VMess
VMess 是 Project V 生态中的代理协议，使用用户标识完成身份认证，现代配置通常采用 AEAD 机制。它可以搭配不同传输方式，因此看到 VMess 并不能判断连接一定使用 TCP 还是 WebSocket。客户端与服务端的认证参数需要一致，系统时间明显偏差也可能造成连接失败。
对照 VLESS 的加密边界 →glossary
V2Ray 术语，概念速查
从连接参数到流量出口，按设置所在的层次查词。这里收录 30 个常见概念；每条说明含义、边界与容易混淆的地方，不把协议名称当作性能结论。
阅读配置时，可先辨认客户端、内核、代理协议、传输与安全层，再看订阅来源、流量入口和路由出口。需要实际操作步骤时，转到快速上手；需要连贯解释时，查阅使用手册。
protocols
连接格式，协议与传输
协议决定如何封装与认证；传输决定数据怎样承载；安全层负责连接保护。这三项需要分别看。
VLESS
VLESS 负责代理数据封装与身份认证，协议本身不提供内容加密，通常配合 TLS 或 REALITY 使用。配置中的用户标识、传输类型、安全层与流控参数共同决定能否建立连接。不能只把已有节点的协议名称改为 VLESS，服务端也必须采用对应配置。
查看安全层相关术语 →Trojan
Trojan 是通常建立在 TLS 连接上的代理协议，使用密码进行身份认证。服务地址、密码与 TLS 服务器名称各有用途，填写正确密码并不代表证书验证一定成功。连接失败时，应区分认证错误、TLS 握手错误与底层网络不可达。
查看 TLS 的作用 →Shadowsocks
Shadowsocks 是使用预共享密钥的加密代理协议，连接双方需要采用兼容的加密方法与密钥。不同协议版本及方法的参数要求可能不同，不能只凭名称相近就互换。导入后应保留来源给出的加密方法，不宜为了排查而随意更改。
查看节点包含的参数 →传输层
这里的传输层指承载代理协议数据的连接方式，例如 TCP、WebSocket 与 gRPC，不等同于代理协议。WebSocket 的路径、请求主机以及 gRPC 的服务名称，都可能是连接必须匹配的参数。传输选择取决于服务端部署，不能脱离服务端配置单独比较哪一种更快。
查看完整配置说明 →cores
界面与执行，内核与客户端
界面能保存某个选项，不代表当前内核能执行它。排查兼容性时，需要同时确认客户端与实际启动的内核。
Project V
Project V 指围绕 V2Ray 形成的开源代理工具生态，涵盖协议、配置与相关实现。日常所说的 V2Ray 有时泛指这套生态，有时特指内核程序。阅读教程时应结合上下文判断，避免把生态名称理解成一个固定的图形客户端。
区分生态与代理内核 →代理内核
代理内核是实际执行连接、协议处理、DNS 与路由规则的程序，图形客户端负责生成配置并启动它。内核启动失败时，即使界面里有节点，也不会形成可用的本地代理入口。查看运行日志，通常比反复切换界面开关更能确定失败发生在哪一层。
查看图形客户端的职责 →Xray
Xray 是从 V2Ray 相关代码发展出的开源代理内核，提供 VLESS、REALITY 与 XTLS Vision 等相关能力。具体功能仍取决于内核版本、构建和配置组合，不能仅凭内核名称推断所有参数都可用。v2rayNG 使用 Xray 内核；桌面 v2rayN 则需要结合当前节点与内核设置确认。
查看 REALITY 参数含义 →V2Fly
V2Fly 是延续 V2Ray 开发的社区项目，其内核通常称为 V2Fly Core。它与 Xray 有共同的生态背景，但功能演进与配置支持并不完全相同。v2flyNG 是采用 V2Fly 内核的安卓客户端；涉及特定内核能力时，应先确认配置是否适配。
