全平台安装配置大全

准备工作与配置边界

先分清客户端、内核与连接资料

图形客户端负责保存服务器、组织订阅、生成配置和控制运行状态；内核负责按照配置处理连接。v2rayN 是桌面管理入口，具体协议能力还取决于实际选用的内核。v2rayNG 使用 Xray 内核，v2flyNG 采用 V2Fly 内核。看到同样的界面字段，不代表两条内核分支对所有扩展参数都完全兼容，选择前应先确认连接资料要求。

安装客户端不会自动获得可用服务器。准备一条来自可信来源的订阅地址，或一份包含服务器地址、端口、用户标识、传输方式和安全参数的配置。订阅地址通常具有访问权限，应像密码一样保存。向他人求助时，不要展示完整订阅链接、二维码或用户标识；截图中即使只露出查询参数，也可能足以让别人读取配置。

手动配置还要区分三个容易混淆的域名：服务器连接地址决定连接到哪里，TLS 的服务器名称用于证书与握手，HTTP 或 WebSocket 的 Host 用于相应传输层。它们有时相同，有时由服务端分别指定。不要因为地址看起来不像常见网站，就擅自把几个字段改成同一个域名。

确认系统架构与保存位置

安装包要同时匹配系统、处理器架构和分发格式。x64 主要对应常见的 Intel、AMD 桌面处理器；arm64 对应另一类指令集，不能只根据设备新旧判断。Windows 可在系统“关于”中查看系统类型，macOS 在“关于本机”查看芯片，Linux 可查询机器架构。安卓端若不确定处理器能力，可先核对设备规格，再考虑通用包。

为客户端选一个长期可写的保存位置。需要解压的包先完整解压，再从目录内启动；不要直接在压缩软件的临时视图里运行。配置和日志可能保存在程序目录，也可能放在用户数据目录，具体随分发方式变化。升级前先从客户端导出必要配置，并记录原来的数据位置，避免只复制程序文件却遗漏订阅与路由。

建立一个可复现的测试起点

首次配置前先退出其他代理、VPN 和会接管网络的工具，保留当前系统代理截图。确认普通网络本身能访问已知可达的网站，系统日期、时间和时区正确，再开始导入。这样后续出现问题时，能够区分原始网络异常与新配置引入的变化，而不是在几个网络组件同时运行时反复猜测。

第一轮只启用一个服务器和一种接管方式：桌面端通常先测试系统代理，安卓端先完成 VPN 授权。先不要同时加入自定义 DNS、复杂路由和局域网共享。连通后逐项增加功能，每次修改后复测同一个应用与地址。记录修改项、报错原文和发生时间，比仅记录“开了仍然不通”更便于定位。

Windows 安装与系统代理

选择桌面版或经典 WPF 版

到Windows 下载入口先选 v2rayN。桌面版采用跨平台界面，经典 WPF 版保留 Windows 桌面界面的操作习惯；两者都要依据当前包说明确认运行条件。不要把界面差异理解为服务器必须重新购买或协议必然不同，真正决定连接是否兼容的仍是所用内核与服务器参数。

下载后按包的形式完成安装或解压。解压包应放在固定目录，路径尽量简短且便于当前用户写入；程序、内核和附带文件要一起保留。第一次启动若提示缺少运行环境，先记录提示中明确要求的组件与架构，再按系统正常的软件安装流程补齐，不要从不明来源逐个下载同名动态链接库放进程序目录。

启动失败时，先区分“窗口打不开”和“窗口打开但内核启动失败”。前者检查运行环境、文件是否完整解压以及系统安全记录；后者从客户端日志查找缺少内核、配置生成失败或端口占用。系统安全软件若隔离了文件，应先核对下载来源与具体检测信息，不要为了省事关闭整套安全防护。

导入订阅并验证本机监听

打开订阅分组设置，新建分组并输入便于辨认的名称，再粘贴完整订阅地址。保存只是保存入口，还要执行更新订阅。更新成功后回到服务器列表，选择一条记录设为活动服务器。若列表为空，先检查更新日志、分组筛选和地址是否被复制截断，不要在没有服务器记录时反复点击连接。

接着在参数设置中查看本地监听端口与监听类型。HTTP、SOCKS 和混合监听的入口可能随内核设置不同而变化，应用手动填写代理时必须使用对应协议。端口号以界面实际值为准，不要照抄别人的截图。只供本机使用时，监听范围保留回环地址；局域网共享不是完成首次连接的必要条件。

