统代理有各自的设置接口，应用也可能读取不同来源。v2rayN 的系统代理操作完成后，仍应打开桌面网络设置核对，并在实际应用中验证。浏览器读取系统设置，不代表软件包管理器或终端工具也读取。对需要独立配置的程序，应在其网络选项中填写本地代理类型、地址和端口，不能把“全局模式”理解成操作系统已经强制接管所有进程。

终端环境中的代理变量还存在作用域：只在某个终端会话中设置，不会自动影响从应用菜单启动的程序；写入登录环境后，也不一定立即影响已经运行的进程。初次配置不建议同时写入多个启动文件。先在目标应用中验证代理是否可用，再决定是否持久化；撤销时也要清理同一来源，避免客户端退出后，旧变量仍指向已经停止监听的本地端口。

权限、端口与 DNS 检查

需要 TUN 时，按当前构建的权限引导准备辅助服务或所需能力。不同发行版的服务管理和安全策略不同，不应直接套用别的平台命令。重点检查虚拟接口是否创建、路由是否指向预期接口、DNS 请求是否进入预期处理链。若桌面网络管理器与客户端都尝试修改 DNS，可能出现连接成功但域名解析间歇失败；先退回普通代理，验证基础链路，再逐项恢复接管。

本地端口占用可以通过系统工具查看。下面两条命令仅检查监听状态，不会更改网络设置；端口数字应替换为当前界面实际配置。看到监听项还不能证明它属于本次启动的内核，需要结合进程信息和客户端日志判断。若没有显示进程名称，可能与权限有关，不要把空白进程列当成端口未被占用。

ss -lntp 'sport = :10808'
ss -lntp 'sport = :10809'

如果订阅能够更新而应用不能访问，优先检查应用代理来源和协议类型；如果普通代理正常而 TUN 失败，优先检查权限、路由与 DNS；如果内核根本没有监听，再回到安装、配置语法和文件访问权限。这个顺序比反复切换发行版设置更容易保留现场。遇到安全策略拒绝执行或访问时，应查看系统日志中的具体拒绝项，不要直接关闭整套安全策略。

退出测试同样重要：先关闭 TUN、清除系统代理，再退出客户端，检查桌面网络设置与独立应用设置是否恢复。笔记本切换网络、休眠恢复或插入有线网卡后，应重新验证当前接口。开机启动和用户登录启动的运行环境不同，图形客户端通常应在用户会话可用后启动；未建立可用基线之前，不要额外设置后台自启或重复的服务实例，以免产生端口争用和配置目录分叉。

Android 安装配置

选择 v2rayNG 或 v2flyNG

进入Android 下载入口，优先选择 v2rayNG；需要 V2Fly 内核环境时再选择 v2flyNG。两者是不同应用，不应把安装其中一个理解为替另一个切换内核。多数较新的设备可选 arm64，无法确认架构时使用通用包。安装前先确认设备允许当前浏览器或文件管理器安装应用，授权范围只给实际负责打开安装文件的应用，用完后可按设备管理习惯关闭该权限。

安装或升级时若出现包冲突、无法覆盖或签名不一致，先停止重复尝试，确认现有应用身份与安装来源。不要立即卸载，因为卸载可能同时移除服务器列表和本地设置。先用当前应用的导出功能保存必要资料，再判断是安装了另一款应用、选择了不适用的包，还是旧安装与当前包不能直接覆盖。设备存储空间不足也可能表现为安装失败，应与架构问题分开排查。

首次启动先查看默认设置，不要直接导入来源不明的完整配置。完整配置可能包含自定义 DNS、路由和本地监听地址，会改变应用原有行为。若连接资料只是普通订阅，使用订阅入口即可；若需要手动添加服务器，应逐项核对协议、传输和 TLS。v2flyNG 不应被当成所有 Xray 特性的替代运行环境，具体能力仍取决于所用内核，而不是图标或应用名称。

