V2Ray 术语手册：协议、内核与客户端设置

协议与传输

协议决定两端如何交换代理数据，传输方式决定数据怎样承载，TLS 或 REALITY 则处理传输安全。节点名称里出现多个关键词很正常，不能把这些词当成可以随意互换的选项。

VMess

VMess Protocol

Project V 生态中的代理协议，包含身份验证与数据保护机制，节点配置通常会带用户标识。VMess 可以搭配不同传输方式，协议相同不代表其他字段也相同。导入后应保留服务端提供的参数，并保持设备时间准确，避免认证过程因时间偏差失败。

VLESS

VLESS Protocol

采用精简设计的代理协议，协议本身不提供完整的传输加密，实际部署常结合 TLS 或 REALITY。客户端中的用户标识、传输方式、流控及安全参数需要与服务端配套。不能把 VMess 节点的类型改成 VLESS 就当成完成转换，两者需要各自有效的服务端配置。

Trojan

Trojan Protocol

通常建立在 TLS 连接上的代理协议，常用密码进行认证。密码正确只是连接条件之一，服务器名称、证书验证和传输参数也必须匹配。遇到握手错误时，应分别核对认证信息与 TLS 配置，而不是只反复更换密码。

Shadowsocks

SS / Shadowsocks

使用预共享密钥与指定加密方法的代理协议，常缩写为 SS。加密方法并不是客户端随意选择的性能开关，必须与服务端保持一致。不同协议代际对密钥格式及功能的要求可能不同，导入失败时要先确认客户端与内核是否支持对应方法。

REALITY

Transport Security / 传输安全

Xray 生态中的传输安全机制，常见组合是 VLESS 搭配 REALITY，因此它不是与 VLESS 同层级的代理协议。配置通常涉及公钥、服务器名称和短标识等参数，具体字段随客户端界面而异。应使用同一份有效配置中的配套参数，不能从多个节点拼接字段。

TLS

Transport Layer Security

为连接提供加密与身份验证的安全协议，浏览器访问 HTTPS 时也会用到它。节点中的连接地址和 TLS 服务器名称可能不同，后者通常参与证书验证。出现证书错误时应先核对名称、系统时间与证书状态，不应把跳过验证当成日常修复方法。

内核与生态

客户端是操作入口，内核是实际执行网络配置的程序。界面能显示某个字段，不代表当前选用的内核就能执行；比较兼容性时，应同时看客户端版本、内核类型与具体功能。

Project V

V2Ray 相关开源生态

围绕 V2Ray 等组件形成的开源网络工具生态，不是一款统一界面的桌面软件。v2rayN 等图形客户端把订阅管理、节点选择和代理开关整理成可操作的界面，再交由内核运行。理解这层关系后，就能区分界面设置问题与内核执行问题。

Xray

Xray-core / 网络内核

由 V2Ray 相关代码发展而来的内核分支，之后具有独立的功能演进，REALITY 等特性与其生态密切相关。v2rayNG 使用 Xray，v2rayN 中则需要结合配置确认所用内核。两类内核虽然共享部分概念，高级字段与完整配置仍不保证能直接互换。

V2Fly

V2Ray Core / 社区维护项目

延续维护 V2Ray 核心的社区项目，客户端里也可能用小写的 v2fly 标注对应内核。v2flyNG 是使用该内核的安卓客户端备选，适合已有配置与它匹配的情况。选择时应核对具体协议和传输支持，不宜仅凭两个内核的名称判断谁更适合。

客户端设置

这类选项决定应用流量怎样进入客户端，以及本地代理入口对谁开放。流量进入客户端之后，仍要经过路由规则选择出口。因此，开启代理与选择全局路由是两步不同的操作。

系统代理

System Proxy

操作系统向应用提供的代理配置，只有遵循这套设置的应用才会使用它。v2rayN 的“自动配置系统代理”通常把系统代理指向本地监听入口，并不等于接管设备的全部连接。某个应用仍然直连时，应先看它是否支持系统代理，再考虑应用内代理或其他接入方式。

TUN 模式

Virtual Network Interface

通过虚拟网络接口接收系统 IP 流量，再交由内核处理的一种运行方式，通常比单纯的系统代理覆盖更多应用。实际接管范围仍取决于系统路由、运行权限和 DNS 配置，不应理解为所有连接必然走同一出口。与其他虚拟网络工具同时使用时，还要留意路由冲突。

本地监听

Local Listener / SOCKS / HTTP

客户端在本机开放的代理入口，供浏览器或其他应用连接使用；SOCKS 与 HTTP 是常见的入口类型。监听地址决定哪些设备能够访问，端口号则要与使用该入口的应用设置一致。若日志提示端口已被占用，应先确认是否重复启动客户端，而不是直接更换远端节点。