在底部状态栏或托盘菜单找到系统代理，选择“自动配置系统代理”。它会让遵循 Windows 系统代理的应用使用本地入口，但不会强制所有程序都走代理。先用浏览器访问一个已知可达的目标，再看客户端是否出现对应连接日志。浏览器成功而某个应用失败时，应先查该应用是否遵循系统代理。

TUN、权限与退出后的恢复

只有在需要接管不读取系统代理的应用时，再考虑启用 TUN。它涉及虚拟网络接口与路由，通常需要管理员权限，具体取决于包与运行方式。先关闭其他 VPN，确认普通代理已能连接，再按客户端提示完成提权。启用后若所有网络都异常，应先关闭 TUN，观察网络是否恢复，再核对 DNS 与路由。

端口占用是 Windows 上常见的启动问题。先退出重复运行的客户端实例，再查看日志中的具体端口。可以在终端执行下面的查询，其中端口必须替换为设置页显示的值。查询只用于确认占用关系；根据 PID 在任务管理器中辨认程序，不要直接结束无法识别的系统进程。

netstat -ano | findstr LISTENING

关闭窗口不一定等于退出程序，托盘中的客户端可能仍在运行。正式退出前先选择“清除系统代理”，停用 TUN，再退出客户端。若程序异常结束，Windows 设置中仍指向已停止的本地代理，浏览器就可能全部打不开。恢复系统代理后能正常访问，通常说明残留设置需要清理，而不是订阅已经失效。

需要开机启动时，先手动完成几轮启动、连接和退出测试，再启用相关选项。系统刚登录时网络可能尚未就绪，订阅更新失败不一定代表地址失效；稍后手动重试并查看日志。升级或切换桌面版与 WPF 版之前，也应先退出旧实例，避免两个程序争用端口和系统代理。

macOS 安装与网络权限

按芯片选择并完成首次启动

在“关于本机”中查看芯片信息。显示 Apple 芯片时选择 Apple Silicon 对应的 arm64 包，显示 Intel 处理器时选择 x64 包，再前往macOS 下载入口获取 v2rayN。优先使用与机器架构一致的分发包，避免把兼容转换环境当作日常配置的前提。

打开磁盘映像后，将应用复制到“应用程序”目录，再从那里启动。不要长期直接运行映像里的副本，否则卸载映像、移动文件或升级时容易混淆实际运行位置。若系统拦截首次打开，应先确认文件来源，再到系统设置的“隐私与安全性”查看对应提示，按系统提供的确认流程处理。

不要为了绕过一次提示而关闭系统整体安全机制。若提示与架构、文件损坏或权限有关，应分别处理：架构不符就换包，复制未完成就重新复制，权限问题则查看当前用户是否可以访问应用和数据目录。若设备受单位管理，网络设置可能由管理策略限制，此时反复重装客户端通常不能解决。

订阅导入与当前网络服务

启动 v2rayN 后，先进入订阅分组设置添加地址，保存并执行更新。选择活动服务器前，核对安全方式、传输类型以及订阅提供的必要字段是否被识别。带有客户端专用扩展的内容未必能直接转用；导入有记录却启动报参数错误时，应查看日志中的字段名，而不是把所有可选项都打开。

第一次连接先使用系统代理。macOS 的代理设置与网络服务有关，Wi-Fi、有线网络和其他接口可能各有配置。自动设置后，应在当前正在使用的网络服务详情里核对代理状态。若从有线切换到无线后表现改变，先检查新网络服务的代理入口，再判断是不是服务器或订阅出了问题。

浏览器可能有独立扩展或专用代理配置，终端工具也不一定读取系统代理。因此验证时先选择一个遵循系统设置的应用，再检查目标连接是否出现在日志中。不要把终端中一次请求失败直接当作系统代理失败；若工具支持手动代理，应按它的参数格式填写本地地址和对应监听端口。

TUN 提权、休眠与升级

TUN 需要处理虚拟接口和系统路由，具体授权方式取决于客户端分发包。只有在基础代理已验证可用之后，再依界面提示启用。出现管理员授权提示时，确认操作来自刚刚启动的客户端。不要把来源不明的终端脚本作为通用修复步骤，也不要长期以提升权限的方式运行所有日常程序。

休眠唤醒、切换热点或更换网络后，旧连接可能仍处于等待状态。先确认新网络本身可用，再重新启动当前连接；必要时关闭并重新开启 TUN，让接口与路由重新建立。若只有特定网络失败，保留其他设置不变，在两个网络之间对照日志，重点观察域名解析和握手阶段，而不是立即重建全部配置。

