V2Ray 術語指南：協定、核心、路由與 DNS

PROTOCOLS & TRANSPORT

協定與傳輸

協定決定連線雙方如何交換代理資料；傳輸方式則決定如何承載這些資料。兩組參數都須與伺服器設定相符。

VMess

PROXY PROTOCOL

VMess 是 Project V 生態系中的代理協定，具備身分驗證與資料加密機制，設定通常以 UUID 識別使用者。舊資料提到的 alterId 屬於歷史相容資訊，不能直接將舊參數套用到目前的伺服器。裝置時間偏差過大可能導致驗證失敗，排查時也應檢查時間同步與用戶端記錄。

VLESS

LIGHTWEIGHT PROTOCOL

VLESS 是輕量代理協定，本身不提供 VMess 式的資料加密，常搭配 TLS 或 REALITY 保護傳輸。即使節點都使用 VLESS，也可能採用不同的傳輸方式與 flow 參數。成功匯入只表示用戶端能識別設定，不代表目前的核心支援其中所有組合。

Trojan

TLS-BASED PROTOCOL

Trojan 通常以 TLS 保護連線，並透過密碼驗證使用者。除了填入位址與連接埠，用戶端也須符合伺服器名稱、傳輸方式等設定。密碼正確卻無法連線時，還應檢查憑證、裝置時間與伺服器設定，而不是一再修改密碼。

傳輸方式

TCP / WEBSOCKET / GRPC

傳輸方式是承載代理協定資料的設定層，常見選項包括 TCP、WebSocket 與 gRPC。同一種代理協定可以搭配不同傳輸方式，但可用組合取決於核心版本。WebSocket 的 path、Host 與 gRPC 的 serviceName 意義不同，不應只切換選項名稱，卻保留其他不相符的欄位。

CORES & ECOSYSTEM

核心與生態系

用戶端名稱不等於協定名稱。選擇核心前，請先確認連線設定需要哪些功能。

Project V

ECOSYSTEM

Project V 是以 V2Ray 為代表的開源網路代理生態系，相關專案圍繞協定處理、傳輸與路由建立工具鏈。日常使用的 v2rayN 等圖形化用戶端，會將連線參數整理成核心可執行的設定。了解生態系名稱有助於查找資料，但相容性仍須以具體專案與版本為準。

V2Fly

V2RAY COMMUNITY

V2Fly 延續 V2Ray 專案的社群生態，維護通常稱為 v2fly 的核心。Android 用戶端 v2flyNG 以此核心路線為基礎，功能範圍不應與 v2rayNG 簡單畫上等號。若設定無法匯入或啟動失敗，請確認對應版本支援的協定與傳輸方式。

Xray

CORE FAMILY

Xray 源自 V2Ray 生態系，之後發展為獨立核心分支，支援 VLESS、REALITY 等相關功能。v2rayNG 採用 Xray 核心；v2rayN 可選用的核心則依目前發行版本而定。兩種核心的設定有部分相通，但新增欄位、預設行為與功能組合不一定相同。

用戶端與核心

INTERFACE / ENGINE

用戶端提供訂閱管理、節點選擇與系統代理開關等圖形介面；核心則實際處理協定、路由與連線。介面上有某個選項，不代表所選核心一定支援。排查問題時，分別記錄用戶端版本、核心類型與核心版本，比只寫「V2Ray 無法使用」更容易找出原因。

CLIENT FEATURES

用戶端功能

先確認流量如何進入用戶端，再檢查進入後如何分流。流量接入與出口選擇是兩個不同步驟。

系統代理

SYSTEM PROXY

系統代理透過作業系統設定，讓遵循此設定的應用程式將請求送往本機代理連接埠。v2rayN 的「自動設定系統代理」屬於這一層，不保證所有程式都會使用。應用程式內建代理、獨立網路堆疊或其他代理工具都可能改變實際路徑，須分別確認。

TUN 模式

VIRTUAL NETWORK INTERFACE

TUN 模式透過虛擬網路介面接收流量，通常比單純使用系統代理涵蓋更多應用程式，但仍會受到路由、排除項目與實作方式影響。此模式可能需要額外權限，也涉及 DNS 與其他虛擬網卡的協調。桌面用戶端的 TUN 開關，不能只憑介面名稱就視為等同於 Android 的 VPN 接入機制。

本機監聽連接埠

LOCAL INBOUND

監聽連接埠是用戶端在裝置上接收代理請求的入口，與遠端節點的連接埠不同。例如部分 v2rayN 設定使用 SOCKS 10808、HTTP 10809，實際值仍應以目前設定為準。手動設定應用程式代理時，位址、連接埠與代理協定須相互符合；開啟區域網路存取前，也應考量存取控制。

依應用程式代理

PER-APP ROUTING

依應用程式代理會根據應用程式身分，決定其流量是否進入代理路徑，常見於 Android 用戶端。設定前請先分清楚「僅代理選取的應用程式」與「略過選取的應用程式」，兩種清單的意義相反。此功能可與依網域分流同時生效，最終路徑仍須參照用戶端的路由規則。

