首次配置先完成四件事：选择匹配系统与处理器的安装包、确认内核能够启动、导入有效订阅、用显式代理请求验证连接。Windows 与 macOS 的主要差别在启动方式、运行环境和系统权限。本文按实际操作顺序说明，适合刚解压程序、界面能打开却还不能联网的用户；完成连接验证后，再设置路由与开机自启。
一、安装包选择：系统、架构与运行环境
v2rayN 是桌面客户端界面，实际连接由其调用的内核完成。能看到主窗口，不代表内核已经正常运行。下载时同时核对平台、处理器架构，以及包内是否包含所需运行环境和内核，不能只看文件名里有没有 v2rayN。
与设备匹配的完整包
推荐首次使用优先选择下载页注明包含所需组件的完整包。Windows 区分经典 WPF 界面与跨平台界面；macOS 选择对应平台的跨平台包，不能运行 Windows 可执行文件。
适合：首次安装、希望减少手动补齐组件的用户。
依赖外部运行环境的包
只有明确知道缺少哪些依赖时再选。若启动提示缺少 .NET，按该包说明安装匹配的运行环境；Windows WPF 界面通常需要相应的 .NET Desktop Runtime，而不只是普通运行时。
适合：已配置运行环境、能够阅读启动错误的用户。
Windows 在「设置」→「系统」→「系统信息」查看系统类型；macOS 在苹果菜单→「关于本机」查看芯片。Intel 设备通常选 x64，Apple 芯片设备优先选 arm64。不要根据浏览器名称猜架构，也不要把转译运行当作首次安装的默认方案。
二、解压与首次启动：先固定目录
Windows 便携包应完整解压到当前用户可写、路径稳定的目录，例如 C:\Tools\v2rayN。不要直接在压缩软件内双击主程序，也不要只拖出一个可执行文件；内核、资源和配置目录需要保留相对位置。普通使用不必先授予管理员权限，涉及 TUN 或系统级操作时再按提示授权。
两种系统的启动准备
Windows
- 完整解压后运行包内主程序，避免放在临时解压目录。
- 遇到运行环境提示，记录要求的名称与架构，再补齐依赖。
- 启动失败时查看安全软件记录，确认是否拦截了内核，不要直接关闭全部防护。
macOS
- 应用包先移到「应用程序」，其他归档包按包内说明完整解压。
- 首次启动受系统拦截时，先确认来源，再查看「系统设置」→「隐私与安全性」中的提示。
- 仅在确认应用可信后使用系统提供的批准入口；不要全局关闭安全检查。
先让程序在固定位置正常启动，再导入订阅和创建登录启动项，避免移动目录后快捷方式失效。
若 macOS 报告应用损坏、架构不兼容或无法执行，不要把所有错误都当成权限问题。先重新核对包类型和解压完整性，再阅读系统提示。更换安装目录或升级前，应通过客户端提供的导出功能备份配置；备份包含订阅凭据，不能随意上传到公开位置。
三、内核与订阅：按顺序完成初始配置
先使用包内支持的内核与默认配置，暂时不要启用 TUN、复杂分流或多套上游代理。VMess、VLESS 是协议名称，Xray 是内核名称，v2rayN 是管理界面；这几层不应混为一谈。节点含有特定传输或安全参数时，所选内核也必须支持它们。
-
核对内核
进入「设置」→「参数设置」，查看可用的「Core 类型」相关选项；部分界面将其单列为「Core 类型设置」。初次使用保留包内配置，确认内核文件存在，日志没有“文件不存在”或启动失败信息。
-
记录端口
在「设置」→「参数设置」中查看本地监听端口及监听地址，记录实际值。初次使用保持回环监听，不启用“允许来自局域网的连接”，避免把本机代理意外开放给其他设备。
-
添加分组
打开「订阅分组」→「订阅分组设置」，使用「添加」或「+」新建分组。填写能识别来源的备注，并粘贴完整订阅地址，例如
https://example.com/sub?token=xxxx；该示例不能用来获取服务器。 -
更新订阅
保存后，在「订阅分组」菜单执行「更新全部订阅（不通过代理）」。首次尚无可用连接时先走当前网络；只有直连失败且已经具备可用代理时，才尝试通过代理更新，避免循环依赖。
-
选定服务器
从更新后的列表选择一项，使用右键菜单「设为活动服务器」或当前界面的等效操作。查看日志确认内核成功启动，再进行连接测试。订阅更新成功只说明列表获取成功，不代表每个服务器都能连接。
节点参数应由有效订阅或服务提供方给出，不要自行猜测 VLESS 的公钥、服务器名称或传输路径。若列表为空，先检查订阅有效期、分组过滤条件和更新日志；重复添加同一地址通常只会增加重复条目，并不能解决访问失败。
四、本地端口与系统代理：分开验证
系统代理的作用是把遵循该设置的应用指向本机监听端口，不是把所有流量自动交给代理。终端、部分浏览器扩展和自带网络栈的程序可能使用各自的配置。先验证本地入口，再开启系统代理，比一开始同时修改多处设置更容易定位问题。