升级前导出需要保留的配置，并记住当前用户数据位置。替换应用程序并不总会清除用户配置，因此升级后出现旧设置是正常现象。反过来，把应用拖入废纸篓也不一定清理网络接管状态。卸载或更换程序前，应先关闭 TUN、恢复系统代理，再退出应用，最后检查当前网络服务中的代理开关。

如果客户端显示连接正常，但受管理的浏览器仍无法访问，可查看浏览器策略、扩展和系统描述文件是否指定了其他代理。此类设置的优先级可能不同于普通用户设置。先记录策略来源并联系设备管理方，不要通过删除不明配置文件来试错，以免影响工作网络或其他受管理应用。

Linux 安装与桌面环境

确认包格式、架构与依赖

Linux 先看发行版的软件包体系，再看机器架构。Debian、Ubuntu 等系统通常选择 deb，Fedora 等使用 rpm 的系统选择对应格式；其他发行版不要强行把不同格式当作原生包安装。前往Linux 下载入口选择 v2rayN，并将 x64 或 arm64 与机器实际架构对应起来。

下面两个命令只读取机器信息：第一条查看架构，第二条查看发行版标识。常见的 x86_64 对应 x64，aarch64 通常对应 arm64。发行版名称并不能单独保证依赖满足，还要结合系统版本、桌面组件和包管理器给出的依赖信息判断。不要只因文件扩展名相同就认为一定可以安装。

uname -m
cat /etc/os-release

安装时优先使用发行版提供的软件安装器或包管理器，让依赖关系和卸载记录由系统管理。若提示缺少依赖，保留完整报错，检查软件源与系统支持范围，不要随意从其他发行版复制共享库。图形客户端还需要可用的桌面会话；只有终端的服务器环境，不属于这里的图形安装流程。

从普通用户会话导入与测试

安装后从应用菜单启动，以普通桌面用户保存配置。若直接使用管理员账户启动图形界面，可能把配置写到另一套用户目录，之后正常启动就像“资料丢失”。遇到这种情况先确认运行用户与数据路径，不要反复导入相同订阅。需要提权的网络操作应使用客户端支持的授权方式，与日常配置分开。

订阅导入顺序仍是新建分组、填写地址、保存、执行更新、选择活动服务器。更新成功后先检查内核是否正常启动，再设置桌面代理。Linux 不同桌面环境的代理入口不完全相同，有的应用读取桌面设置，有的读取环境变量，有的只接受应用自身参数，因此“系统代理已开启”并不等于所有程序都已经接管。

先用一个确定遵循桌面代理的应用测试，再单独配置其他工具。不要在尚未验证监听的情况下，把代理环境变量写入所有 shell 启动文件，否则新终端也可能一直指向未运行的端口。若曾设置过 HTTP_PROXY、HTTPS_PROXY 或 ALL_PROXY，排查时应同时检查大小写形式与应用自身配置。

TUN、DNS 与多网络管理组件

启用 TUN 前，确认系统提供所需的虚拟网络接口能力，并查看客户端日志中的权限提示。部分环境还会涉及提权服务或网络管理工具的协作。不要把整个配置目录改成所有用户可写来解决权限错误；应先看报错指向程序执行权限、数据目录权限，还是建立接口与路由所需的系统权限。

Linux 上可能同时存在桌面网络管理、系统解析服务、容器网络和其他 VPN。TUN 开启后如果域名访问失败而普通网络恢复后正常，应重点检查 DNS 的实际接管路径。不要一开始就直接覆盖系统解析文件，因为它可能由服务自动生成；修改后也可能立即被写回，使排查结果难以复现。

用下面的命令观察本机监听，可以核对客户端端口是否已打开。监听存在只表示本地入口已经建立，不代表远端握手成功。若没有权限查看进程名，仍可先核对地址与端口；需要进一步查看时再按系统管理规范提权，不必为了这一项检查把客户端整体改成管理员运行。

ss -lntp

退出前恢复桌面代理并停用 TUN。若停止后仍有异常，先检查是否存在另一个客户端实例、持久环境变量或其他网络服务留下的规则，再决定是否重启相关服务。升级后也应复测托盘、后台运行与自启动行为，因为桌面会话对后台程序的处理可能不同，窗口关闭后是否继续运行不能只凭外观判断。