ROUTING & DNS

路由與 DNS

網域解析、規則比對與出口選擇彼此相關。判斷設定是否生效，應檢查實際連線路徑，而不只是開關狀態。

路由規則與分流

RULE MATCHING

分流會依網域、IP 或其他條件，為請求選擇代理、直連或封鎖等出口。規則通常依序比對；範圍太廣的規則若排在前面，可能讓後續細部規則無法生效。網域策略 IPIfNonMatch 用來處理網域規則未符合時，是否透過解析繼續比對 IP 條件；它本身不是「全部代理」開關。

GeoIP 與 GeoSite

IP / DOMAIN DATASETS

GeoIP 以集合整理 IP 位址範圍，GeoSite 則以集合整理網域，供路由規則引用。例如 geosite:category-ads-all 是網域集合的引用，搭配相應的封鎖出口才會產生具體效果。集合名稱是否存在，取決於使用的資料檔；更新規則後，也應確認資料來源與核心相容。

FakeDNS

SYNTHETIC DNS MAPPING

FakeDNS 會向應用程式回傳合成位址，並在內部保留網域與位址的對應關係，讓後續連線仍能依網域處理。它不是公共 DNS 伺服器位址，也不是只要更換解析伺服器就能單獨啟用的功能。相關流量必須回到能還原對應關係的元件，否則可能發生解析成功、連線卻失敗的情況。

DNS 洩漏

UNEXPECTED RESOLUTION PATH

DNS 洩漏是指查詢偏離預期的解析路徑，例如原本預期透過指定通道解析，實際卻使用其他解析器。瀏覽器的加密 DNS、系統 DNS、用戶端 DNS 與 TUN 接管範圍都可能影響結果。檢測網站顯示的解析器名稱只能作為線索，應搭配設定與記錄判斷，不能只憑地區標籤下結論。

SUBSCRIPTIONS & ENDPOINTS

訂閱與節點

訂閱用於批次更新，分享連結通常對應單筆設定。測試結果只反映特定目標與當下的連線狀況。

訂閱是用戶端透過網址取得並更新一組連線設定的機制，不等同於單一節點。回傳內容可能是 Base64 編碼、每行一筆的分享連結，也可能是其他設定格式；用戶端須支援相應的解析方式。訂閱網址可能包含存取憑證，應視為敏感資訊。更新失敗時，先檢查回應內容與格式，不要頻繁重複匯入。

節點

CONNECTION PROFILE

節點是用戶端中單筆連線設定的常見稱呼，通常包含伺服器位址、連接埠、協定、驗證與傳輸安全參數。節點備註只是顯示名稱，無法證明實際位置、效能或連線能力。同一台伺服器採用不同連接埠與傳輸設定，也能建立多筆不同設定。

實際連線延遲

PROXY REQUEST TIMING

實際連線延遲通常是透過代理向測試目標發出請求，結果可能包含 DNS 解析、建立連線、安全交握與目標回應所需時間；實際計時範圍依實作而異。它不同於 ICMP Ping，也不等於下載速度。逾時可能來自節點、測試目標或解析路徑；比較結果時，盡量使用相同目標與測試條件。

SECURITY & ENCRYPTION

安全與加密

連線可用與身分驗證正確是兩回事。憑證錯誤應找出原因，不應只靠放寬驗證來消除提示。

TLS

TRANSPORT LAYER SECURITY

TLS 為傳輸提供加密與身分驗證，常用來保護代理連線。正常的憑證驗證會檢查信任鏈、有效期限與伺服器名稱；裝置時間錯誤也可能導致驗證失敗。TLS 只保護相應的連線區段，不代表訂閱來源、遠端服務或所有應用程式行為都因此獲得保障。

SNI

SERVER NAME INDICATION

SNI 是 TLS 交握時用來指出目標伺服器名稱的擴充欄位，用戶端通常以 serverName 或伺服器名稱等欄位呈現。連線位址可以是 IP，但仍應依伺服器提供的設定填寫待驗證名稱。SNI 與 WebSocket Host 位於不同層，不能假設修改其中一項就會自動修正另一項。

REALITY

TRANSPORT SECURITY

REALITY 是 Xray 生態系中的傳輸安全方案，常搭配 VLESS 使用，並非與 VLESS 並列的節點協定類型。用戶端須符合伺服器提供的伺服器名稱、公鑰、shortId 等參數；指紋與 flow 也應依相應設定核對。支援範圍取決於核心與用戶端版本，不能只憑連結前綴判斷是否相容。

allowInsecure

CERTIFICATE VERIFICATION

allowInsecure 是部分核心設定中用來控制是否略過 TLS 憑證驗證的選項，圖形介面可能稱為「允許不安全連線」。啟用後可能略過部分憑證錯誤，但會削弱身分驗證，也無法修復所有交握問題。建議優先檢查系統時間、伺服器名稱、憑證鏈與伺服器設定，不建議長期啟用。