V2Ray 进阶配置手册

订阅分组与服务器过滤

把订阅地址与连接配置分开管理

打开 v2rayN 的“订阅分组设置”，先建立独立分组，再填写订阅地址。分组负责保存更新来源、备注及过滤条件，服务器条目负责保存导入后的协议参数。修改分组备注不会改变远端连接信息；更新订阅也不等于切换当前服务器。完成更新后，仍要确认主窗口当前使用的是哪一条记录。

给分组命名时使用用途与来源描述，例如“日常使用”或“兼容测试”。不要把订阅地址直接写进备注、截图或共享文档。地址中的路径和查询参数可能承担访问授权作用。需要排查时只记录地址类型、返回状态与错误文本，隐藏具体内容；复制地址时保留原有编码，不要自行删去看似重复的参数。

首次更新先关闭过滤条件，确认能够获得服务器列表，再逐步增加限制。把“地址返回内容为空”与“内容存在但被筛掉”分开判断。前者需要检查订阅是否有效、网络是否可达及响应格式；后者需要检查过滤表达式。直接反复刷新不能修复错误的过滤条件，还可能掩盖真正的返回信息。

按字段和匹配方式缩小范围

使用服务器过滤前，先看设置项说明：它匹配的是服务器备注、协议类型，还是其他字段；表达式是普通文本、包含匹配，还是正则表达式。不同界面不能假定规则一致。若字段明确支持正则，可用下面的表达式匹配备注中的测试或备用标记；它只是匹配条件，是否保留这些记录由过滤项的语义决定。

(测试|备用)

不要一开始就组合复杂的排除条件。先以一条已知备注测试，再测试另一条不应匹配的备注，最后检查空备注。正则中的圆括号、竖线和句点有特殊含义；需要匹配字面句点时写成反斜线加句点。大小写是否敏感应以当前字段实现为准，不能仅凭界面上显示的字母形态推断。

如果订阅来源使用不同命名方式，优先为每个分组分别设置过滤，而不是把所有名称塞进同一个表达式。远端调整备注后，旧条件可能突然筛掉全部记录。更新前记下一个应当保留的名称特征，更新后检查它是否仍存在。不要以“列表数量变化”单独判断服务是否异常，来源本身也可能调整内容。

处理更新覆盖与连接参数差异

订阅记录通常由远端数据重新生成。需要长期修改传输参数时，先确认客户端是否提供独立保存或复制为手动记录的功能；复制后放进单独分组，并明确它不再自动继承订阅更新。不要直接修改一条订阅记录后，就假定下一次刷新一定会保留改动。先做一次受控更新，观察字段是否被覆盖。

遇到“导入成功但无法连接”，核对协议、服务器地址、端口、传输方式以及 TLS 相关字段。导入成功只表示客户端能够识别格式，不代表当前内核支持全部特性。v2rayNG 与 v2flyNG 的内核家族不同，不能只凭外观相似就互换配置。先确认协议需求，再决定使用哪款客户端。

订阅更新失败时，先保存当前仍可用的配置，不要立即清空全部分组。依次检查地址完整性、系统时间、证书错误与更新是否通过代理。具体分支见v2rayN 订阅更新失败排查。修正来源后，再恢复过滤条件，避免同时更改地址和筛选逻辑。

最后执行一次最小验证：更新一个分组，选择一条已知用途的记录，启动内核，再确认日志没有配置解析错误。验证通过后再启用自动更新。这样能够把订阅格式、过滤条件和连接参数三个问题拆开，不会因为一次批量操作而失去可用基线。

DNS 配置优化

先画出实际解析链

把 DNS 分成应用、操作系统、客户端和远端出口几个位置检查。浏览器可能启用自己的安全 DNS，系统可能使用局域网解析器，内核可能维护独立缓存，代理服务器也可能解析最终目标。修改“DNS 设置”只会影响被该配置接管的查询，不能假定所有应用都会立即使用新服务器。