允许来自局域网的连接

LAN Access

让同一局域网中的其他设备访问本机代理入口的设置，不是让当前客户端连接局域网设备的开关。启用后还需要正确的监听地址与防火墙规则，其他设备应填写这台电脑的局域网地址。仅本机使用时通常不必开启，共享时应限制访问范围并考虑认证。

订阅与节点

订阅用于批量获取配置，节点是一条具体连接配置，测试则用于观察连接表现。更新订阅、选中节点和执行测试互不替代；遇到问题时，先确认失败发生在哪一步。

用于获取一组节点配置及后续更新的地址或内容，客户端会按支持的格式解析它。订阅更新成功只表示取得并解析了配置，不保证每条节点都能连接。链接中可能包含账户标识，应避免公开分享；遇到更新失败时，先核对地址完整性，再查看日志中的连接或格式错误。

节点

Node / Server Profile

客户端里用于连接远端服务的一组参数，不只是服务器地址。完整配置还可能包含端口、用户标识或密码、传输方式，以及 TLS 或 REALITY 参数。节点备注只是便于识别的名称，不能仅凭备注判断实际位置、协议能力或连接质量。

订阅分组

Subscription Group

客户端按来源或用途整理订阅与节点的管理单位，便于更新、筛选和清理配置。分组备注通常不参与连接认证，也不会自动改变某个网站的出口。删除分组前应确认是否同时删除其节点，以及之后是否还需要原订阅地址，避免把整理操作误当成连接设置。

延迟

Latency

在某种测试方法下，请求获得响应所需的时间，常以毫秒显示。ICMP、TCP 与 HTTP 测试覆盖的环节不同，比较结果时应使用相同方法和目标。延迟较低不代表下载吞吐量一定更高，超时也可能来自测试目标或测试方式受限，不能单独作为节点失效的结论。

真连接延迟

Real Connection Latency

通过当前代理配置向测试目标发起实际请求所测得的耗时，比只测端口连通性更接近应用请求。具体计时范围取决于客户端实现，可能包含代理握手、DNS 和目标响应等环节。结果只反映当次测试链路，不能代替持续使用观察，也不能直接推算下载速度。

路由与 DNS

路由处理连接走向，DNS 处理域名解析，两者会互相影响。排查时要分别追踪域名如何得到地址、连接如何匹配规则，以及最终使用哪个出口，避免只改一处就推断整条链路已经改变。

路由规则

Routing Rules

按域名、IP、端口等条件为连接选择出口的一组规则，出口可以是直连、代理或阻断。常见内核按顺序查找首条匹配规则，因此宽泛规则放在前面，可能遮住后面的具体规则。调整规则时应同时检查匹配条件、先后顺序与默认出口，而不是只确认目标域名出现在列表里。

分流

Traffic Splitting

将不同连接分配到不同出口的处理方式，它描述路由结果，不是一种加密协议。客户端中的“绕过大陆”“黑名单”“全局”等预设，是对一组路由策略的便捷选择。预设的具体规则会随版本或配置变化，需要更精细控制时应查看实际规则内容。

GeoIP

IP Address Dataset

供路由规则引用的 IP 地址集合，常按地区或其他属性整理。分类依赖数据库内容，并不是实时测得的服务器物理位置，地址归属变化或共享基础设施都可能影响判断。域名连接是否需要先解析成 IP 再参与匹配，还取决于内核的域名解析策略。

GeoSite

Domain Dataset

按服务、用途或其他类别整理的域名集合，用于路由中的域名匹配，与 GeoIP 的 IP 分类不同。规则通常需要内核取得目标域名，只有目标 IP 时不一定能命中。某个站点还可能依赖多个资源域名，因此页面主体可用而图片失败时，需要一起检查相关域名的走向。

DNS

Domain Name System

将域名解析为 IP 地址等记录的系统，系统、浏览器与代理内核都可能参与解析。客户端中的直连 DNS 和远程 DNS 通常用于不同解析场景，但字段名称本身不能保证查询一定从指定出口发出。检查配置时，应把解析器地址、查询路径和解析结果的后续用途分开确认。

FakeDNS

Synthetic IP Mapping

为域名分配虚拟 IP 并保存映射关系的机制，后续连接到该地址时，内核可以恢复原来的域名信息。它需要与流量接管及路由配套使用，返回的虚拟地址不能当成远端服务器真实地址。切换模式后若应用仍使用旧映射，可能需要刷新 DNS 缓存或重新建立连接。

DNS 泄漏

DNS Leak

DNS 查询没有按预期路径发出，进入了非预期解析链路的情况。检测页面显示的解析器名称需要结合实际分流目标判断，不能只凭名称不同就认定配置错误。排查时应同时查看浏览器安全 DNS、系统解析、内核 DNS 与查询出口；有意直连的域名解析应与意外绕行区分开。