查看安卓客户端选择 →图形客户端
图形客户端提供节点列表、订阅管理、代理模式与日志等操作入口，减少手工编辑配置的需要。本项目介绍桌面的 v2rayN，以及安卓的 v2rayNG、v2flyNG 三款客户端。同一个设置在不同客户端中的名称与位置可能不同，操作时应以当前界面和所用内核为准。
查看客户端与平台 →subscription
配置来源，订阅与节点
订阅负责分发配置，节点负责描述连接。测试结果只反映一次探测，不能代替实际应用验证。
订阅
订阅是通过一个地址批量获取并更新节点配置的机制，不等同于单个节点。添加订阅分组后通常还要执行更新，节点才会进入列表；更新失败也不一定说明已有节点失效。订阅链接可能带有访问凭据，应作为敏感信息保存，分享日志时不要一并公开。
查看订阅导入步骤 →节点
节点是一组连接远端代理服务的参数，通常包含地址、端口、协议、认证信息以及传输与安全设置。列表中的显示名称主要用于辨认，不会自动改变连接参数。导入成功只表示客户端识别了配置，仍需确认服务端可达、认证有效与相关参数匹配。
查看连接测试的边界 →分享链接与二维码
分享链接把节点参数编码为一段文本，二维码通常只是承载同一段文本的另一种形式。导入单个分享链接不会自动建立持续更新的订阅关系，后续参数变化需要重新导入或编辑。链接与二维码可能包含认证信息，发布截图时应遮挡完整内容。
查看安卓导入说明 →延迟
延迟是一次探测往返所需的时间，但不同测试方法测量的对象并不相同。TCP 探测可能主要反映端口建立连接的耗时，并未完成代理认证和网页请求。比较结果时，应使用相同方法、相同目标与相近网络条件，不能把较低延迟直接等同于较高带宽。
对照真连接延迟 →真连接延迟
客户端中的真连接延迟通常通过代理连接测试目标并执行请求，比单纯探测端口更接近实际使用路径。测试目标、DNS、握手与网络状态都可能影响结果，具体计时范围取决于客户端实现。测试失败不等于所有目标都不可用；测试成功也不保证所有应用已采用代理。
检查应用是否进入代理 →routing
流量出口，路由与分流
路由只处理已经进入内核的流量。规则是否命中，取决于顺序、匹配条件和内核当时能看到的信息。
路由规则
路由规则按域名、IP、端口或协议等条件为流量选择出站，常见配置按顺序寻找首个匹配规则。具体规则中多个条件如何组合，要以所用内核的语法为准。一般应把更具体的例外放在较宽泛规则之前，并在修改后查看日志确认实际出口。
查看路由设置章节 →GeoIP
GeoIP 是按地区或类别整理的 IP 地址集合，例如规则可以引用 geoip:cn。它匹配的是地址，不是域名后缀或服务所属公司的注册地。地址分配与数据集合都会变化，规则异常时应同时检查目标解析结果和所用数据是否适配。
GeoSite
GeoSite 是按类别整理的域名集合，配置里常通过 geosite:cn 等标签引用。它并不是逐次在线判断网站所在地，而是依据已加载的分类数据进行匹配。某个分类名称是否存在、包含哪些域名，取决于实际使用的数据文件；标签拼写正确也需要数据支持。
分流
分流是让不同流量按规则选择不同出站，例如直连、代理或阻断。“全局”与“绕过大陆”通常是客户端提供的路由预设，而不是新的代理协议。全局路由也只影响进入客户端的流量；没有遵循系统代理的应用，仍可能走自己的网络路径。
区分流量入口与出口 →出站与 outboundTag
出站是内核发送流量的方式，outboundTag 用于引用一个已定义出站的标签。配置中常见的 direct、proxy 名称只是标签约定，实际行为由对应出站定义决定。引用不存在的标签或套用不同配置的名称，可能导致启动错误或非预期出口。
proxy / tun
流量入口，系统代理与 TUN
先确认应用如何把流量交给客户端，再检查 DNS 与路由。入口配置和路由预设是两个独立问题。