Android 安装与 VPN 授权

选择 v2rayNG 或 v2flyNG

打开Android 下载入口，先考虑使用 Xray 内核的 v2rayNG；连接资料明确要求 V2Fly 内核时，再选择 v2flyNG。两款客户端不能仅凭名称相近就认为扩展参数完全一致。尤其涉及 REALITY 等配置时，应先核对内核能力与服务端要求，不要靠反复切换开关弥补不支持的字段。

多数较新的主流设备可选 arm64，但最终仍以设备处理器与系统支持的应用架构为准。安装器提示架构不兼容时，再检查是否应使用通用包。下载完成后，从系统文件入口打开安装包；如果系统要求允许当前来源安装应用，只为这次使用的浏览器或文件管理器授权，安装完成后可收回该来源权限。

更新安装若提示签名不一致，不应立即删除原应用。先导出必要配置，确认旧程序与新包的来源、应用身份和签名是否属于同一分发渠道。卸载通常会移除应用数据，订阅分组和手动配置可能一并丢失。不同客户端之间也不能把覆盖安装当作迁移方式，应使用它们实际支持的导入导出入口。

导入订阅并建立系统 VPN

在订阅分组设置中新增名称和地址，保存后返回主界面执行更新订阅。部分界面会区分通过当前代理更新与直接更新；第一次尚未连接时，如果订阅地址本身可直连，可先选择直接更新。若地址必须依赖已有连接才能访问，就需要先准备一条可用配置，不能指望一个空分组自行建立连接。

列表出现记录后，点选活动服务器，再启动连接。Android 首次会弹出 VPN 连接请求，确认后客户端才能通过系统提供的 VPN 接口接管选定应用的流量。出现 VPN 标记只说明接口已经建立，不等于远端服务器已经连通；仍要结合日志和实际应用访问判断。授权弹窗没有确认时，反复点击服务器也不会完成接管。

安卓客户端这里的接管路径不等同于桌面端“自动配置系统代理”。设置页可能提供分应用代理，用来选择哪些应用进入或绕过 VPN。不同模式下勾选列表的含义可能相反，启用前先读当前说明。首次测试建议保持默认范围，连通后再逐个排除应用，避免把用于验证的浏览器意外排除在外。

后台限制、网络切换与共享

连接一段时间后自行停止，先检查系统电池优化、后台活动限制和省电模式。不同设备厂商的设置位置不同，可从应用信息页查看电池与后台权限。只调整与该客户端有关的项目，并观察锁屏前后日志是否中断。不要把所有断线都归结为后台限制：如果进程一直存在而握手持续失败，仍需检查远端参数。

Wi-Fi 与移动网络切换时，本地接口可能仍在，但原有连接已经失效。先等待网络完全可用，再重新连接当前服务器。若只有移动网络失败，保持服务器和路由不变，对比地址解析、IPv4 与 IPv6 可达性以及握手错误；不要同时修改传输类型和安全参数，否则无法判断哪项变化真正影响结果。

“允许来自局域网的连接”是另一个功能，它决定是否开放本地代理监听给其他设备，不是手机自身联网的必要开关。开启后还需要考虑监听地址、端口与所在网络的可信程度。手机热点是否会把其他设备流量带入 VPN，取决于系统实现，不能因为手机自身连接成功就假定热点设备也自动生效。

日常停止连接时，先在客户端内断开，再确认系统 VPN 状态已经结束。若配置了始终开启 VPN 或阻止未通过 VPN 的连接，停止客户端后可能按系统策略阻断网络；这属于系统级设置，应回到 VPN 详情核对。需要订阅操作的精简步骤，可继续读安卓订阅导入教程。

订阅整理与参数核对

把订阅更新与服务器连接分开看

订阅地址是配置分发入口，客户端访问它后才得到服务器资料。更新成功表示这次获取与解析完成，不保证每条服务器当前都可用；连接成功也不代表订阅地址以后始终可访问。这是两个不同阶段。排查时先看失败发生在下载订阅、解析内容、启动内核还是建立远端连接，不要把所有问题都叫作“导入失败”。

一个来源单独建立一个分组，名称写用途或来源简称即可，不要把完整地址放进分组名。粘贴地址时检查首尾空格、换行和复制工具加入的标点，带查询参数的地址要保留完整。地址失效、权限变化或来源返回网页时，客户端可能收到非订阅内容；此时更新日志比服务器列表更能说明问题。

浏览器能打开某个页面，不代表该地址返回的是客户端可识别的配置。订阅可能依据访问方式返回不同内容，也可能要求当前账户仍有效。不要把登录页面、分享页面的地址直接当作订阅链接。若来源提供不同格式入口，应选当前客户端支持的格式，而不是把订阅文本从多处拼接成一个文件。