先确认应用提交给代理的是域名还是地址。使用支持远端解析的代理方式时，应用可以把域名交给代理；若应用先自行解析，再把地址交给客户端，域名分流就可能缺少原始信息。此时需要回到应用代理选项或接管方式检查，不能单靠增加一条域名 DNS 规则恢复全部上下文。

区分两类关键查询：代理服务器自身地址的解析，以及业务目标的解析。前者发生在建立代理连接之前，必须有能够独立工作的路径。把唯一的引导解析器设置成“只有代理建立后才可访问”，会形成启动循环。配置域名形式的加密解析服务时，也要考虑该服务名称最初如何得到地址。

按用途分配解析器

下面是内置 DNS 的简化配置片段，适用于支持这些字段的 V2Fly 或 Xray 配置。它用公共解析器处理一般查询，并把本地域名交给系统解析。示例用于说明域名条件与查询策略，不代表公共解析器在任意网络都可达；实际使用前应按网络要求替换，并确认客户端是否会覆盖这部分内容。

{
  "dns": {
    "queryStrategy": "UseIP",
    "servers": [
      "1.1.1.1",
      {
        "address": "localhost",
        "domains": ["domain:localhost"]
      }
    ]
  }
}

内网服务通常依赖局域网 DNS 中的私有记录。把全部查询送到公共解析器后，这些记录可能不存在，或返回不适合当前网络的地址。为企业内部域名、路由器管理名称和自建服务保留明确的本地解析路径。不要把所有单标签名称都当作公共域名，也不要为解决一个内部名称而关闭整个 DNS 分流。

解析器的传输方式与查询实际走向是两回事。使用加密 DNS 能保护相应传输链路，但它是否经过代理，仍取决于内核实现、出站规则和客户端生成方式。部分本地解析模式会绕过普通路由处理；确认行为时查运行配置和连接日志，而不是根据地址字符串中是否出现加密协议判断路径。

“期望地址”一类条件用于判断返回结果是否符合规则预期，不应当成提升速度的通用开关。启用后如果合法响应被拒绝，可能触发回退查询，反而让故障更难定位。先确认基本解析成功，再增加结果约束；每加一层条件，都保留一个能够对照的域名及其预期解析范围。

分别验证地址族与缓存

同时支持 IPv4 与 IPv6 的网络，需要分别检查解析和连接。获得 IPv6 地址不代表当前出口具备可用的 IPv6 路径。若日志表现为选中地址后连接失败，应检查系统路由与出口支持，再决定是否调整查询策略。直接删除所有 IPv6 设置只能暂时改变症状，不能证明 DNS 服务原本有问题。

改变解析器后，浏览器、系统与内核可能各自保留缓存。测试时关闭旧连接，重启测试应用，并按需要刷新对应缓存。不要同时更换服务器和查询策略，否则结果变化无法归因。系统查询工具能验证系统解析链，但不一定经过内核内置 DNS，所以它与浏览器结果不同并不必然表示配置未生效。

排错时保留一条简单解析路径作为对照。先关闭复杂回退与结果过滤，确认基础查询能够完成，再恢复域名分类、地址族偏好和加密传输。若本地名称正常而外部名称失败，检查外部解析器可达性；若查询完成但目标连不上，返回路由章节检查出站，不要继续叠加解析服务器。

最后检查 DNS 日志的隐私影响。调试记录可能包含访问的完整域名，长期保存会形成详细活动记录。完成验证后恢复日常日志级别，分享错误信息时隐藏内部名称和订阅关联信息。DNS 优化的目标是路径明确、结果可解释，而不是配置尽可能多的上游。

FakeDNS

理解虚拟地址与域名映射

FakeDNS 不直接返回目标的真实地址，而是从专用地址池分配虚拟地址，并保存域名与地址的对应关系。应用随后连接该地址时，接管组件通过映射恢复原始域名，再进行路由和出站处理。它主要解决地址形态流量中的域名识别问题，不是一个可以独立替代完整 DNS 链的公共解析服务。

