协议与传输
协议负责如何表达代理请求；传输负责承载数据；安全层负责保护连接。选型时需要核对整组参数。
- VMess
- Project V 生态中的代理协议，包含身份认证与数据保护机制，现代配置通常采用 AEAD 认证。客户端与服务端需要匹配用户标识等设置，系统时间偏差过大也可能导致认证失败。VMess 不等于某一种传输方式，同一协议可以搭配不同的传输设置。
- VLESS
- 强调轻量化的代理协议，本身不承担载荷加密，实际部署通常配合 TLS 或 REALITY。用户 ID、流控、传输方式与安全层必须按服务端要求填写，不能仅把协议下拉框改成 VLESS。是否可用取决于完整组合，而不是协议名称本身。
- Trojan
- 通常依托 TLS 保护连接、使用密码进行认证的代理协议。除密码外，还需要核对端口、服务器名称与证书验证设置；地址能够访问，不代表认证一定通过。遇到证书错误应检查名称、系统时间及服务端证书，而不是直接跳过验证。
- Shadowsocks
- 常简称 SS，以共享密钥和指定加密方法工作的代理协议。不同代际的实现对加密方法、密钥格式与内核版本有不同要求，尤其不能把不同格式的密钥直接互换。导入时应核对加密方法与认证字段，不能只确认地址和端口。
- REALITY
- Xray 生态中的传输层安全方案，不是与 VLESS 并列的独立代理协议。常见客户端配置会要求 PublicKey、ShortId、SNI 与指纹等参数，它们需要符合服务端设置，其中短标识是否可留空也取决于服务端。公钥与私钥用途不同，客户端不应填写服务端私钥。
- XTLS Vision
- Xray 的流控方案，客户端中的值通常写为
xtls-rprx-vision。它既不是传输协议，也不是安全层，常用于兼容的 VLESS 连接组合。只有服务端配置、传输方式与内核均支持时才应选择，不能将它当作任意节点的提速开关。
- 传输协议
- 承载代理协议数据的方式，常见名称包括 TCP 与 WebSocket；具体可选项随内核及版本变化。代理协议相同而传输方式不同，两端仍可能无法通信。路径、Host 等附加字段只有在相应传输方案中才有意义，不应跨方案机械照填。
内核与生态
客户端提供操作界面，内核执行连接。判断功能支持时，需要同时看客户端入口和实际运行的内核。
- Project V
- 围绕网络代理工具及相关组件形成的项目体系，V2Ray 是其中的重要组成。日常所说的“V2Ray 客户端”通常指图形管理工具，并不表示每款工具都使用完全相同的内核。理解这一层关系，有助于区分界面功能、配置格式和协议实现。
- V2Fly
- 持续维护 V2Ray 核心的社区项目，提供协议处理、路由与 DNS 等能力。v2flyNG 以这一内核家族作为 Android 端的备选方向。可用功能应以实际内核版本为准，不能把其他内核中的字段直接复制过来，也不能仅凭客户端名称推断兼容性。
- Xray
- 与 V2Ray 有历史渊源的代理内核项目，在后续发展中形成了自身的功能与配置演进。REALITY、XTLS Vision 等能力需要相应的 Xray 支持，v2rayNG 使用这一内核家族。两者配置结构存在相似之处，但这不构成整份配置可直接互换的保证。
- 内核
- 负责协议处理、连接建立、DNS 与路由执行的组件；客户端则负责界面、订阅和配置管理。界面中存在某个选项，不代表当前所选内核一定能够执行。排查启动失败时应先阅读内核日志，检查是否存在字段不支持、参数缺失或端口占用。
客户端功能
接管流量与选择出站是两件事。系统代理或 TUN 决定流量如何进入处理链路，路由决定进入后怎样转发。
- 系统代理
- 通过操作系统的代理设置，让遵循该设置的应用连接客户端提供的本地代理入口。部分应用使用独立网络设置，可能不会跟随系统代理，因此它不等于接管全部流量。关闭客户端后若网页异常，应确认系统代理已恢复，而不是只检查节点状态。
- TUN 模式
