第一步：导入订阅
开始前，准备服务提供方给出的有效订阅地址，并确认当前网络能够正常访问普通网页。订阅地址通常是一条完整链接，客户端会用它取得服务器配置；它不是登录管理页面的地址，也不是付款页面的地址。复制时不要带上前后的说明文字、引号或换行。订阅可能包含账户访问凭据，不要把完整地址放进公开截图、聊天记录或排错帖中。
v2rayN：先建分组，再更新
打开主窗口，找到“订阅分组”相关菜单，进入“订阅分组设置”。新增一个分组，在备注中填写容易辨认的名称，再将订阅地址粘贴到地址栏，保存退出。此时只保存了订阅来源，服务器列表还不一定发生变化。返回订阅菜单，执行更新当前分组的操作；部分版本会区分“更新订阅不通过代理”和“更新订阅通过代理”，先使用当前网络确实可达的方式。
首次配置还没有可工作的代理时，不要只因为更新失败就反复选择通过代理更新，否则可能形成“需要订阅才能连接、需要连接才能更新订阅”的循环。若提供方说明订阅更新需要特定网络条件，应按其说明处理，或向提供方索取可用的单条分享链接。更新结束后切到刚建立的分组，确认列表中出现服务器名称、地址及协议等字段，而不是只看到一个分组名称。
v2rayNG：保存地址后更新订阅
打开侧栏中的“订阅设置”或同义入口，点击新增按钮，填写备注与地址并保存。回到主列表，再从菜单执行“更新订阅”。观察提示和列表是否刷新；如果有多个分组，先确认当前筛选的分组，避免把其他分组中的旧配置当作本次导入结果。不同版本的更新入口位置可能不同，但“保存订阅地址”和“取得服务器配置”仍是两个动作。
如果拿到的是以 vmess://、vless://、trojan:// 或 ss:// 开头的单条分享链接，应复制完整内容，再选择“从剪贴板导入”一类入口。单条链接导入后通常直接新增一个配置，不会自动建立可持续更新的订阅来源。二维码导入同理：识别后先检查配置字段，不能把成功识别等同于服务器可连接。
进入下一步的条件：目标分组里已经有可选的服务器配置。若列表仍为空，先核对地址是否过期、更新提示是否说明解析失败，以及当前分组是否选对。不要连续重复新增相同分组；先保留一个来源排查，具体原因可查帮助中心的订阅与安装配置问题。理解“订阅、节点、分享链接”的区别，可看概念速查。
第二步：选择代理模式
列表有配置以后，先决定哪些流量进入客户端，再决定进入后的流量如何分配。这是两个不同层面的设置：系统代理或 VPN 模式负责接管流量，路由预设负责把流量交给直连、代理或其他出口。仅切换路由名称，并不意味着所有应用都已经使用客户端；仅打开接管功能，也不意味着所有网站都应走同一路径。
v2rayN：先用系统代理建立基线
在主窗口或托盘菜单找到“系统代理”，首次配置可选择“自动配置系统代理”。它会让遵循系统代理设置的应用把请求交给本地代理入口，适合先用浏览器完成验证。某些应用有独立的代理设置，或根本不读取系统代理，因此不能据此认定所有程序都会被接管。暂时不要同时打开其他代理工具，以免系统代理地址被来回覆盖。
接着找到路由选择入口，优先使用客户端提供的“绕过局域网和大陆”或含义相近的预设，使局域网与常见本地站点保持直连，其余流量按预设处理。预设名称与具体规则可能随版本变化，应以设置说明为准。全局代理适合短时对照某个目标是否受到分流影响，不建议把它当作修复所有连接问题的第一步。首次操作也不必急着启用 TUN 等更广的接管方式。
本地 SOCKS 与 HTTP 端口是客户端在设备上提供的入口，不是远端服务器端口。常见默认值为 SOCKS 10808、HTTP 10809，但应以当前参数设置为准。已经使用自动配置系统代理时，通常无需再到浏览器里手工填写相同端口。混用自动与手动设置，会让停止客户端后的恢复过程更难判断。
v2rayNG：确认 VPN 与应用范围
在设置中确认使用的是 VPN 模式，而不是仅提供本地端口的代理模式；后者不会自动接管其他应用的流量。然后找到路由相关设置，先选择绕过局域网与常见本地站点的预设。若此前启用过“按应用代理”，检查当前是只代理所选应用，还是绕过所选应用，并确认用于测试的浏览器位于预期范围内。初次配置可先不做应用级筛选，减少变量。
这一轮先保留 DNS、嗅探和自定义规则的默认值，不要同时照搬多份教程的高级参数。某个域名走错路径，可能与路由顺序、解析结果或应用范围有关，不能只靠更换协议判断。进入下一步前，记住当前采用的接管方式和路由预设。后续验证要以它们为依据；更深入的协议与内核选择见协议参考，这里先把基本连接跑通。
第三步：启动连接
现在已有配置，也确定了流量入口，可以选择一个服务器尝试连接。先使用订阅导入的原始字段，不要为了“优化”而修改地址、端口、用户标识、传输类型或安全设置。尤其是使用 VLESS 与 REALITY 的配置，服务器名称、公钥相关字段及其他安全参数需要与服务端一致；随意替换其中一项，可能让握手直接失败。