配置是否成立取决于闭环：查询必须进入 FakeDNS，返回的虚拟地址必须被同一套接管链收到，映射必须仍然存在，入站还需要执行正确的域名恢复。缺少任何一环，都可能出现“解析有结果但完全打不开”。因此，先验证普通 DNS 与 TUN，再增加 FakeDNS，避免在尚未稳定的接管链上叠加映射。

不要把路由中的虚拟地址直接送向真实网络。它们不是目标服务器的位置，通常也无法在普通网络中访问。若日志持续尝试连接地址池中的地址，优先检查映射恢复与接管范围，而不是寻找能够访问该地址的代理服务器。只有恢复原始域名后，后续域名规则与远端解析才有正确的输入。

对齐内核支持与入站配置

下面展示支持 FakeDNS 的 Xray 配置要素，分别对应地址池、DNS 服务器和目标入站的嗅探对象。它们需要合并到同一份实际运行配置中的正确位置，不是三个可随意追加的顶层对象。客户端若已经生成这些部分，应使用其对应设置，避免重复声明或覆盖其他必需选项。

{
  "fakedns": [
    {
      "ipPool": "198.18.0.0/15",
      "poolSize": 65535
    }
  ],
  "dns": {
    "servers": ["fakedns"]
  }
}

{
  "sniffing": {
    "enabled": true,
    "destOverride": ["fakedns"]
  }
}

第二段是入站内部的 sniffing 对象，不应直接作为完整入站替换原配置。若当前入站还需要 HTTP 或 TLS 嗅探，应按内核文档合并列表，而不是机械删掉原有内容。不同内核对虚拟地址与嗅探的实现可能不同；在 v2flyNG 中操作前，先确认所用内核和客户端确实提供相应支持。

示例地址池是虚拟用途网段，但仍需检查本机与所在网络是否已经使用它。实验环境、其他代理组件或网络测试工具可能有相同用途。地址重叠会使路由含义不明确。不要任意选择一个看似空闲的公网网段；如果客户端允许修改，应遵循该实现的地址池要求，并同步检查路由排除项。

地址池容量影响能够保留的映射数量，不等于可连接服务器数量，也不是速度参数。容量过小可能在域名较多时更快淘汰旧映射；随意放大则可能增加资源占用。先使用实现提供的合理默认值，只有日志与复现条件指向映射淘汰时再调整，不能仅凭一个应用打开缓慢就认定容量不足。

处理缓存与绕行应用

启用或停用 FakeDNS 后，应用和系统可能继续使用旧缓存。若应用还持有虚拟地址，而对应映射已因重启消失，就会出现间歇失败。测试切换时关闭相关应用连接，清理对应解析缓存，再重新发起请求。不要只重启内核而让浏览器长时间复用先前的地址与连接，这会把新旧两种状态混在一起。

应用自带的加密 DNS 可能绕开预期查询入口；固定地址访问则根本没有域名查询过程。这两类流量不能自动获得 FakeDNS 映射。处理时先识别应用实际行为，再决定是否调整应用 DNS、代理方式或接管范围。不能因为其他应用正常，就断定异常应用一定使用了相同的解析链。

对局域网名称和依赖真实地址的应用保留普通 DNS 路径。部分服务会把解析结果传给另一个未被接管的进程，那个进程可能无法使用虚拟地址。发现此类边界时，应对目标名称设置明确的解析例外，而不是扩大虚拟地址的系统可见范围。跨进程传递地址的行为需要结合应用结构判断。

回退时按顺序恢复普通解析、停用虚拟映射，再清理旧缓存并重建连接。如果回退后仍访问虚拟地址，先处理缓存残留，不要继续修改服务器配置。FakeDNS 的价值在于保留可路由的域名信息；当普通域名入站已经满足需求时，没有必要仅为增加配置复杂度而启用它。

自定义出站

用标签连接路由与出口

出站定义连接如何离开内核，路由通过标签选择出站。标签只是配置内部的引用名称，不具备特殊能力。把一个出站命名为 direct 并不会自动让它直连，真正决定行为的是协议及其设置。先检查出站对象，再检查路由引用；拼写一致只是配置正确的必要条件，不是充分条件。