系统代理
系统代理是操作系统提供给应用的代理设置，只有遵循这些设置的应用才会把流量交给本地代理。浏览器、终端工具与游戏对系统代理的支持可能不同，所以网页可访问不代表所有程序都已接入。Linux 桌面网络代理设置和命令行环境变量也应分别检查。
查看代理启用步骤 →SOCKS 与 HTTP 本地代理
SOCKS 与 HTTP 是客户端在本机提供的两类代理入口，应用需要使用兼容的类型、地址与端口。127.0.0.1 指当前设备自身，不是远端节点地址；端口则应以客户端实际设置为准。是否由代理端解析域名取决于协议与应用实现，不能仅凭填写了 SOCKS 就认定 DNS 路径已改变。
TUN 模式
TUN 模式通过虚拟网络接口接收系统流量，再交由客户端相关组件处理，覆盖范围通常比系统代理更广。它往往涉及权限、系统路由、DNS 和排除规则，并不意味着设备上的每条流量都必然经过代理。启用后异常时，应先关闭其他接管网络的软件，检查日志与路由变化。
查看 TUN 配置与维护 →FakeDNS
FakeDNS 向域名查询返回合成 IP，并保存这个地址与原始域名的映射，供后续连接处理使用。合成地址不是目标服务器的真实地址，需要与对应的流量接管和映射恢复机制配合。若查询经过 FakeDNS，但连接绕过接管路径，应用可能拿着合成地址却无法建立连接。
查看 DNS 配置章节 →DNS 泄漏
DNS 泄漏指域名查询未沿预期路径发送，而是由其他解析器或网络出口处理。应用内置的加密 DNS、系统解析器与客户端 DNS 可以同时存在，页面流量走代理并不能证明解析路径一致。排查时要分别确认谁发起查询、使用哪个解析器，以及查询连接选择哪个出口。
查看 DNS 排查说明 →security
认证与保护，加密与安全层
认证信息证明连接身份，安全层保护传输。参数应与服务端匹配，不应通过跳过验证来掩盖配置错误。
TLS
TLS 为连接提供加密、身份验证与传输完整性保护，常规配置通过证书确认服务端身份。连接地址与用于证书验证的服务器名称可以不同，但验证名称必须符合证书和服务端配置。遇到证书错误时，应检查系统时间、服务器名称和信任链，而不是长期启用跳过证书验证。
查看服务器名称的含义 →REALITY
REALITY 是 Xray 提供的安全层方案，客户端依靠公钥等参数验证服务端，不要求服务端为自身域名部署常规证书。公钥、服务器名称与 shortId 等参数仍须符合服务端配置，不能任意拼接。REALITY 不是代理协议，也不代表连接性能必然优于所有 TLS 配置。
查看与 VLESS 的分工 →XTLS Vision
XTLS Vision 是 Xray 中用于特定 VLESS 配置的流控机制，符合条件时可减少 TLS 流量的重复加密开销。配置里常见的流控值是 xtls-rprx-vision，它不是另一种传输协议，也不等同于 REALITY。是否能够使用，需要同时满足客户端、服务端及传输组合的要求。
SNI 与 serverName
SNI 是 TLS 握手中的服务器名称信息，客户端的 serverName 参数通常与握手名称及证书验证有关。它不等同于节点连接地址，也不能与 WebSocket 请求中的 Host 字段简单互换。使用 IP 作为连接地址时，仍可能需要填写指定服务器名称才能完成正确的握手。
UUID 与认证凭据
UUID 可以作为 VMess 或 VLESS 的用户标识，Trojan 密码、Shadowsocks 密钥则采用其他认证形式。UUID 的文本格式本身不说明节点质量，也不代表它可以公开；完整节点配置可能足以让他人使用对应服务。公开求助时，应遮挡认证字段、订阅链接与二维码，同时保留非敏感的错误信息。
查看配置与故障问答 →