v2rayN：设为活动服务器
在服务器列表中选中目标条目，通过右键菜单的“设为活动服务器”或相近操作启用它；部分版本也支持双击，具体以界面提示为准。观察活动标记是否移到目标行，再查看底部日志或日志入口，确认核心没有立即退出。随后确认系统代理仍为启用状态，因为选中了服务器与打开了流量入口并不是同一个动作。某些连接在发起实际请求时才建立，日志暂时没有远端连接记录不一定代表失败。
如果提示端口被占用，先退出重复运行的客户端，检查其他本地代理程序是否使用了相同端口，再尝试启动；不要直接把远端服务器端口改成一个空闲数字。若提示配置无法加载、协议不支持或核心启动失败，记录具体错误字段，先核对客户端及所选核心的兼容性。订阅能显示在列表中，只证明客户端完成了解析，不代表当前核心一定能运行其中的全部选项。
v2rayNG：确认系统连接授权
点击目标配置，使选中标记落在对应条目上，再点击界面的连接按钮。首次使用 VPN 模式时，系统会弹出连接请求，确认请求来自当前客户端后允许。返回应用，观察连接状态是否改变，以及系统是否出现 VPN 状态提示。授权只表示允许客户端建立本地虚拟网络通道，并不证明远端服务器已经响应，是否可用仍要在下一步实际访问验证。
如果设备正在使用其他 VPN 类应用，先明确当前由哪个应用接管网络；多个应用争用同类通道时，可能互相替换连接。若连接刚启动就停止，可打开日志查看是否有配置错误、权限问题或核心退出提示。能前台使用、锁屏后却频繁中断的情况，再检查系统对客户端的后台运行与电池限制，不必在第一次连接时就改动一整组省电设置。
连接测试或延迟测试可以作为辅助，但测试方法可能只覆盖某一段网络路径。显示结果不等于完整网页必然能打开，测试失败也不一定能定位到认证、DNS 或路由中的哪一项。进入下一步的条件：客户端未立即退出，目标配置处于活动状态，流量接管功能已经启用。若尚未达到，先看启动日志，不要同时更换服务器、路由、DNS 和核心；一次只改一个变量，才能判断变化来自哪里。
第四步：验证是否生效
验证要回答两个问题：目标应用的请求有没有进入客户端，以及进入之后是否按预期走了代理或直连。按钮亮起、系统出现 VPN 标记或服务器行有选中标记，都只证明某个环节已启动。准备一个按当前规则应走代理的网站和一个应直连的本地常用网站，用同一个浏览器逐一访问，避免刚开始就同时打开大量页面，使日志难以对应。
先看访问结果，再对照记录
先打开应走代理的网站，确认页面主体和必要资源能够加载，而不只是浏览器显示了缓存页面。可以刷新或新开一个浏览会话减少缓存干扰，再查看客户端提供的连接记录或日志。如果当前版本会显示目标地址与出站信息，就把刚才的访问时间、目标域名与记录对应起来；若日志级别较简略，没有逐条记录，不要仅凭“没看到域名”认定请求一定没进入客户端。
需要进一步判断时，可在连接前后访问同一个可信的出口信息查询页面，比较结果。但只有该页面按路由应走代理时，才预期看到代理出口变化；如果它命中了直连规则，出口保持不变可能正是正确行为。出口地区、网页显示语言和页面是否能打开，都不适合单独作为判断依据。测试时也不需要向查询页面提交订阅地址或客户端配置。
再确认直连与应用范围
打开应直连的本地常用网站，并在需要时访问局域网中的路由器或其他已知服务，确认基本访问没有受到影响。若代理目标正常，而局域网不可达，先检查是否选了全局模式、是否绕过私有地址，以及是否有自定义规则覆盖了预设。若浏览器正常但另一款应用不正常，优先检查该应用是否读取系统代理，或是否被安卓按应用代理规则排除，不要先重装客户端。
若所有测试网站都失败，按“原网络是否正常 → 请求是否进入客户端 → 日志是否报连接错误 → 服务器配置是否仍有效”的顺序缩小范围。出现域名解析错误时，先核对 DNS 相关提示；出现连接超时，先检查远端地址与网络可达性；出现认证或握手错误，则回到订阅字段与兼容性。短时切到全局路由可帮助对照分流问题，但测试后应恢复原来的日常预设。
最后检查停止后的恢复
验证完成后，主动停止一次连接。v2rayN 退出前可先选择清除系统代理，确认浏览器回到日常网络；v2rayNG 则用连接按钮断开，并观察系统 VPN 状态是否结束。桌面客户端异常退出后，如果网页仍指向已停止的本地端口，需检查系统代理是否残留。这个恢复检查能避免下一次开机或网络切换时，把残留设置误认为网络本身故障。
最终保留一组已经验证的设置：订阅分组、活动服务器、接管方式和路由预设。以后遇到问题，先回到这组基线，再逐项调整。对外求助只需描述客户端、系统、操作步骤与脱敏后的错误文字，不提供完整订阅和账户字段。至此，首次配置的四个环节已经闭合；订阅更新失败或个别应用异常，可继续查帮助中心，协议、安全传输层与内核家族的差异则留到协议参考中逐项阅读。