适合第一次在 Windows 或 macOS 上使用 v2rayN 的用户。按安装包选择、程序启动、订阅导入、本地监听和系统代理的顺序完成设置，再用日志与端口检查区分故障位置。首次连接先用系统代理验证，确认基本链路正常后，再考虑 TUN 模式和更细的路由规则。
一、选择安装包与可写的存放位置
v2rayN 是图形客户端，负责管理节点、订阅和运行配置；实际连接由内核处理。下载客户端并不等于已经获得可用服务器。开始前应准备有权使用的节点或订阅地址，并确认节点所需协议与安装包包含的内核相匹配。
Windows 包与 macOS 包不能混用，同一系统还要区分 x64 与 ARM64。Windows 可在「设置」→「系统」→「系统信息」查看系统类型；macOS 可从苹果菜单→「关于本机」查看芯片信息。Apple 芯片优先选择对应的 ARM64 包，Intel 处理器选择对应的 x64 包，不能只看压缩包大小判断。
- Windows 压缩包：先完整解压到当前用户可写的位置，例如
C:\Users\你的用户名\Apps\v2rayN。不要在压缩软件的预览窗口里直接运行，也不要只拖出一个主程序文件。 - macOS 应用包：按发布包形式解压或挂载后，将应用放入「应用程序」目录再启动。避免长期从临时挂载的磁盘映像里运行。
- 依赖与内核：保留发布包的目录结构。框架依赖包可能要求匹配的运行环境，自包含包则通常带有相应运行时；缺失提示应按当前包说明处理，不要随意补入其他版本的动态库。
- 配置与备份：更新前先退出程序，再备份现有配置。应用目录与配置目录不一定相同，具体位置取决于系统和客户端构建形式。
二、首次启动与订阅导入的操作顺序
第一次启动先确认窗口能够打开、配置能够保存、内核能够启动，再开启系统代理。否则系统可能已经指向本地端口，而本地并没有可用服务，表现为原本可以访问的网页也打不开。
-
检查运行环境
启动主程序。Windows 若提示缺少运行时，记录提示中的产品名称、架构与版本要求，再安装匹配的组件；不要把所有缺失提示都当成缺少同一种运行库。
-
处理启动权限
macOS 若提示应用来源受限，先确认下载来源，再到「系统设置」→「隐私与安全性」查看是否有对应的打开许可。若提示文件已损坏或被安全软件判定有风险，应停止运行并检查来源，不要直接关闭系统防护。
-
添加订阅分组
进入「订阅分组」→「订阅分组设置」，添加分组名称和完整订阅地址后保存。部分界面以「+」作为新增入口；地址应来自服务提供方，避免把管理后台页面地址当成订阅地址。
-
更新订阅内容
回到「订阅分组」，执行「更新全部订阅（不通过代理）」。若当前网络无法访问订阅源，而客户端已有可用节点，再尝试「更新全部订阅（通过代理）」。首次使用且没有可用节点时，后者不能凭空建立连接。
-
选择活动节点
在节点列表选中一项，使用右键菜单「设为活动服务器」，再查看日志是否出现内核启动失败。完成后开启系统代理，用浏览器访问一个已知正常的 HTTPS 网站，确认不是只显示了延迟数值。
订阅导入后，VMess、VLESS、传输方式和 TLS 参数通常由订阅生成，不需要为了“优化”手动改动。节点使用 REALITY 等功能时，应确认所选内核支持对应配置；客户端能显示节点名称，不代表当前内核一定能运行该节点。
三、核对本地监听端口与系统代理
本地端口是应用连接到客户端的入口，服务器端口则是客户端连接远端节点的目标，二者不能互换。下面以 127.0.0.1:10808 为本地混合监听的示例：这是检查思路，不是要求把所有版本都改成同一个端口。请以「设置」→「参数设置」里的实际监听配置为准。
客户端本地监听
- 示例地址
127.0.0.1- 示例端口
10808- 监听协议
- 以界面标注的 HTTP、SOCKS 或混合类型为准
- 局域网访问
- 首次设置保持关闭
回环地址只供本机使用，不需要为了浏览网页改成对外监听。
系统代理目标
- 代理服务器
- 指向客户端的本地监听地址
- 代理端口
- 必须对应支持该协议的监听端口
- Windows 检查
- 「设置」→「网络和 Internet」→「代理」
- macOS 检查
- 「系统设置」→「网络」→当前连接→「详细信息」→「代理」
通常由客户端设置系统代理；手动检查时重点看地址、端口是否一致。
如果当前版本分别提供 HTTP 与 SOCKS 端口，不要把 SOCKS 专用端口填入系统的 HTTP 代理字段。修改监听端口后，应按界面提示重启内核或应用配置，并重新设置系统代理，避免系统仍指向旧端口。
- Windows 可从托盘菜单或主界面「系统代理」→「自动配置系统代理」开启；结束使用前选择「清除系统代理」。具体入口取决于当前界面。