订阅设置与连接授权

在 v2rayNG 的菜单中打开“订阅设置”，新增订阅备注和地址，保存后回主界面执行更新订阅。不同界面构建的新增按钮位置可能不同，但操作顺序都是先保存订阅条目，再更新服务器列表。导入单条链接时使用剪贴板导入入口，扫描分享内容则使用对应扫码入口；不要把二维码中的订阅地址误当作普通服务器，也不要把单条服务器链接反复添加为订阅。

更新后点选一条服务器记录，确认选中标记，再启动连接。系统首次会请求建立 VPN 连接的授权，这是 Android 提供的流量接管接口，不意味着必须安装另一个 VPN 应用。授权后观察状态栏与应用日志，确认服务实际启动。若同时运行其他占用该接口的网络工具，系统可能切换或停止其中一个；排查时先只保留当前客户端，避免两个应用轮流夺取接管权限。

v2flyNG 的导入原则相同：先区分订阅与单条配置，再检查所选记录和内核兼容性。不要仅因为列表成功出现记录，就认定其传输参数能被当前内核执行。连接失败时记录第一条与握手相关的错误，而不是连续切换设置。需要支持特定 Xray 特性的资料时，先回到提供方的参数说明和应用选择，不要通过删掉安全字段来换取表面上的启动成功。

分应用接管、后台与 DNS

Android 的主要接管方式是应用建立的 VPN 接口，与桌面“自动配置系统代理”不是同一机制，不需要照搬桌面端的本机代理开关。若只想让部分应用进入代理，可在客户端支持的分应用设置中选择接管或绕过范围。保存后通常需要重新建立连接。先辨认列表采用的是允许名单还是排除名单，勾选同一个应用在两种模式下可能得到相反结果，测试时选一个目标应用单独验证。

切到后台一段时间后断开，先检查电池优化、后台活动限制和厂商的省电策略。允许必要的后台运行与通知，能够帮助系统保留连接服务；但不应为了排查而批量放开所有应用权限。若只有锁屏后失败，优先看后台服务是否被终止；若切换无线网络和移动网络时失败，优先重连并查看网络变更日志，二者不应都归结为服务器不稳定。

系统“私人 DNS”、客户端 DNS 设置以及浏览器的加密 DNS 都可能影响域名解析。遇到域名无法访问时，先恢复为一套明确的解析路径，再逐步加入自定义设置。不要同时开启多处特殊 DNS 并据此判断路由规则。部分厂商的双开应用、工作资料或独立空间有额外隔离机制，应确认目标应用与客户端位于同一使用环境，分应用列表中的应用身份也需要对应。

停止连接后检查通知栏状态与实际网络是否恢复。若系统开启了始终开启 VPN 或阻止未通过 VPN 的连接，客户端停止后网络行为可能与普通退出不同，应在系统网络设置中检查相应选项。公共网络需要认证时，可先按网络要求完成登录再启动连接。最后分别测试前台、后台、锁屏和网络切换四种场景，保留一个稳定配置，再添加分应用规则，避免把后台限制误判成订阅或协议错误。

路由与流量接管

先分清两个独立问题

流量接管决定请求能否进入客户端，路由分流决定进入后走哪个出站。系统代理、应用独立代理和 TUN 属于接管层；域名、IP、端口与出站标签属于路由层。把路由模式改成全局，并不能强制一个忽略系统代理的应用进入客户端。排查时先看目标应用的请求是否出现在日志中；没有请求记录，应先查接管路径，而不是继续增加域名规则。

路由规则通常按顺序匹配，命中后选定出站，因此具体规则应放在宽泛规则之前。广告阻断、局域网直连、指定域名直连和其余流量代理可以组成清晰的基础策略，但每条规则都要有明确意图。注意一条规则内部不同字段的组合关系，不要把“域名或 IP 任一命中”的想法随意写进同一个规则对象；需要独立判断时，用分开的规则表达，便于日志验证和后续维护。

geosite 是域名分类规则，geoip 是 IP 分类规则，两者依赖匹配的资源文件和标签。标签名字不是任意备注，拼错或资源不存在可能导致启动失败。通过客户端路由编辑器选择内置规则时，通常更容易保持资源路径一致。复制配置片段之前，要核对本机是否有对应资源，以及客户端会不会在启动时重新生成配置，覆盖手工写入的内容。

