V2Ray 术语表：VLESS、REALITY、Xray 与路由分流

PROTOCOL

代理协议

协议决定客户端与服务端如何交换代理请求、完成认证。协议相同只是起点，传输与安全参数也要匹配。

VMess: Project V 生态中的代理协议，包含用户认证与数据保护机制，常见配置会出现 UUID 等字段。客户端与服务端不仅要选中同一协议，还要匹配传输方式和安全设置。设备时间偏差可能影响认证，连接失败时应核对自动时间同步，而不是反复更换本地代理端口。

VLESS: 一种将代理协议本身与底层安全机制分开的轻量协议，常与 TLS 或 REALITY 配合使用。常见配置依赖外层提供传输保护，不能仅凭名称判断整条连接的加密方式；新扩展是否可用也要看双方内核版本。导入后应同时检查 UUID、传输类型、安全类型及 flow，不能只核对服务器地址。

Trojan: 通常依托 TLS 提供传输保护，并通过密码完成认证的代理协议。密码正确不代表其他参数就正确，服务器名称、证书验证与传输设置同样影响连接。证书相关报错应先检查域名、设备时间和服务端证书，不宜把跳过证书验证当作日常配置。

Shadowsocks / SS: 一类加密代理协议，客户端中通常简称 SS，配置重点包括服务器、端口、加密方法与密钥。不同协议变体对密钥格式和内核支持有不同要求，不能随意把加密方法换成看起来更熟悉的选项。导入失败时先确认具体变体，再检查客户端版本与分享格式。

CORE & PROJECT

内核与项目

客户端负责操作界面，内核负责执行连接。看懂项目关系，才能判断一个设置到底能不能用。

Project V: 与 V2Ray 起源相关的项目与工具体系概念，强调可组合的代理、传输和路由能力。它不是某个带图形界面的安装包，也不是 VMess 的另一种写法。阅读资料时应继续确认文中说的是项目生态、具体内核，还是管理内核的客户端，避免把不同层次的功能混在一起。

V2Fly: 延续 V2Ray 开发的社区项目，维护相应内核及其配置能力。v2flyNG 以这套内核为主要基础，但客户端设置名称与底层配置字段不一定逐字对应。V2Fly 与 Xray 分别演进，遇到某个协议扩展或传输选项时，需要查实际版本支持，不能假定两边完全通用。

Xray: 由 V2Ray 分支演进的代理内核项目，承担协议处理、传输安全与路由等工作，v2rayNG 常使用这套内核。REALITY 等功能要结合 Xray 的具体版本及配置判断。图形界面里能看到一个选项，不等于当前运行的内核一定支持；排查时应同时记录客户端版本与内核版本。

代理内核: 真正监听本地入口、处理代理请求、执行路由并连接远端的程序。v2rayN 这类图形客户端负责管理配置、生成运行参数和展示日志，内核则负责执行。界面已经打开但内核启动失败时，代理仍无法正常工作，所以运行日志中的启动结果通常比界面开关更有参考价值。

TRANSPORT & SECURITY

传输层与伪装

界面可能把承载方式与安全类型放在相邻位置，但它们处理的是不同问题。修改任意一项，都要与服务端对应。

TCP: 提供可靠、有序字节流的传输层协议，负责重传、排序和拥塞控制等基础工作。客户端配置中的 TCP 或 raw 名称还需结合内核版本理解，它们不是加密开关。选择这类承载方式后，是否启用 TLS 或 REALITY 仍要单独检查，不能把可靠传输与安全传输当成一回事。

WebSocket / WS: 一种通常通过 HTTP 升级建立的双向通信机制，在代理配置中可作为承载方式。常见相关字段包括路径与 Host，而 TLS 的服务器名称又属于另一层。出现握手失败时，应分别核对路径、请求头、反向代理和证书设置，不要把所有域名字段都机械填成同一个值。

gRPC: 基于 HTTP/2 的远程调用框架，部分代理内核将其用作传输方式。客户端中的服务名称需要与服务端对应，前置反向代理也要支持所需的 HTTP/2 转发。连接建立后仍反复中断时，除了认证参数，还应检查中间设备的空闲超时与连接维持设置。

REALITY: Xray 生态中的传输安全机制，常见于 VLESS 连接配置，但不是与 VLESS 平级的另一种代理协议。相关认证材料、服务器名称与 shortId 等参数需要按服务端给出的信息填写，字段名称也可能随版本调整。它与 Vision flow 属于不同设置，导入时应分别核对，不能相互替代。