图形客户端通常会生成当前服务器对应的代理出站，以及直连和阻断出站。需要增加自定义对象时，先确认客户端提供的是“追加片段”“替换完整配置”，还是专门的自定义配置入口。把局部片段导入完整配置入口会缺少入站等必需部分；反过来，整份配置塞入追加区域也可能产生重复定义。

下面是原生 V2Ray 或 Xray 配置中常用的直连、阻断出站片段，可用于理解标签结构。合并前检查是否已经存在相同标签。示例没有提供代理服务器认证信息，也不是完整客户端配置；代理出站应由已验证的服务器记录生成，避免在手写过程中漏掉传输与安全参数。

{
  "outbounds": [
    {
      "tag": "direct",
      "protocol": "freedom",
      "settings": {}
    },
    {
      "tag": "block",
      "protocol": "blackhole",
      "settings": {}
    }
  ]
}

先做单路由测试，再增加组合

增加出站后，先用一条明确且范围较小的规则引用它。选择可控的测试目标，确认内核能够启动、标签存在、规则命中，再考虑扩大范围。不要直接替换全部默认流量；一旦配置有误，所有应用同时失败会减少对照信息，也可能让订阅更新和求助页面一起失去连接。

直连出站同样涉及解析与系统网络。它不代表跳过防火墙，也不保证使用某个物理接口。若需要绑定接口或指定发送地址，应确认当前内核提供的对应选项与系统权限，并验证地址是否属于本机。复制另一台设备的接口名称或地址，通常会导致连接失败，而不是获得同样的路径。

代理链并不等于放置多个代理出站。只有配置了明确的转交关系，连接才会经过多个阶段；普通路由一般只是选择其中一个出口。建立链路前确认每一段单独可用，再确认各段的域名解析、传输协议与认证要求。任何一段失败都会影响整条链，日志也需要按阶段读取，不能只看最后的超时。

尤其检查 UDP 与复用行为。某个出站能承载网页连接，不代表它适合所有数据报流量；某个协议支持复用，也不代表开启后对所有应用都有益。先保留默认设置，只有明确观察到连接建立开销或兼容问题时再做对照实验。不要把 Mux 当作无条件提速开关，也不要把多个内核的复用字段混用。

处理默认出站、循环与兼容性

没有显式兜底规则时，默认出站可能受对象顺序影响。插入新对象后，即使原有规则没有变化，未匹配流量也可能改走其他路径。修改前记录默认行为，修改后专门测试一个不会命中前置规则的目标。需要稳定表达默认意图时，使用当前内核支持的兜底方式，不依赖偶然的排列顺序。

避免出站互相引用形成循环，也避免出站的连接再次被本机代理入口接收。前者发生在内核配置的转交关系中，后者可能来自系统代理、TUN 或应用代理设置。两种情况都可能表现为重复连接和超时。排查时先画出每一步的下一跳，直到真实网络出口，任何回到起点的箭头都需要解释。

切换内核前保存配置，并逐项核对协议、传输、安全选项和资源格式。V2Fly 与 Xray 共享部分配置概念，但不是所有扩展都兼容；v2rayNG 与 v2flyNG 也不能只凭名称接近就视为相同运行环境。若内核报告未知字段，先按实际支持范围修正，不要简单删除错误行后忽略它原本承担的功能。

维护自定义配置时，把每个标签的用途写在外部记录中，避免在严格 JSON 中加入注释导致解析失败。保存时检查括号、逗号、字符串引号与重复键。每次只改一个逻辑单元，成功启动后再验证网络；语法通过不代表出口可达。需要重新选择客户端时返回下载页核对平台与内核用途。

撤销自定义出站时，先移除或改写引用它的规则，再删除对象，最后检查默认路径。只删除出站却保留标签引用，会让配置在启动或匹配阶段失败。完成回退后重建测试连接，并确认客户端已重新使用预期的配置生成方式，防止界面恢复而运行文件仍停留在旧状态。