v2rayN / v2rayNG 笔记

速查

推荐配置

1、TUN 模式只拿得到 IP，嗅探和 FakeIP 都是为了把域名找回来

2、v2rayNG 不转发 IP 包，而是截断连接、重建连接，所以可以把 IP 换回域名交给服务器解析

3、所有连接都要过分流，包括 DNS 模块自己发出的查询

一、总览：一次请求的完整流程

① App 查询 DNS
     ├─ 本地 DNS 关 → 查询当作普通 UDP 流量，按路由转发
     └─ 本地 DNS 开 → 交给 Xray DNS 模块
           ├─ 虚拟 DNS 开 → 返回假 IP（198.18.x.x）
           └─ 虚拟 DNS 关 → 选远程 / 境内 DNS 查询真实 IP
② App 用 IP 建连接 → 进入虚拟网卡 tun0
③ 本地协议栈完成握手 → 嗅探出域名
④ 路由匹配（域名策略）→ 代理 / 直连
⑤ 出站建连（routeOnly 决定目标写域名还是 IP）

二、流量截获：系统代理 vs TUN

App 访问一个网站分三步：

1、解析 DNS：查询 www.google.com，拿到 142.250.x.x

2、建立连接：connect(142.250.x.x, 443)，从这一步起系统只认 IP

3、发包：IP 包头只有 IP 和端口，没有存放域名的位置

手机上大多数 App 不理会代理设置，所以 v2rayNG 默认用 VPN 模式。电脑上的 TUN 模式原理相同。

三、嗅探与本地协议栈

连接与包

IP 层无状态，每个包单独发送。TCP 在其上把一串包组织成连接，由五元组唯一确定：

协议 + 源IP + 源端口 + 目标IP + 目标端口

一次 HTTPS 访问：

包1  SYN          ┐
包2  SYN-ACK      ├ 三次握手，没有数据
包3  ACK          ┘
包4  ClientHello  ← 第一段数据，SNI 在这里
包5… 加密数据

UDP 没有连接，内核把五元组相同的包在一段时间内视为一个会话。

流量嗅探

从每条连接最开头的数据里读出域名：

• 只读开头，读到域名就停
• 读不到（ECH、自定义协议）就只能按 IP 匹配路由
• 同一网站的多个资源复用一条连接（HTTP/2），只嗅探一次
• URL 路径在加密之后，看不到，所以规则只能按域名或 IP 写

本地协议栈”冒充”目标

和 App 握手的不是真实服务器，而是 v2rayNG 内部的用户态协议栈（tun2socks）。不管目标 IP 是什么、真不真实，它都直接以那个 IP 的身份完成握手：

App ──SYN──→ 本地协议栈（假装自己是 1.2.3.4）
App ←SYN-ACK─ 本地协议栈
App ──ACK──→ 本地协议栈            ← 握手在本机完成
App ──ClientHello──→ 本地协议栈    ← 嗅探出 www.google.com

之后 Xray 另起连接，让服务器去连域名：

App ⇄ 本地协议栈 ⇄ Xray ⇄ 代理服务器 ⇄ 真实的 google.com
   (连接A：1.2.3.4)    (连接B)       (连接C：服务器解析的IP)

代理 vs 传统 VPN

v2rayNG 的”VPN”只是借 Android 的流量截获接口，本质是代理。

TUN 的可检测性

提前握手会留下特征：本该连不上的地址瞬间”连上”再被断开；握手延迟接近 0ms。不过 App 检测 VPN 通常直接查 NetworkCapabilities.TRANSPORT_VPN，更简单。

四、routeOnly

决定 Xray 往外建连时，目标写域名还是原始 IP：

• 关闭的好处：被污染的 IP 被丢掉，换成域名重新解析
• 开启的用途：IP 是有意选的，比如 Cloudflare 优选 IP、域前置

五、DNS

1. DNS 模块：谁在用它

DNS 模块就是你在设置里填的远程 DNS、境内 DNS 和 DNS hosts。用到它的地方：

不用它的地方：代理出站把域名交给服务器后，由服务器自己解析，和手机上的 DNS 设置无关。

配置里有三个同名的 domainStrategy，别弄混：

2. 一次查询发给哪个服务器

绑定关系跟着路由规则走（v2rayNG 生成配置的逻辑）：

• 远程 DNS 以纯地址放在第一个，作为默认
• 直连规则里的域名 → 绑给境内 DNS，带 domestic-dns 标签和 skipFallback
• 代理规则里的域名 → 绑给远程 DNS
• 直连规则含 geosite:cn 时，境内 DNS 还会加 expectIPs: geoip:cn
• 路由里没有域名规则（比如全局代理）时，只剩一个远程 DNS