- macOS 若请求修改网络设置的授权，应确认请求来自正在使用的客户端。没有授予必要授权时，窗口正常显示也不代表系统代理已经生效。
- 首次测试不要同时启用另一套代理工具或浏览器专用代理扩展，否则请求可能走了不同入口，导致客户端日志与浏览结果对不上。
四、系统代理、TUN 与路由分流怎么选
系统代理和 TUN 解决的是流量如何进入客户端；路由分流解决的是进入以后走直连还是代理。它们不是同一个层面的开关。「自动配置系统代理」也不等于所有连接都走代理，更不等于客户端会自动判断每个网站的业务需求。
系统代理起步
推荐由遵循系统代理设置的应用把请求交给本地监听端口。首次安装先用浏览器验证，配置链路较短，出问题时容易恢复。
适合:首次连接、浏览器访问、基础故障定位
TUN 模式接管
借助虚拟网络接口接管更多应用流量，可能需要管理员授权、虚拟接口组件及配套路由和 DNS 配置。覆盖范围仍受系统、应用和具体配置影响。
适合:基础连接已验证、应用不遵循系统代理的情况
应用单独指定
在支持代理设置的应用内指定本地地址、端口和协议。它可以独立于系统代理，适合确认到底是哪一个应用没有读取系统设置。
适合:命令行工具、单个应用的连接测试
初始阶段保留内置路由规则，不急于添加大批自定义域名。规则通常按顺序匹配，宽泛规则放在前面可能盖住后面的具体规则。若某网站只能直连或只能通过代理访问，应先查看命中结果，再调整对应规则，而不是同时切换内核、DNS 和传输方式。
五、端口占用与安全软件拦截的定位方法
日志出现 address already in use 或 bind 相关错误时，先检查本地监听是否被占用。常见原因是启动了两份客户端、旧内核进程没有退出，或其他软件恰好使用同一个端口。以下命令均以示例端口 10808 为检查对象，实际端口不同就替换数字。
Windows：查看监听进程
netstat -ano | findstr ":10808"重点找本地地址中的该端口，以及状态为 LISTENING 的行；仅看到远端地址含有相同数字，不能证明本地端口被占用。最后一列是进程 ID，可在「任务管理器」→「详细信息」按 PID 查找。确认归属后正常退出对应软件，不要结束不认识的系统进程。
macOS：查看监听程序
lsof -nP -iTCP:10808 -sTCP:LISTEN若输出指向旧的客户端进程，先从菜单正常退出，再重新启动。若另一个程序确实需要保留此端口，可在 v2rayN 的「设置」→「参数设置」修改本地监听端口，同时更新系统代理或应用代理的目标值。没有输出也不代表节点可用，只说明这条命令未发现对应 TCP 监听。
- 主窗口能开，内核启动失败：检查安全软件的隔离记录与客户端日志，确认是否有内核文件被移走。不要从不明来源单独下载同名可执行文件补进目录。
- 文件被拦截：记录文件路径、告警名称和发生时间，确认下载来源后再评估恢复或例外规则；不要把整个下载目录加入宽泛例外。
- 提示无法写入配置：检查目录权限、磁盘剩余空间和文件是否只读。日常系统代理使用通常不需要一直以管理员身份运行，先解决具体目录的写入问题。
六、首次连接常见问题与退出检查
订阅更新超时，是客户端没装好吗？
先检查订阅地址是否完整、是否已过期，并区分域名解析失败、连接超时与服务器返回错误。已有可用节点时可尝试通过代理更新；完全没有节点时，应向订阅提供方确认当前网络可访问的导入方式。不要公开订阅地址，其中常带有访问凭据。
节点有延迟，为什么网页还是打不开？
延迟测试只验证特定测试路径，不等于浏览器请求成功。先确认活动服务器，再核对系统代理是否指向真实监听端口，并看浏览器访问时日志有没有新连接。有请求但失败，再查节点认证、TLS、DNS 和路由；没有请求，先查流量入口。
提示证书错误，能跳过验证吗？
先到系统的「日期与时间」设置中检查时间和时区，再核对节点的服务器名称、TLS 配置与订阅内容。证书错误可能来自过期证书或名称不匹配，不宜把跳过验证作为默认修复，应由服务提供方确认正确参数。
退出以后整台电脑都不能联网了？
先重新打开客户端，执行「系统代理」→「清除系统代理」，关闭 TUN 后再退出。若程序无法打开，进入系统网络设置，检查是否仍保留指向 127.0.0.1 的手动代理；仅移除本次设置，保留单位或学校要求的网络配置。
一次有效的首次安装验收应覆盖启动、导入、访问和退出四个环节。后续排障每次只改一个变量，并记录修改前后的日志现象，比反复重装更容易找到原因。向他人求助时，可提供系统类型、客户端显示的版本、所选内核和经过脱敏的错误行，不要附上节点密码、完整分享链接或订阅凭据。
- 程序重启后，订阅分组和活动服务器仍能正确保留。
- 启用系统代理后，浏览器能够访问目标网站，日志没有持续的内核启动错误。
- 关闭代理并退出客户端后，原本可直连的网站仍能正常访问。