V2RayN如何开启局域网共享代理供其他设备使用？

在一台电脑已经能正常使用代理、而手机、平板或电视盒子却各自为战的环境里，把 v2rayN 的本地端口变成局域网共享代理，往往比给每台设备单独配置订阅更省事。但这一步并不只是“打个勾”那么简单：它同时改变了端口监听范围、系统防火墙状态与访问控制边界，三者任何一处没对上，都会表现为“另一台设备连不上”。因此下面按功能定位、操作路径、验证方法、性能取舍与安全边界的顺序展开，尽量把每一步的“为什么”也讲清楚，而不只停留在点击顺序上。

一、先弄清“共享”究竟发生在哪一层

v2rayN 本身是图形界面外壳，不直接处理流量。真正监听端口、完成协议解析与转发的，是它在后台启动的代理内核——在不同版本里可以是 Xray、v2ray 或其它内核，取决于你在参数设置中选择的类型。因此所谓“开启局域网共享”，在技术层面等价于一件事：把内核入站（inbound，指代理程序接收外部连接的入口）的监听地址，从只允许本机访问的回环地址 127.0.0.1，改成对所有网卡生效的 0.0.0.0，或者明确绑定到某一张内网网卡。理解这层对应关系，后面的勾选与重启才不至于变成机械操作。

把这个层次区分清楚，能避免大量无效尝试。很多人在“系统代理”菜单里反复切换，却发现另一台设备始终提示连接被拒绝——因为系统代理修改的是本机操作系统里的代理指向，作用范围仅限本机，与“是否接受来自其它设备的连接”完全无关。要让第二台设备连进来，必须动的是入站监听范围与防火墙放行规则，而不是系统代理开关；这也是排查时最先应当排除的干扰项。

监听地址决定“谁能连”

三种常见取值对应三种可见范围：127.0.0.1 只有本机进程能连；0.0.0.0 表示监听所有网卡，同网段设备都能尝试连接；192.168.x.x 这类具体地址则只在该网卡上开放。v2rayN 的“允许来自局域网的连接”勾选项，作用就是把默认的回环监听扩展到更宽的范围。判断是否真正生效，看的是实际监听地址，而不是界面上的勾选状态。

边界也由此产生：一旦监听扩大到 0.0.0.0，只要这台机器同时连着咖啡馆、酒店或公司访客 Wi-Fi，同一广播域内的其它设备理论上都能向你的端口发起连接请求。这不是漏洞，而是入站监听扩大的必然结果，因此后续的防火墙收敛不是可选项，而是配套步骤——先明确“愿意让谁连”，再决定“让哪些来源连得进来”。

与系统代理、TUN 模式的区别

这三者处于不同层次，容易混淆。系统代理是操作系统的全局代理设置，只管本机应用是否走代理；TUN 模式通过虚拟网卡接管本机流量，改变的是本机流量走向；入站监听范围管的则是“外部能不能连进来”。它们可以并存，也可能互相掩盖问题——例如开着 TUN 模式时本机测试一切正常，但局域网设备的连接请求仍然被防火墙拦在外面，此时排查方向若放在内核上就会走偏。

一个典型场景：家里台式机通过 v2rayN 正常上网，客厅电视盒子与 iPad 想共用这条线路。台式机能打开网页，不等于盒子和 iPad 能连上，因为它们走的是“入站”这条完全不同的路径。判断标准始终是监听地址与防火墙，而不是本机浏览体验；把这句话记住，后面的验证步骤就有了统一的落脚点。

二、版本前提：照着旧教程找不到勾选项怎么办

v2rayN 的界面在近几年经历过多次调整，菜单名称与参数分组位置与你可能看到的老截图并不完全一致。本文的描述以“截至当前的最新版本”的常见布局为参照；如果你在“参数设置”里找不到对应条目，请以实际界面为准，而不是强行套用旧路径。换句话说，路径可以变，判断标准不变：找到控制入站监听范围的那个选项即可。

还需要注意内核类型的差异。v2rayN 允许切换不同内核，并非所有组合都严格遵循 GUI 上的这个勾选项。经验性观察：在默认内核、默认配置的前提下，勾选后监听地址会变为 0.0.0.0；但如果你手工加载了自定义配置，最终生效的是自定义配置里的 inbounds 字段，GUI 勾选项可能被覆盖。判断依据很简单——用后文的端口检查命令看实际监听地址，而不是看界面是否勾上。这也解释了为什么同一份教程在不同机器上会得出不同结论。

三、桌面端最短可达路径

桌面端的完整操作可以压缩成六步，顺序尽量不要打乱，因为后面的步骤依赖前面获得的端口信息；端口一旦记错，后面所有设备的配置都会跟着错。

1. 在任务栏托盘区找到 v2rayN 图标，右键打开“参数设置”（部分版本也可从主窗口的设置入口进入）。
2. 切换到“基础设置”页。
3. 勾选“允许来自局域网的连接”。
4. 在同一页记录“本地监听端口”：通常会分别列出 socks 与 http 两个端口。
5. 确定保存，然后重启 v2rayN，或仅重启内核。
6. 如果系统弹出防火墙提示，选择允许，并注意勾选的是“专用网络”而非“公用网络”。

第 5 步常被跳过。监听地址属于内核启动时读取的配置，多数情况下不会热更新，勾选后不重启，端口仍然停在 127.0.0.1，表现就是“明明勾了却没用”。第 6 步则决定了外部设备能不能真正握手成功——放行的是入站规则，方向别选错。把这两步当成流程的一部分而不是可选动作，能省掉大量反复试错。

