代理協定
先確認連線兩端使用的協定類型。安全層與傳輸方式仍須另外配對；此處也會說明 REALITY，但它不是獨立的代理協定。
- VMess
- Project V 生態系中的代理協定，使用使用者識別碼進行驗證，現代設定通常採用 AEAD。用戶端與伺服器的使用者識別碼、安全參數及系統時間必須相符；舊教學中的額外驗證參數不宜直接套用。選用 VMess 後，還要確認傳輸方式與 TLS 設定；協定名稱相同，不代表整筆設定也相同。
- VLESS
- 輕量代理協定，本身不負責資料加密，通常搭配 TLS 或 REALITY 使用。設定中的使用者識別碼、傳輸、安全層與 flow 須分別確認；flow 能否使用，取決於兩端核心及連線組合。介面上的「加密：none」不代表整條連線一定未加密，也要一併檢查外層安全設定。
- Trojan
- 以密碼驗證，通常仰賴 TLS 保護連線的代理協定。伺服器位址、連接埠、密碼與 TLS 伺服器名稱是不同欄位，只複製密碼無法完成連線。遇到憑證錯誤時，應先確認名稱、憑證有效期限與系統時間，不要直接關閉憑證驗證。
- Shadowsocks（SS）
- 使用共用金鑰或密碼及加密方法設定的代理協定，分享連結通常以
ss://開頭。傳統 AEAD 與 Shadowsocks 2022 的參數和金鑰要求不同，也須分別確認用戶端是否支援。協定類型、加密方法與金鑰必須成套相符，不可混用不同方法的設定欄位。
- REALITY
- Xray 生態系中的傳輸安全方案，常搭配 VLESS 使用，不能單獨取代 VLESS 作為代理協定。設定通常包含伺服器名稱、公鑰、shortId 與用戶端指紋等參數，實際欄位依目前核心及用戶端介面而定。匯入後仍須確認資訊是否完整保留；只看伺服器位址無法判斷設定是否正確。
傳輸與偽裝
這一層決定資料的承載方式與交握流程。即使傳輸名稱相同，路徑、主機名稱與轉送設定仍不可省略。
- TCP
- 提供可靠且有序位元組串流的傳輸層協定，許多代理連線會以它作為底層傳輸。用戶端的 TCP 測試通常只測量連至指定連接埠所需時間，不會驗證代理驗證或後續服務請求。因此，TCP 測試成功但瀏覽失敗並不矛盾；接著應檢查協定交握、TLS 與 DNS。
- UDP
- 以資料包為單位傳輸，不保證送達或順序，常見於 DNS、即時通訊等情境。應用程式需要 UDP，不代表啟用系統代理後就能自動接管相關請求；本機入口、核心、伺服器與運作模式都必須支援。排查時應將 UDP 與 TCP 分開測試，不能以網頁瀏覽成功來判定 UDP 可用。
- WebSocket（WS）
- 可承載代理資料的雙向通訊機制，但不負責取代代理協定的使用者驗證。用戶端中的路徑、Host 與 TLS 伺服器名稱用途各異，須與伺服器及反向代理設定相符。即使 TLS 交握正常，路徑或轉送規則錯誤仍可能造成連線失敗。
- gRPC
- 以 HTTP/2 為基礎的遠端呼叫架構，部分代理核心會將其用作傳輸方式。設定中的服務名稱須與伺服器相符；若連線中有反向代理，也須正確支援 HTTP/2 及相應轉送。它不是代理協定，也不保證在任何網路或服務負載下都比其他傳輸方式快。
- TLS 與 SNI
- TLS 用於連線加密與身分驗證，SNI 則在交握時指定預計連線的伺服器名稱。實際連線位址、SNI 與 HTTP Host 可能不同，但每個欄位都應依伺服器要求填寫，不可任意互換。憑證驗證須符合設定中的目標名稱；填入任意網域並不能自動建立安全連線。
核心與用戶端
核心負責處理協定與路由，圖形用戶端則負責管理及呼叫核心。介面能儲存某個欄位，不代表目前使用的核心一定支援。
- Project V
- 圍繞 V2Ray 等網路工具形成的專案生態系概念，並非某一款桌面或行動應用程式的名稱。閱讀文件時，應區分生態系名稱、核心專案與具體用戶端，避免將核心參數直接當成介面操作步驟。本指南的設定說明以 v2rayN、v2rayNG 與 v2flyNG 為主。
- V2Fly
- 延續 V2Ray 專案發展的社群與核心專案，提供代理協定、傳輸、路由與 DNS 等功能。它與 Xray 有共同的發展歷史，但後續功能、設定格式與欄位支援逐漸出現差異。移轉設定時，應依實際使用的核心查閱文件；兩份檔案都使用 JSON，不代表可以直接互換。
- Xray 核心
- 從 V2Ray 分支發展而來的代理核心專案，提供 REALITY 等功能，並持續發展自己的設定與協定實作。v2rayNG 使用 Xray 核心；桌面用戶端的實際行為則須依選用的核心判斷。功能是否可用取決於安裝版本與參數組合；更新圖形介面與更新核心也不是同一回事。
- v2rayN
