V2Ray 术语表 - VLESS、REALITY、Xray 与路由概念

01 / PROTOCOL

协议与传输

协议定义认证与数据交换方式，传输层决定连接如何承载。导入配置时不能只看协议名称，还要同时核对安全层、传输方式、路径和服务名称。

VMess: Project V 生态较早使用的一种协议。配置通常包含用户标识、服务器地址、端口、传输方式与安全参数；其中任一关键字段不一致，都可能让握手无法完成。旧配置中较常见，迁移时应按服务端提供的完整参数导入，而不是只复制地址和端口。
VLESS: 一种把认证机制与传输安全层分开的轻量协议。VLESS 本身的配置重点是用户标识、流控和底层传输，实际使用时常与 TLS 或 REALITY 组合。阅读配置时，应分别确认协议字段、传输字段与安全字段，避免把三层参数混在一起判断。
Trojan: 使用密码认证并通常与 TLS 配合的代理协议。客户端需要匹配服务端地址、端口、密码、服务器名称和证书相关设置。遇到连接在握手阶段结束时，除了认证信息，还应检查系统时间、域名填写和安全层选项。
REALITY: Xray 生态中的传输安全方案，常与 VLESS 配合。典型配置会出现公钥、短标识、服务器名称、指纹和流控等字段，这些字段彼此独立，不能互相替代。导入后若客户端显示参数不全，应回到原始配置逐项比对，而不是反复切换节点。
TLS: 为网络连接提供加密与身份验证的安全层。证书名称、服务器名称、系统时间和证书信任状态都会影响 TLS 握手。客户端里的“跳过证书验证”属于独立选项，不应被当作处理所有连接问题的通用开关。
WebSocket: 通过 HTTP 升级机制建立双向连接的传输方式，在配置中常缩写为 WS。常见参数包括路径、请求头和主机名，它们需要与服务端入口保持一致。WebSocket 是承载方式，不等同于 VMess、VLESS 等上层协议。
gRPC: 基于 HTTP/2 的远程调用框架，也可作为连接的传输方式。相关配置通常包含服务名称，并与 TLS 等安全层一起出现。服务名称看似接近路径，但两者不是同一字段；从其他传输方式迁移时不要直接照搬路径值。

02 / CORE

内核与客户端

客户端负责图形界面、订阅管理与系统集成，内核负责建立连接和执行规则。区分两者有助于判断问题发生在界面设置、配置生成还是底层连接阶段。

V2Ray: Project V 生态中的网络代理技术与配置体系，常用于统称相关协议、内核和客户端工具。实际排查时，“V2Ray”这个宽泛名称还不够，需要继续确认使用的是哪个客户端、哪个内核家族以及哪种协议。不同实现的菜单名称可能不同，但配置分层逻辑相近。
V2Fly: 延续 Project V 技术路线的社区维护内核家族，拥有独立版本与配置实现。V2Fly 与 Xray 共享部分概念，但协议支持、字段细节和更新节奏并不完全相同。选择客户端时，应确认其实际调用的内核，而不是仅根据应用名称推断。
Xray: 与 V2Ray 配置体系关系紧密的内核家族，支持 VLESS、REALITY 等协议与传输能力。Xray 通常由图形客户端作为后台进程启动，日志中会记录配置解析、监听端口和连接错误。修改高级参数前，先确认当前客户端是否使用该内核以及版本是否支持对应字段。
v2rayN: 面向 Windows、macOS 与 Linux 的桌面图形客户端。它负责订阅更新、服务器列表、路由设置、系统代理和内核管理，并把界面选项转换成内核可读配置。桌面版与经典界面的操作位置可能不同，阅读教程时应先确认所用界面类型。
v2rayNG: 面向 Android 的图形客户端，通常使用 Xray 内核处理连接与路由。它可导入订阅或单条分享链接，并通过系统的 VPN 接口接管所选流量。后台限制、电池策略和系统网络切换都可能影响持续连接，需要与协议配置分开排查。
v2flyNG: 面向 Android 的 V2Fly 内核客户端，可用于需要 V2Fly 技术路线的配置。其界面操作与常见移动客户端有相似之处，但底层支持范围取决于 V2Fly 内核。导入配置前应确认协议与传输字段是否属于该内核支持范围。
内核: 负责读取配置、开启本地监听、建立远端连接、处理协议并执行路由规则的后台程序。图形客户端显示“已启动”时，通常意味着内核进程已运行，但不必然表示每条服务器配置都能连接。排查启动失败应先看本地日志，排查单个节点则应关注该次连接对应的错误行。