- 通过虚拟网络接口与路由设置，把网络流量送入客户端处理链路的运行方式，覆盖范围通常比系统代理更广。它可能需要管理员权限，并依赖正确的路由与 DNS 设置；开启后也不表示所有连接都会走代理出站。与其他虚拟网络工具并用时，应检查路由冲突。
- 入站与出站
- 入站负责接收进入内核的连接，例如本地 HTTP 或 SOCKS 代理入口；出站负责让连接继续前往目标，可以是代理、直连或阻断。路由规则通过出站标识关联具体处理方式。入站监听端口不是远端服务器端口，修改其中一个不会同步修改另一个。
- 流量嗅探
- 从部分连接的握手信息中识别域名或协议线索，为路由判断提供依据。它不等于解密应用正文，也无法保证识别所有连接，能否获得信息取决于协议与握手形式。启用后仍需正确配置 DNS 与路由，不能用嗅探代替完整的域名解析策略。
接管范围不等于代理范围。某个应用被 TUN 接管后，仍可能按规则直连。要确认实际路径，应结合访问目标、命中的规则与出站日志，而不是只看模式开关。
订阅与节点
订阅负责配置的来源与更新，节点是具体连接条目。导入、更新、测试和实际访问分别验证不同环节。
- 订阅
- 用于批量取得或更新服务器配置的资源入口，客户端读取后将内容转换为可管理的条目。订阅链接可能包含访问凭据，应作为敏感信息保存，不宜放进截图或公开文档。更新成功只说明取得并解析了内容，不能证明所有节点都可连接，也不会必然自动启用系统代理。
- 节点
- 客户端中一条服务器连接配置的常用称呼，通常包含地址、端口、认证信息及传输设置。多个节点名称可能指向同一基础设施，名称中的地区文字也不能独立证明实际位置或出口特征。判断是否可用，需要结合连接测试、应用访问与日志，不能只看列表中是否出现条目。
- 订阅分组
- 按来源组织订阅地址和服务器条目的管理单位，便于分别更新、筛选与删除。分组名称主要服务于管理，本身不等于路由策略、自动切换或负载均衡。删除分组或更新订阅前，应确认手动修改的条目是否会被覆盖，并按需要使用客户端的备份功能。
- 延迟与真连接延迟
- “延迟”可能只测 TCP 建连耗时；“真连接延迟”通常经选定代理完成指定请求，更接近应用使用路径，但测试方法依客户端而异。结果会受目标站点、DNS、握手和超时设置影响，不能直接当作下载速度。超时也应结合测试目标排查，不能立即推断节点失效。
路由与 DNS
域名解析决定取得哪些地址，路由决定连接交给哪个出站。两者相互影响，但不是同一个设置。
- 路由规则与分流
- 根据域名、IP、端口或入站标识等条件，把连接交给指定出站的机制，常见字段包括
domain、ip与outboundTag。规则通常按顺序匹配，默认出站负责处理未命中的连接。规则存在不代表一定命中，还需确认内核拿到的是域名还是 IP。
- GeoIP
- 按地区或网络类别组织的 IP 地址集合，可作为路由匹配条件。它依赖实际数据文件及更新情况，不是实时地理定位，也不能直接代替域名分类。目标使用内容分发网络时，解析地址可能随网络位置变化，单凭 GeoIP 标签不一定能准确表达某项服务的归属。
- GeoSite
- 按服务或类别整理的域名集合，常用于域名分流或 DNS 策略。分类名称、包含范围与可用条目取决于所使用的数据文件，不能假定所有来源都提供相同标签。若规则加载报错，应先核对类别是否存在及文件是否可读，再检查域名匹配方式。
- FakeDNS
- 为域名分配虚拟 IP，并在后续流量进入对应处理链路后恢复域名关联的机制。返回的地址不是目标服务器真实地址，解析、映射和路由必须协同工作。若应用取得虚拟地址后绕过客户端连接，可能出现访问失败；切换方案时还需考虑应用与系统的 DNS 缓存。
- DNS 泄漏
- 指 DNS 查询绕过预期解析路径，发往其他解析器的情况，应相对于明确的配置目标判断。系统解析、应用内置加密解析与内核 DNS 可能并存，因此网页出口地址正确不代表解析路径也符合预期。排查时应分别检查应用设置、系统解析器及内核日志，避免只依赖单次测试结果。