逐项核对连接与安全参数

手动录入先核对协议、服务器地址、端口与用户标识，再核对传输和安全层。VLESS、VMess、Trojan 的认证字段并不相同，不能把某类配置的密码随意填入另一类的用户标识栏。传输方式也要与服务端一致；服务端使用 WebSocket 时，路径与 Host 的大小写、前导斜杠都应按原资料保留。

TLS 的服务器名称与证书验证相关，通常在界面显示为 SNI 或服务器名称。REALITY 配置还可能涉及公钥、短标识和指纹等字段，须逐项按服务端资料填写。不要把公钥误当成密码，也不要用服务器 IP 替换所有域名。导入后若某个必需字段为空，先确认分享格式兼容性，再考虑手动补齐。

分享链接与订阅内容可能包含经过编码的参数。直接在文本中修改时，容易把分隔符和转义字符破坏掉。普通用户优先在客户端支持的表单里编辑，并保留修改前的导出副本。需要讨论协议原理时，可查VLESS 配置说明和REALITY 参数说明，但实际值仍以服务端资料为准。

更新、过滤与备份的边界

订阅更新可能覆盖由订阅管理的服务器记录，因此不要把临时手动修改当作长期保存方案。需要保留自定义条目时，按客户端支持的方式移到独立分组或导出备份。更新后当前选择失效，也可能只是远端删除或重命名了记录；先重新选择活动服务器，再检查是否真的存在连接异常。

过滤规则会影响列表显示，空列表不一定意味着订阅没有返回内容。先切回全部分组，暂时取消关键字过滤，再看更新日志。去重时也不能只按显示名称判断，两条同名记录可能使用不同端口、传输或认证资料。整理思路可参考订阅分组与服务器过滤笔记，执行批量操作前先保留可恢复的导出文件。

配置备份应存放在受保护的位置，不要与公开截图、问题描述一起上传。导出文件可能同时包含服务器认证资料和订阅地址，单纯改掉显示名称并不能消除敏感内容。恢复到另一设备后，还需重新检查本地端口、系统代理、文件路径和权限；这些设备相关设置不能完全依赖旧备份照搬。

系统代理、TUN 与路由

先理解接管入口，再决定模式

系统代理、TUN 和路由规则处在不同层次。系统代理告诉愿意遵循设置的应用把请求交给本地端口；TUN 通过虚拟接口接管相应网络流量；路由规则则决定已经进入内核的连接使用哪个出口。路由设置得再完整，也不能让一个从未进入客户端的应用自动被代理，这是排查时首先要分清的边界。

桌面日常浏览可以先使用系统代理，确认网页访问和日志对应后，再考虑额外接管需求。某些应用有独立代理设置，也可以直接填本地监听地址。TUN 的覆盖范围更广，但同时引入接口、路由、DNS 和权限因素；并不是所有环境中都应把它作为第一步，更不能把它当作修复错误服务器参数的开关。

“全局”通常描述进入客户端后的流量如何选择出口，而不是保证机器上的每个连接都被接管。使用系统代理时，即使选择全局路由，不读取该代理的应用仍可能直连。反过来，TUN 开启后也可以通过路由将部分目标直连。判断流量去向时，要同时看接管方式、规则匹配和实际出口日志。

路由顺序与 DNS 配合

规则通常按顺序匹配，具体行为以所用内核为准。应把精确的例外放在较宽泛的规则之前，并清楚记录每条规则的目的。新增规则后，用一个明确目标验证，不要一口气导入多套互相覆盖的规则。域名规则与 IP 规则并不等价：连接进入内核时能否取得域名信息，会影响哪一类规则有机会匹配。

下面是一个 Xray 路由对象的结构示例，表示把私有地址范围交给名为 direct 的出口。它只能作为完整配置中的一部分使用，并要求该出口标签已存在；不是可单独启动的客户端配置。图形客户端可能自动生成配置，直接修改生成文件通常会被覆盖，应优先使用界面中的路由设置。

{
  "routing": {
    "domainStrategy": "AsIs",
    "rules": [
      {
        "type": "field",
        "ip": ["geoip:private"],
        "outboundTag": "direct"
      }
    ]
  }
}

域名解析发生在哪里也会影响结果。应用先解析得到 IP，和把域名交给代理解析，是不同的路径。使用 TUN 时还可能有 DNS 接管，不能只改浏览器设置就认定解析已经改变。发现域名失败、地址可达时，应检查实际解析入口和日志，不要马上把所有 DNS 地址换一遍；每次只改一个环节才便于比较。