“绕过大陆”路由导出的完整配置（分享 → 导出完整配置）：

"servers": [
  "1.1.1.1",
  { "address": "1.1.1.1", "domains": ["geosite:google"] },
  {
    "address": "223.5.5.5",
    "domains": ["domain:alidns.com", "...", "geosite:cn"],
    "expectIPs": ["geoip:cn"],
    "skipFallback": true,
    "tag": "domestic-dns"
  }
]

两个防护字段：

3. DNS 查询本身也要分流

DNS 模块发出的查询也是普通连接，同样要过路由。查询带有标签，v2rayNG 自动加了两条规则：

{ "inboundTag": ["domestic-dns"], "outboundTag": "direct" },  // 境内 DNS 直连
{ "inboundTag": ["dns-module"],   "outboundTag": "proxy"  }   // 其余 DNS 查询走代理

按标签匹配，不管远程 DNS 填什么地址，它的查询都会走代理。

4. FakeIP / 虚拟 DNS

DNS 查询和后续连接是两条无关的流量，靠”IP ↔ 域名”反查会遇到：一个 IP 对应多个域名（CDN）、DNS 被加密看不到、App 用了缓存不再查询。

FakeIP 的做法：给每个域名分配一个唯一的假 IP（如 198.18.0.5 ↔ www.google.com），App 用假 IP 连接时直接查表还原。映射是自己分配的，不需要反查。

• 依赖本地 DNS 开启（先接管查询才能返回假 IP）
• 依赖流量探测开启（destOverride 里的 fakedns 负责还原）
• v2rayNG 中 FakeDNS 绑定的域名 = geosite:cn + 所有非阻断路由规则里的域名，其他域名仍查真实 IP
• 地址池默认 poolSize: 10000，用满后回收旧的

5. 加密 DNS 的影响

• DoT（Android 私人 DNS）：TCP 853
• DoH（Chrome 安全 DNS、部分 App 内置）：HTTPS 443，看起来和网页一样

内核读不出加密查询的内容，本地 DNS 和 FakeIP 都接管不了，只能退回靠嗅探。处理方法：关掉私人 DNS 和安全 DNS，或在路由里拦截 853 端口和常见 DoH 域名，迫使 App 回退到明文 DNS。

6. Outbound 域名预解析

针对节点地址本身。节点是域名时有个循环依赖：解析它要经代理查远程 DNS，但代理还没连上。

六、路由与域名策略

域名策略决定：目标是域名、规则却按 IP 写时，要不要解析域名去匹配。解析结果只用于判断，连接时仍交域名给服务器。

示例规则：

IPIfNonMatch 最常用：能用域名判断的不解析，漏网的用 IP 兜底。

geoip:private 包含什么

10.0.0.0/8、172.16.0.0/12、192.168.0.0/16（私有网段），127.0.0.0/8（回环），169.254.0.0/16（链路本地），100.64.0.0/10（CGNAT、Tailscale），198.18.0.0/15（测试段、FakeIP 池），以及组播、广播和保留段。

规则写法

七、DNS 泄露

探测原理

1、网站让浏览器请求随机子域名，比如 a8f3k2.leaktest.com

2、只有网站自己的权威 DNS 能解析它

3、权威 DNS 能看到是哪个递归 DNS 来查的

4、出口在美国、查询却来自国内运营商 DNS，就暴露了

各环节的风险

最稳组合：AsIs + 本地 DNS + 虚拟 DNS。代价是不在 geosite:cn 的国内网站会走代理。

验证方法

• 泄露检测：browserleaks.com/dns，结果里不应出现国内 DNS
• 分流检查：日志级别临时调成 info，看每条连接命中哪条规则

真实案例

内网域名

场景：节点是 ssh -D 搭建的 SOCKS5，要访问一个只有内网能解析的域名。

关键：域名必须原样交给 SSH 服务器，由它在内网解析。手机本地任何一次真实解析都会得到”域名不存在”，而 App 查不到 DNS 就根本不会发起连接。所以要先让 App 拿到一个 IP，再把域名还原出来交给 SSH。

不做处理时会怎样

App 查询内网域名 → DNS 模块交给 1.1.1.1 → 公网无记录 → NXDOMAIN → App 报错

如果远程 DNS 是 UDP 格式，SSH 不转发 UDP，查询直接超时。两种情况都失败，因为问的是公网 DNS。

方案一：FakeIP（推荐）

方案二：DNS hosts

内网 IP 固定时，在 DNS hosts 里写 内网域名:10.x.x.x，不用开虚拟 DNS。同样要加 ip:10.x.x.x → 代理 规则，防止被 geoip:private 判直连。缺点是 IP 变了要手动改。

方案三：查询内网 DNS

把内网域名的查询指向 tcp://内网DNS地址，经 SSH 的 TCP 隧道直接问内网 DNS。需要用自定义配置写 dns.servers，并加 ip:内网DNS地址 → 代理 规则。

电脑上更简单

v2rayN 用系统代理模式，浏览器直接把域名交给代理，本地不解析，上面的问题都不存在。