本地入站与字段含义

下面是一个用于说明本地入站的完整 V2Ray 配置，提供回环地址上的 SOCKS 和 HTTP 入口，默认出站为直连。它可以用于理解监听与路由结构，但不包含远端代理服务器，不能替代订阅。客户端通常会生成自己的运行配置，不应把此示例直接覆盖到正在使用的配置目录。若需要测试，应使用独立配置环境，并确保示例端口没有被当前实例占用。

{
  "log": {
    "loglevel": "warning"
  },
  "inbounds": [
    {
      "tag": "socks-in",
      "listen": "127.0.0.1",
      "port": 10808,
      "protocol": "socks",
      "settings": {
        "auth": "noauth",
        "udp": true
      }
    },
    {
      "tag": "http-in",
      "listen": "127.0.0.1",
      "port": 10809,
      "protocol": "http",
      "settings": {}
    }
  ],
  "outbounds": [
    {
      "tag": "direct",
      "protocol": "freedom",
      "settings": {}
    },
    {
      "tag": "block",
      "protocol": "blackhole",
      "settings": {}
    }
  ],
  "routing": {
    "domainStrategy": "IPIfNonMatch",
    "rules": [
      {
        "type": "field",
        "ip": ["geoip:private"],
        "outboundTag": "direct"
      }
    ]
  }
}

listen 决定监听接口，port 决定本地端口，tag 给入站或出站命名。规则里的 outboundTag 必须引用已有出站标签；把它写成一个不存在的名字，不会自动创建代理出站。上例没有命中规则时使用首个出站，也就是直连。客户端界面中的“最终规则”通常会被转换成具体配置，不能把界面文字当成内核 JSON 字段直接照抄。

domainStrategy 控制路由阶段如何处理域名与 IP 匹配。AsIs 保留域名进行判断；IPIfNonMatch 在域名规则未匹配时尝试解析，再参与 IP 规则判断；IPOnDemand 会在需要 IP 判断时进行解析。它不是独立的远端 DNS 开关，也不保证所有域名都采用同一条解析路径，仍需结合 DNS 配置、出站行为与客户端实现理解。

用最小规则验证结果

增加规则时先选一个可重复测试的目标，记录预期出站，再观察日志中的实际选择。域名规则通常只写主机名，不写完整网页路径；子域名、精确匹配和后缀匹配也要区分。应用使用 IP 直连、加密 DNS 或连接复用时，日志里未必保留你预想的域名。此时应检查实际请求信息，不要不断追加近似域名，形成既重复又无法解释的规则集合。

系统代理适合遵循系统设置的应用，TUN 适合需要更广接管范围的场景，但 TUN 并不自动决定分流策略。启用后还需要避免内核自身出站再次进入隧道，并正确处理 DNS 与局域网目标。首次使用保留客户端默认防回环机制，不随意修改接口绑定和排除路由。局域网打印、文件共享或虚拟机通信异常时，先验证私有地址的路径，再考虑是否需要额外的精确直连规则。

规则维护应与订阅维护分开。订阅更新可能重建服务器记录，但不应被当成修复任意路由错误的工具；路由资源更新也不等于服务器参数更新。每次修改保留旧规则，测试目标业务与局域网业务，再确认退出恢复。涉及内核特性兼容时，结合Xray 与 V2Fly 内核差异检查字段支持，避免在不兼容内核上通过反复删改参数碰运气。

配置常见问题

按失败阶段读日志

先记录“什么操作失败”，再记录“出现什么错误”。启动失败、订阅更新失败、某个应用连接失败和休眠后断开，应分别处理。打开日志窗口，清空或标记旧记录，再只重现一次问题，寻找最先出现的错误及其前后文。最后一行“启动失败”往往只是汇总，真正原因可能在前面。需要更细的分类，可继续阅读内核启动失败日志诊断。