局域网共享与访问边界

共享给其他设备时，先让电脑本机连接正常，再打开“允许来自局域网的连接”或相应监听设置。其他设备填写的是电脑当前局域网地址与本地代理端口，不是远端服务器地址，也不是 127.0.0.1。回环地址始终指向填写它的那台设备，手机把它填进去就只会寻找手机自身的服务。

同一无线网络并不保证设备互通，访客网络、无线隔离和系统防火墙都可能阻止访问。先核对两台设备的网段与网络类别，再只为所需程序或端口放行。开放监听时应限制到可信网络，若客户端支持认证可按需求启用；不应为了测试方便把本地代理通过路由器映射到公共网络。

共享时还要核对接收端支持的代理类型。设备设置中只提供 HTTP 代理，就不能直接填写仅提供 SOCKS 的端口；某些设备代理设置只影响部分应用。停止共享后，关闭局域网监听并清除其他设备中的代理地址。更完整的设备侧填写顺序见v2rayN 局域网共享笔记，不要把共享故障与本机远端连接故障混在一起处理。

配置常见问题与连接排查

按失败阶段收集证据

先说明故障范围：是订阅无法更新、内核无法启动、所有应用失败，还是只有某个应用或目标失败。接着记下最近一次正常使用之后改过的项目，以及当前接管方式。排查时保留一个固定的测试目标和应用，避免一会儿换网络、一会儿换服务器，同时又修改 DNS，最后无法复现最初的错误。

客户端窗口正常不代表内核正常。先看日志是否有配置加载完成、本地监听建立等信息，再找最早出现的错误。端口被占用、配置字段不支持、数据文件缺失与远端超时是不同问题。出现启动错误时先修复本地运行条件，不必先换订阅；本地入口正常后，再检查远端连接与应用是否进入代理。

日志的时间范围尽量缩短：清楚记下测试开始时间，触发一次请求，然后查看紧邻的记录。大量无关历史日志容易掩盖真正的第一条错误。临时提高日志详细程度后，完成定位应恢复日常级别。分享日志前删除订阅地址、用户标识和认证参数，保留错误类型、发生阶段和必要的环境信息即可。

超时、拒绝连接与证书错误

“连接被拒绝”常表示对应地址与端口没有接受当前连接的服务，也可能来自中间网络设备；“超时”表示等待阶段没有得到预期回应，原因范围更广。先核对远端地址与端口，再检查本地日志中实际连接的目标。若只在某一网络失败，可以保持配置不变换一个网络对照，而不是直接改协议类型。

TLS 证书或握手报错时，先校准系统日期、时间和时区，再检查 SNI、服务器地址、安全类型以及传输参数是否与服务端一致。域名解析到错误目标也可能导致拿到不匹配的证书。“跳过证书验证”不会修正这些参数，还会降低身份验证能力，不应作为日常解决办法或默认模板保存。

若内核不认识配置字段，检查是否导入了另一内核专用格式，或客户端选择了不合适的内核。更新客户端与切换内核是两种不同操作，不能保证其中任意一种都会解决全部兼容问题。先根据错误字段确认所需能力，再选择客户端。内核背景可读Xray 与 V2Fly 的区别，具体握手问题可查TLS 与证书排查笔记。

恢复默认测试并逐项复测

浏览器能用而其他应用不能用时，先确认该应用是否读取系统代理、是否有独立设置，以及是否被分应用规则排除。只有部分目标失败时，检查路由命中、域名解析和目标自身状态；不要因此重装整个客户端。TUN 下失败而系统代理正常，则重点回到虚拟接口、DNS 接管、路由冲突与权限，不要先重填服务器认证资料。

需要回退时，先导出当前配置，再停用自定义路由和额外 DNS 设置，关闭 TUN，保留一条明确的活动服务器测试系统代理。安卓端则先恢复默认分应用范围并重新授权 VPN。每次只恢复一个变量，并记录结果；确认基础路径正常后，再按原来的顺序逐项启用功能，找到最先引入异常的设置。

退出客户端后普通网络仍异常，先恢复系统代理、检查始终开启的 VPN 策略，并确认没有另一个程序继续接管。网络恢复后再启动客户端，观察本地监听与远端握手。如果准备求助，提供系统与架构、客户端名称、接管方式、脱敏错误原文及已测试的步骤。这样的信息比一张只显示“无法连接”的截图更有用，也能避免重复做已经排除的检查。