ROUTING

路由与分流

先决定流量如何进入客户端，再决定流量走哪个出站。接管方式和路由策略是两件事。

路由规则与分流: 按域名、IP、端口或其他条件，为连接选择直连、代理或阻断等出站的机制。规则通常按顺序匹配，因此宽泛规则放在前面可能遮住后面的精细规则。域名策略、DNS 结果与默认出站也会参与最终判断，不能仅凭一条规则的名称推断所有访问都会走同一路径。

GeoIP: 按地区或其他标签组织的 IP 地址集合，路由可以用它匹配目标 IP。它反映的是数据集中的归类，不是网页所用语种、业务归属或精确地理位置。遇到使用动态地址或内容分发服务的网站时，应结合域名规则判断；数据文件缺失、标签错误或长期未更新也可能让匹配偏离预期。

GeoSite: 按服务、用途或其他标签整理的域名集合，适合表达某一类网站的路由策略。它不是 GeoIP 的另一种名称，生效前提是内核能获得域名信息，并加载了包含对应标签的数据文件。某个站点漏匹配时，可以核对实际请求域名与规则内容，而不是只更新客户端界面。

TUN 模式: 通过虚拟网络接口接收并处理 IP 流量的接入方式，常用于覆盖不读取系统代理的应用。实际接管范围还取决于系统路由、DNS、权限与客户端实现，不等于打开开关后所有通信都自动按预期处理。启用后若出现解析异常或回环，应检查路由排除与其他虚拟网络工具是否冲突。

系统代理: 将操作系统提供的代理设置指向客户端的本地监听入口，让支持该设置的应用使用代理。部分应用有独立网络设置，可能完全不读取系统代理，因此浏览器可访问不代表其他程序也走了相同路径。退出客户端后若网页异常，应检查系统代理是否仍指向已经关闭的本地端口。

SUBSCRIPTION & CONFIGURATION

订阅与配置

订阅负责分发配置，分享链接通常描述单条连接。导入成功后，还需要检查内核支持与本地运行设置。

订阅: 通过一个地址获取并更新一组连接配置的分发方式，客户端需要理解该地址返回的内容格式。订阅地址和网页登录地址不是同一个概念，更新成功也不代表每条配置都能建立连接。地址中可能含有个人访问凭据，截图、反馈日志或交流配置时应先隐藏完整地址。

节点: 客户端里对一条远端连接配置的常见称呼，通常包含服务器地址、端口、协议、认证、传输和安全参数。显示名称只是备注，不代表服务器实际位置或连接质量。两条名称不同的配置可能指向同一个远端，而同一地址也可能通过不同端口提供不同协议，判断时要看具体字段。

多端同步配置: 在不同设备上复用同一订阅或一组连接参数的管理方式，不一定依赖客户端账户或自动云同步。连接信息可以复用，不表示路由、DNS、监听端口与权限设置也能直接照搬。桌面端与安卓端应分别检查接管方式；若订阅提供方限制并发设备，还需按其使用规则安排连接。

DNS & NETWORK

DNS 与网络基础

能建立连接、能解析域名、能访问目标服务，是不同层次的结果。测试时先确认测量的究竟是哪一层。

DNS: 把域名解析为 IP 地址等记录的系统，解析结果会影响后续连接与部分路由判断。操作系统、浏览器和代理内核可能分别发起查询，因此修改一处 DNS 不代表所有请求都会使用该设置。排查时应确认由谁解析、请求走哪条路径、使用哪个上游，以及失败后是否发生回退。

FakeDNS: 为域名分配合成 IP，并维护域名与合成地址映射的机制，方便在后续连接中恢复域名信息。合成地址不是目标服务的真实公网地址，需要与流量接管、地址段路由和内核映射配合使用。启用或停用后若应用仍缓存旧结果，可能需要清理解析缓存或重新启动相关应用。

DNS 泄漏: 指 DNS 查询偏离预期解析路径，被非预期解析方接收的情况，判断前要先明确预期使用哪个解析服务。浏览器自带的安全 DNS、系统回退及应用独立解析都可能改变实际路径。检测页面显示陌生运营方名称只能作为线索，还应结合上游归属、客户端日志与具体配置判断。

真连接延迟: 通过实际代理连接访问测试目标得到的耗时指标，与只测 ICMP ping 或 TCP 建连的结果含义不同。测试是否包含 DNS、协议握手、TLS 与目标响应，取决于客户端的实现和测试设置。比较时应使用相同目标与相同口径；一次耗时较低不代表下载带宽更大，也不能保证所有网站都能访问。