03 / SUBSCRIPTION

订阅与节点

订阅是配置来源，节点是客户端保存的单条服务器记录，测试结果则是某种条件下的测量值。把这三类概念分开，可以减少“更新成功却无法连接”一类误判。

订阅: 由服务端提供的配置集合地址，客户端请求并解析后，会把其中的服务器条目写入本地列表。添加订阅地址只是登记来源，通常还需要执行一次更新操作。更新失败时应区分地址不可访问、返回内容异常和客户端解析失败三种情况。
节点: 客户端服务器列表中的单个配置记录，包含地址、端口、协议、认证和传输参数。节点名称主要用于辨认，不决定实际连接目标。两条显示名称不同的记录可能使用相同服务器参数，也可能因安全层或传输方式不同而具有完全不同的连接结果。
订阅分组: 用于区分多个订阅来源的管理单元。分组可以帮助分别更新、停用或筛选服务器，避免所有条目混在一个长列表中。修改分组名称通常不会改变远端订阅内容，但删除分组前应确认客户端会如何处理其中的本地记录。
分享链接: 把单个服务器配置编码成特定 URI 的文本形式，兼容客户端可据此恢复主要参数。分享链接适合导入单条记录，订阅地址则用于持续获取一组配置，两者用途不同。解析失败通常说明链接格式、编码内容或客户端支持范围存在差异。
延迟: 数据在本机与目标之间完成一次往返所需的时间，通常以毫秒表示。不同测试可能只探测网络可达性，也可能包含握手和目标访问，因此结果不能直接横向混用。较低的探测耗时也不代表后续连接一定稳定。
真连接延迟: 通过实际建立协议连接并访问测试目标测得的耗时。它比单纯的网络探测包含更多阶段，能更接近客户端建立业务连接的过程，但仍只是一次测试条件下的结果。测试目标、DNS、当前网络和服务器负载变化都会影响数值。

04 / ROUTING

路由与分流

路由系统读取连接的域名、地址、端口或进程信息，再选择对应出站。规则是否有效，不只取决于内容本身，还取决于排列顺序和内核能否取得原始目标信息。

路由规则: 根据域名、地址、端口、网络类型、协议或进程等条件决定流量使用哪个出站的配置集合。规则负责选择路径，不负责修复服务器参数。编写规则前应先确认目标、匹配条件和期望出站，避免用过宽条件覆盖后续细分规则。
分流: 把不同目标或应用的连接分配给代理、直接连接或阻断等出站方式的处理过程。分流既可以使用内置规则集，也可以由用户编写明确条件。出现访问路径不符合预期时，应先检查命中了哪条规则，再检查该规则指向的出站。
GeoIP: 按地址段归类网络地址的数据集合，可作为路由规则中的批量匹配条件。GeoIP 匹配的是解析后或连接目标中的地址，不等同于域名分类。数据文件具有更新时间，地址归属变化时，旧数据可能与当前网络情况不完全一致。
GeoSite: 按用途、组织或类别整理域名的数据集合，内核可用一个分类名称匹配大量域名。GeoSite 处理域名维度，GeoIP 处理地址维度，两者经常同时出现在路由规则中。分类集合并不等于实时在线目录，规则结果仍需结合实际解析过程判断。
出站: 内核处理完入站连接后选择的出口。常见出站包括使用指定服务器建立代理连接、直接连接目标或对连接执行阻断处理。路由规则最终通常指向某个出站标签，因此标签拼写和配置引用关系必须一致。
规则优先级: 多条路由规则都可能匹配同一连接时采用的判断顺序。许多配置按照规则排列次序从前向后处理，先命中的宽泛规则可能使后面的精细规则失去机会。调整顺序前应记录原配置，并用明确目标逐条验证。

05 / NETWORK

网络基础

客户端要先在本机接收应用流量，再把连接交给内核处理。系统代理、TUN、DNS 与监听端口分别位于不同环节，排查时应沿着“应用—本地入口—路由—远端连接”的顺序检查。

系统代理: 操作系统提供给应用读取的一组代理设置。浏览器等遵循系统设置的程序会自动连接客户端开放的本地端口，但部分终端工具、游戏或自带网络栈的程序可能使用独立配置。系统代理已开启，只能说明入口已登记，仍需确认客户端内核和服务器连接状态。
TUN 模式: 通过虚拟网络接口接收系统流量的工作方式，可覆盖不读取系统代理设置的程序。TUN 模式需要处理路由表、DNS 和应用兼容性，因此比普通系统代理涉及更多系统层配置。开启后若出现局部应用异常，应先检查绕行规则与 DNS 设置。
FakeDNS: 为域名临时分配保留地址，并在内核中维护域名与该地址之间映射的机制。它常用于 TUN 场景，让内核在接收到地址连接时仍能识别原始域名并执行域名规则。FakeDNS 不是公共解析器，其映射需要由同一套流量处理链路正确接管。
DNS: 把域名转换为网络地址的基础服务。V2Ray 客户端配置可能同时涉及操作系统解析器、内核内置解析设置和远端解析策略。排查域名打不开但地址可连接的问题时，应分别查看查询是否成功、返回了什么地址以及后续路由如何处理。
DNS 泄漏: 业务连接经过预期路径，但域名查询仍被其他解析器处理的现象。它通常与系统解析设置、浏览器安全 DNS、TUN 接管范围或内核 DNS 路由有关。排查时不能只看最终连接地址，还要确认查询请求实际由哪一层发出和处理。
本地监听端口: 客户端在本机开放并等待应用连接的端口，例如 SOCKS 或 HTTP 入口端口。一个端口在同一地址上通常不能被两个进程同时占用，冲突时内核可能启动后立即退出。修改端口后，还应同步更新系统代理或应用里的对应设置。
SOCKS 代理: 工作在应用连接层的通用代理接口，可承载多种上层协议。应用可以把目标地址或域名交给 SOCKS 入口，再由客户端内核完成连接与路由。使用域名时，还需注意应用是在本地先解析，还是把域名交给代理端处理。
HTTP 代理: 面向 HTTP 请求及 HTTPS CONNECT 隧道的本地代理接口，常被浏览器和开发工具使用。它与 SOCKS 代理的协议格式不同，端口不能在未确认的情况下互换填写。终端程序若不读取系统代理，通常还需要在该程序自己的设置中指定代理地址。