日志出现 address already in use 一类信息时，优先检查本地端口被谁占用。先退出旧客户端和后台实例，再确认监听是否释放；确需换端口时，系统代理与应用独立代理必须同步修改。若是配置解析错误，则检查 JSON 的逗号、括号、字段类型及内核是否认识该字段。合法 JSON 只代表语法成立，不代表每个字段都受当前内核支持，也不代表引用的文件和标签存在。

如果日志指出资源文件不存在，应检查规则文件路径、安装完整性和访问权限，不要直接删除所有路由。若指出未知协议或不支持的传输，应核对当前内核与连接资料。切换内核前先停用依赖特定特性的配置，再确认新内核支持相同协议。不要把“能启动”作为唯一目标；删除 TLS、认证或验证字段可能改变连接含义，表面错误消失并不说明设置正确。

订阅空白、连接超时与证书错误

订阅更新后列表为空，依次检查当前选中的分组、过滤关键字、接口响应和订阅授权状态。成功返回网页或空内容，不等于成功获取服务器资料。临时清空过滤条件，再单独更新一个分组，能够判断是获取失败还是显示条件导致。多来源管理应使用明确分组，具体方法见订阅分组与服务器过滤；不要用重复导入掩盖分组关系不清的问题。

连接超时说明某个阶段没有在预期时间内完成，但不能仅凭这三个字判断服务器失效。先看本地端口是否存在，再看远端地址能否解析，以及实际连接停在建立连接还是协议握手。遇到 connection refused 应核对目标地址、端口及服务状态；若目标是回环地址，还要确认本地内核已经启动。更换服务器可以作为对照实验，但应保留原错误与原设置，避免失去比较依据。

TLS 证书错误应先检查系统时间、服务端名称和连接资料中的安全设置。证书对应的名称与连接地址不一定相同，但这种差异必须来自提供方的明确配置，而不是自行猜测。不要把跳过证书验证设为通用修复办法；如果订阅中的资料已经过期，应更新资料或联系服务提供方确认。网络认证页面、企业代理或安全软件介入也可能改变证书链，应结合当前网络环境判断。

建立故障对照与回退顺序

浏览器可用而其他应用不可用，首先比较代理来源：浏览器是否有扩展、目标应用是否读取系统代理、协议类型与端口是否一致。普通代理可用而 TUN 不可用，重点查权限、虚拟接口、路由和 DNS。域名失败而 IP 连接成功时可以怀疑解析链路，但直接访问 IP 可能因 TLS 名称或服务虚拟主机限制失败，因此这只能作为线索，不能单凭一次测试就排除所有其他原因。

某个网站失败而其他业务正常时，检查该请求的出站、域名规则和应用缓存。修改路由后，旧连接可能继续复用原通道，应重新建立目标连接再测。必要时临时换成最小规则组进行对照，但先备份原配置。若最小规则可用，再逐条恢复自定义规则；若仍不可用，回到远端参数和应用接管检查。不要在没有请求记录的情况下继续修改域名分类，这通常是在错误层次上排查。

涉及网络切换和后台问题时，记录触发条件比记录“偶尔失败”更有价值。明确是锁屏、休眠、无线切换、启动另一个隧道应用还是订阅更新后出现，再检查对应日志。Android 重点看服务是否被系统停止，桌面重点看当前网络接口和残留代理。重启能够暂时清理状态，但如果每次都在同一动作后重现，就应围绕该动作建立对照，而不是把重启当作长期维护流程。

提交问题描述时，提供操作系统、客户端名称、所选内核、触发步骤、错误原文及已经完成的对照测试，不必附上完整订阅或账号资料。分享日志前检查是否含有服务器地址、查询参数和认证信息，并移除敏感内容。若只是需要重新走通基础连接，返回快速上手教程；若需要更换平台安装包，返回客户端下载页。保留可回退基线，比反复删除全部设置更容易定位并解决问题。