这里的 10808 仅作为命令示例，不保证是你所用版本的默认值。先确认该端口提供 SOCKS 或兼容的混合入口。Windows PowerShell 使用 curl.exe，避免命令别名差异；macOS「终端」使用 curl。下面两条分别在对应系统执行，不需要连续执行。
# Windows PowerShell
curl.exe --proxy socks5h://127.0.0.1:10808 --connect-timeout 5 --max-time 15 -I https://example.com/
# macOS 终端
curl --proxy socks5h://127.0.0.1:10808 --connect-timeout 5 --max-time 15 -I https://example.com/socks5h 表示目标域名交由代理侧解析。若收到正常 HTTP 响应，说明这一次显式代理请求已跑通；不代表所有网站或应用都已接管。若提示无法连接到本地端口，先看内核是否运行及端口是否一致；若本地入口已连接但远端握手超时，再查服务器与传输参数。
- 开启系统代理：在 v2rayN 主界面底部或托盘菜单打开「系统代理」→「自动配置系统代理」。不同界面的入口位置可能不同。
- Windows 核对：查看「设置」→「网络和 Internet」→「代理」，确认手动代理指向本机，且端口与客户端的 HTTP 或混合入口一致。
- macOS 核对：查看「系统设置」→「网络」→当前网络服务→「详细信息」→「代理」。连接 Wi-Fi 与有线网络时，应核对正在使用的网络服务。
- 浏览器验证：暂时关闭会覆盖代理的扩展，用同一网站测试；如需核对出口，比较代理前后出口 IP，并与服务提供方说明交叉确认。
五、路由、TUN 与开机自启：连接后再配置
系统代理控制应用把流量交到哪里，路由规则决定内核收到流量后走哪个出口，两者是不同层次。选择绕过大陆之类的规则后，访问国内网站可能仍然直连，这是规则预期，不应只凭一个国内网站的出口判断代理失效。
| 设置项 | 首次建议 | 调整时机 |
|---|---|---|
| 路由规则 | 先使用包内可用的预设，记录当前模式 | 确认基础连接后，再针对域名和 IP 增加规则 |
| TUN | 先保持关闭，减少权限与路由变量 | 需要接管不遵循系统代理的应用时再评估 |
| 局域网访问 | 保持关闭，只监听本机 | 明确需要给其他设备使用，并配置访问控制后再开 |
| 开机自启 | 先手动启动与退出各验证一次 | 程序目录和代理策略稳定后启用 |
TUN 会涉及虚拟网络接口、路由和 DNS，并不等同于“更快的系统代理”。按当前平台和包内说明处理权限；若启用后网络异常，先关闭 TUN 并恢复原有代理状态，不要同时修改 DNS、路由和订阅。每次只改变一项，才能知道问题来自哪里。
开机自启的检查顺序
- Windows 在「设置」→「参数设置」中查找「开机自动启动」；若没有该项，可按系统提供的启动应用方式配置，不要同时创建多份启动入口。
- macOS 在「系统设置」→「通用」→「登录项与扩展」中检查登录时打开的应用；系统版本不同，可能显示为「登录项」。
- 明确启动后是否自动启用系统代理，以及退出时是否清除代理。重启登录一次，确认内核先正常运行，再检查浏览器。
- 正常退出时先选择「系统代理」→「清除系统代理」，再退出客户端。异常退出后若断网，优先检查系统是否仍指向已关闭的本地端口。
六、首次安装常见问题
窗口能打开，为什么还是提示内核启动失败？
先读日志第一条启动错误。界面与内核是不同进程，可能是解压不完整、可执行文件被隔离或端口被其他进程占用。关闭另一份 v2rayN，再完整解压核对；不要仅凭窗口存在判断代理已运行。
Windows 提示本地端口被占用，怎么查？
在终端执行下面的端口查询命令，查看末列进程编号，再到任务管理器核对程序名称。若确实要换端口，应同时更新系统代理和手动配置的应用，不要结束来源不明的系统进程。
更新订阅成功，为什么浏览器还打不开？
先确认已设定活动服务器，再运行显式代理请求。显式请求成功而浏览器失败时，重点检查系统代理、浏览器扩展和独立代理配置；显式请求也失败时，继续看内核日志，不要反复切换开机自启选项。
退出客户端后，普通网站也打不开了？
重新打开客户端，执行「系统代理」→「清除系统代理」。若程序无法启动，进入系统网络设置，关闭此前指向本机端口的手动代理；受单位策略管理的网络应先核实原有配置，不要覆盖组织要求。
# Windows：将端口替换为实际监听值
netstat -ano | findstr :10808
# macOS：查看该 TCP 端口的监听进程
lsof -nP -iTCP:10808 -sTCP:LISTEN排查时保留错误发生时间、系统架构、包类型和日志中的错误描述即可。截图或分享日志前，应遮盖订阅地址、访问凭据、用户标识及服务器敏感参数。若基础连接已经稳定，再按照实际需求逐项增加分流规则和自动化设置，避免把一个可复现的小问题变成多项配置相互影响。