V2Ray config.json 读法：inbounds、outbounds 与 routing 逐段拆解

一、先分清客户端配置与内核运行配置

config.json 通常指交给内核读取的 JSON 文件，文件名本身并不决定内容。v2rayN 保存的服务器列表、订阅分组和界面偏好，属于客户端管理的数据；启动内核时，客户端再根据活动服务器与路由设置生成运行配置。只导出一条分享链接，得到的不是包含入站和路由的完整配置。

阅读时应以实际运行文件为准。v2rayN 不同版本的导出入口与生成文件位置可能变化，应先确认导出对象是完整配置而不是服务器分享内容。安卓端的 v2rayNG 使用 Xray 内核，v2flyNG 使用 V2Fly 内核；两者有相近的基础结构，但扩展字段不能据此认定为通用。

• inbounds：接收应用连接，例如本机的 SOCKS 或 HTTP 代理端口。
• outbounds：定义流量出口，例如 VMess 代理、直接连接或拒绝连接。
• routing：按规则决定连接交给哪个出站，不负责创建该出站。
• log 与 dns：分别控制日志和内置 DNS 行为，不等同于系统代理开关。

二、一份脱敏后的完整 config.json 样本

下面按客户端完整导出配置的结构整理为阅读样本，保留两个本地入站、三个出站与两条路由，地址和身份参数已改成示例值。它是完整的 JSON 文档，但不是可连接的节点：example.com:443 不代表存在对应的 VMess 服务，不能直接拿它测试网络。

{
  "log": {
    "loglevel": "warning"
  },
  "dns": {
    "servers": ["localhost"]
  },
  "inbounds": [
    {
      "tag": "socks-in",
      "listen": "127.0.0.1",
      "port": 10808,
      "protocol": "socks",
      "settings": {
        "auth": "noauth",
        "udp": true
      }
    },
    {
      "tag": "http-in",
      "listen": "127.0.0.1",
      "port": 10809,
      "protocol": "http",
      "settings": {}
    }
  ],
  "outbounds": [
    {
      "tag": "proxy",
      "protocol": "vmess",
      "settings": {
        "vnext": [
          {
            "address": "example.com",
            "port": 443,
            "users": [
              {
                "id": "11111111-1111-4111-8111-111111111111",
                "alterId": 0,
                "security": "auto"
              }
            ]
          }
        ]
      },
      "streamSettings": {
        "network": "tcp",
        "security": "tls",
        "tlsSettings": {
          "serverName": "example.com"
        }
      }
    },
    {
      "tag": "direct",
      "protocol": "freedom",
      "settings": {}
    },
    {
      "tag": "block",
      "protocol": "blackhole",
      "settings": {}
    }
  ],
  "routing": {
    "domainStrategy": "AsIs",
    "rules": [
      {
        "type": "field",
        "domain": ["full:example.org"],
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "ip": ["geoip:private"],
        "outboundTag": "direct"
      }
    ]
  }
}

三、inbounds：监听地址、端口与应用代理类型

第一个入站在 127.0.0.1:10808 接收 SOCKS 请求，第二个在 127.0.0.1:10809 接收 HTTP 代理请求。两个端口是本文样本的明确取值，不保证与你的客户端一致。应用需要填写哪一个，取决于应用选择的代理类型，而不是目标网站使用 HTTP 还是 HTTPS。

listen 为回环地址时，仅本机可以连接。若为了局域网共享改成 0.0.0.0，监听范围会扩大，还需要同时考虑身份认证与防火墙，不能只把地址改掉。本例 SOCKS 入站的 auth: "noauth" 表示不要求认证，应维持本机使用的范围。

udp: true 只打开 SOCKS 入站的 UDP 能力，不会把整个系统的 UDP 自动送进代理，也不代表 HTTP 入站具备相同能力。若应用没有使用这个入口，即使内核启动成功，也不会出现预期的代理连接。

四、outbounds：节点身份、传输与出口标签

outbounds 是数组，可以同时列出多个出口。本例第一个出口标为 proxy，协议为 VMess；vnext 中的 address 和 port 是远端服务器地址与端口，users 中的 id 是用户身份参数。这里的 443 是远端端口，与本地 10808、10809 没有替代关系。

direct 使用 freedom 直接访问目标，block 使用 blackhole 拒绝流量。它们只是标签名称，真正的行为由 protocol 决定；把 freedom 的标签改成“proxy”，也不会让它变成远端代理。本例没有规则引用 block，所以仅仅声明这个出站并不会自动拦截任何请求。

五、routing：规则顺序、tag 引用与默认出口

路由规则从上往下检查，命中后按该规则选择出口。本例第一条只把完整域名 example.org 交给 direct。full: 表示完整匹配，不会顺带匹配它的子域名。第二条把匹配私有地址范围的目标交给同一个出口；其余连接没有命中时，使用 outbounds 中的第一个出站，也就是 proxy。

1. 连接目标为域名 example.org：第一条命中，寻找 tag: "direct" 的出站。
2. 连接目标为地址 192.168.1.20：第二条命中私有地址规则，直接访问局域网目标。
3. 连接目标为其他未命中的域名：落到第一个出站 proxy，尝试连接示例 VMess 服务器。

outboundTag 必须与出站的 tag 精确对应，包括大小写。入站标签则可以通过规则的 inboundTag 数组参与匹配，例如只处理 ["socks-in"] 的连接。入站标签与出站标签不是自动配对关系，也不要求名称相同。

本例采用 domainStrategy: "AsIs"，路由阶段不会为了 IP 规则主动把域名解析成地址。因此，连接若仍以域名形式进入，第二条私有 IP 规则不一定能识别它最终指向的局域网地址。需要这类行为时，应先理解 IPIfNonMatch 或 IPOnDemand 的解析时机，再结合 DNS 设置调整，而不是假定每条域名请求都已具备目标 IP。

六、dns 与 log：能加载不等于能连接

本例 dns.servers 使用 localhost，表示内置 DNS 在需要解析时可以调用系统解析能力。这并不是在本地开放一个 DNS 服务端口，也不会自动接管应用发往其他 DNS 服务器的请求。路由解析、出站解析和应用自身解析发生在不同位置，必须结合实际入站方式判断。

loglevel: "warning" 会减少普通连接信息。排查时可临时改为 info，重启内核后复现一次失败请求；排查完成后再恢复。日志可能包含访问域名、目标地址与配置路径，公开求助前应删去订阅链接、用户身份参数及个人路径。

• 启动即退出：先看 JSON 语法、字段类型和内核不识别的协议选项。端口应为数字 10808，而不是把说明文字一起写入字符串。
• 提示监听失败：检查 10808、10809 是否已被另一个客户端实例占用；不要先修改远端服务器端口。
• 本地端口可连但远端失败：再检查服务器地址、443 端口、用户身份参数及 TLS 名称是否与服务端配置一致。
• 只有部分目标走错出口：查看规则顺序、标签引用、请求携带的是域名还是 IP，以及未命中时的默认出口。

七、config.json 常见问题