- 用於管理訂閱、伺服器、路由與代理模式的桌面圖形用戶端，支援 Windows、macOS 與 Linux。用戶端介面負責產生或整理設定，協定連線則由選用的核心執行。排查問題時，應同時記錄介面設定與核心記錄，不能只憑用戶端名稱推斷所有協定和模式都已啟用。
- v2rayNG
- 以 Xray 核心為基礎的 Android 圖形用戶端，可匯入訂閱與分享設定，通常透過系統 VPN 介面接管應用程式流量。系統授權、個別應用程式設定與背景執行限制都可能影響實際接管範圍。介面顯示已啟動，只能表示服務已開始運作；是否能連線至目標，仍須以實際請求驗證。
- v2flyNG
- 採用 V2Fly 核心的 Android 圖形用戶端，可作為相應核心生態系的用戶端選擇。它與 v2rayNG 名稱相近，但使用不同核心，不能因此假設對 REALITY、flow 或其他擴充欄位的支援相同。選用前先確認伺服器所需功能，匯入後再檢查用戶端是否完整辨識設定。
訂閱與節點
訂閱是取得設定集合的入口，節點則是其中一筆連線設定。匯入、更新與測試各自用來處理不同問題。
- 訂閱連結
- 用戶端用來取得一組伺服器設定的網址；更新時會重新擷取並解析內容。不同用戶端支援的訂閱格式可能不同，網址能開啟不代表一定能正確匯入。連結可能包含存取憑證，應妥善保管；更新通常只會套用至對應群組，重要的手動設定宜另行備份。
- 節點／伺服器設定
- 用戶端清單中的一筆可選連線設定，通常包含位址、連接埠、驗證、傳輸與安全參數。這是邏輯設定，不一定對應一台獨立實體伺服器；同一位址也可能提供多種連線方式。備註名稱僅供辨識，不能據此推斷實際位置、效能或協定是否正確。
- 延遲
- 單次指定測試從送出到收到回應所需的時間，解讀時須搭配測試方法。ICMP、TCP 建立連線及透過代理瀏覽網址，測量的路徑與流程各不相同，不能只比較清單中的數字。測試逾時也不一定代表整筆設定失效；應確認測試目標是否可連線，以及測試是否經過預期的代理。
- 真實連線延遲
- 在用戶端中通常指透過代理連線至指定測試網址所需的時間，涵蓋的連線環節比單純連接埠探測更多。結果可能受 DNS、協定交握、TLS、目標網站與連線重用影響，實際計時方式依用戶端實作而定。這不等於下載速度；比較設定時，應使用相同的測試網址與方法。
路由與 DNS
流量如何進入用戶端、符合哪條規則，以及由誰解析網域，是三個需要分別確認的環節。
- 路由規則與分流
- 依網域、IP、連接埠或其他條件，將連線導向直連、代理、封鎖等不同出口。常見規則會依序比對，實際行為也會受預設出口、網域解析策略與嗅探設定影響。介面顯示「規則模式」只代表選用了一套規則；要判斷實際流向，應檢查比對順序與核心記錄。
- GeoIP
- 依地區或用途整理的 IP 位址集合，可供路由規則批次比對目標 IP，例如
geoip:private。它比對的是位址，而不是網站名稱；網域是否先經解析會影響規則能否參與判斷。資料檔案須與設定相容，位址集合也無法精確代表服務歸屬或即時網路位置。
- GeoSite
- 依網站或用途整理的網域集合，可減少逐筆維護網域規則的工作，例如
geosite:cn。分類標籤是否存在，取決於實際載入的資料檔案，不能將教學中的任意標籤視為核心固定內建功能。若應用程式只提供 IP，網域規則可能需要 DNS 對應或嗅探提供網域資訊才能生效。
- 系統代理
- 修改作業系統的代理設定，讓遵循該設定的應用程式連至用戶端提供的本機代理入口。它不會自動接管所有程式；使用自有網路堆疊的應用程式可能忽略系統設定，也不能因此推斷 UDP 已轉送。關閉用戶端後若網路異常，可先確認系統代理是否仍指向已停止監聽的本機連接埠。
- TUN 模式
- 透過虛擬網路介面接收 IP 流量，再交由代理元件處理的運作方式，並非新的代理協定。通常需要額外權限、路由與 DNS 設定，接管範圍也會受排除規則影響。啟用後應分別檢查本機網路存取、網域解析與目標應用程式；「全域接管」不代表所有流量都必須經代理出口。
- FakeDNS
- 向應用程式回傳合成 IP，並由核心保存該位址與原始網域的對應關係，讓後續連線能還原網域資訊並參與路由。合成位址不是真正的目標網站位址，還須搭配流量接管與對應機制。設定不完整時，位址可能脫離預期處理流程；切換模式後留下的舊 DNS 快取也可能造成異常。
- DNS 洩漏
- DNS 查詢偏離預先設定的解析路徑，例如原本應透過代理處理的查詢，卻交由本機解析器處理。是否構成洩漏，應依既定策略判斷；刻意設定的直連解析不一定是異常。排查時須一併檢查系統 DNS、應用程式內建的加密 DNS、核心 DNS 出口與分流規則，只看單一檢測網站的結果不足以找出原因。