四、端口选择：socks 还是 http

两个端口暴露的是同一套出口能力，但适配的客户端不同。选择时按“接收方设备支持什么”来定，而不是按“哪个更高级”来定；换句话说，这是一道兼容性题，不是性能题。

对绝大多数家庭场景，先让设备走 HTTP 端口成功率更高：系统级设置界面里能填的地方，基本都是 HTTP 代理。只有当某个应用明确要求 SOCKS5，或者你需要转发 UDP 流量（如某些游戏、语音通话）时，才切到 SOCKS5 端口，并且要确认内核入站是否开启了 UDP 支持——这一点在默认配置下未必成立。

边界在于兼容性而非性能。二者经过同一内核转发，实际速率差异通常由加密方式与线路决定，而不是由这一层协议决定。把注意力放在“选错端口导致连得上却打不开网页”上更有价值——这类现象最容易让人误判成代理线路故障。一个可复现的确认方法：用同一台设备只替换端口号重试一次，若结果反转，问题就出在协议选择上。

五、防火墙：不弹窗、连不上时的第一处排查

Windows 上，当内核进程首次监听非回环地址时，系统一般会弹出防火墙询问。如果你当时点了“取消”，或者勾选的是“公用网络”，规则就不会被建立。后续表现很有迷惑性：端口确实监听了，本机测试也通，但另一台设备连接超时。遇到这种情况，直接按下面的顺序补建规则，比反复重启软件更快。

1. 打开“控制面板 → Windows Defender 防火墙 → 高级设置”。
2. 选择“入站规则 → 新建规则 → 端口 → TCP”。
3. 填入前面记下的端口号。
4. 操作选“允许连接”，配置文件仅勾选“专用”。
5. 命名保存，便于日后复核。

只勾“专用”是最低成本的风险收敛：它意味着当这台机器接入陌生 Wi-Fi 并被识别为公用网络时，入站端口自动不被放行。若你经常在家庭与办公两地切换，这个设置能省去不少手动开关的麻烦；反过来，如果只勾了“公用”，规则在家庭网络下反而可能不生效，症状与“没放行”完全相同。

macOS 与 Linux 一般默认不拦截本地入站连接，除非启用了应用防火墙或第三方安全软件。若在 macOS 上遇到同样现象，检查方向应是“防火墙是否阻止了内核进程接受传入连接”，而不是端口本身——这个判断顺序能省下大量重复配置的时间。

六、把其他设备接进来：各平台最短路径

接入端要做的事只有一件：把代理地址指向运行 v2rayN 那台机器的内网 IP，端口填 HTTP 端口。内网 IP 可通过 ipconfig（Windows）或 ifconfig、ip addr（macOS、Linux）查到，形如 192.168.x.x 或 10.x.x.x。建议在路由器上为该机器设置地址保留，避免重启后 IP 变化导致所有设备的配置一起失效。这一点看似琐碎，却是“昨天还好好的，今天全都连不上”的常见根源。

Windows 与 macOS

Windows：设置 → 网络和 Internet → 代理 → 手动设置代理 → 打开“使用代理服务器”，填入地址与端口，并在“请勿对以下列条目开头的地址使用代理服务器”中保留本地地址段。macOS：系统设置 → 网络 → 选中当前连接 → 详细信息 → 代理 → 勾选“网页代理（HTTP）”并填写。两端都建议先只填 HTTP 端口，确认可用后再考虑是否补充其它配置。

边界：系统代理只对遵循系统设置的应用生效。部分命令行工具以及自带网络栈的应用（某些下载器、游戏客户端）会绕过系统代理，需要在应用内部单独配置，或改用 TUN 模式处理本机流量。

Android

路径最短的方式是在 Wi-Fi 设置里改：长按已连接的网络 → 修改网络 → 高级选项 → 代理 → 手动 → 填主机名与端口。这种方式对浏览器和多数遵循系统代理的应用生效，无需安装额外客户端，因此适合临时接入或不愿意在终端上多装一个应用的场景。

边界：Android 的系统代理不覆盖所有应用，尤其是自行管理网络栈的应用。若发现某个 App 仍然直连，属于预期行为而非配置错误，需要在应用内单独设置或改用支持分流的客户端。

iOS 与 iPadOS

设置 → 无线局域网 → 点击当前网络右侧的信息按钮 → 配置代理 → 手动 → 填入服务器与端口，认证一栏可留空（前提是入站未开启认证）。填完后建议立刻用浏览器访问一个需要代理的页面，确认配置已被系统采纳。

边界：iOS 的系统代理对走 QUIC（HTTP/3）的流量不一定生效，表现为部分应用能打开、部分一直转圈。这类现象通常与代理本身无关，而是流量路径绕过了系统代理，属于协议层的限制。

电视盒子、老设备与只能填 IP 的应用

这类设备通常只提供“HTTP 代理”一个入口，没有 SOCKS5 选项，也没有自动配置能力。它们恰恰是最适合共享代理的一类终端——本身往往不具备安装代理客户端的条件，而共享端口几乎是唯一可行路径。典型例子是家里的智能电视：系统设置里只有“代理服务器”一栏，填错端口后界面仍显示“已保存”，但所有应用都提示网络异常，很容易被误认为是电视本身的故障。这也是为什么前面强调要记录端口、并优先使用 HTTP 端口的原因。

七、验证：三条可复现的检查

验证要按“监听是否正确 → 网络是否可达 → 应用是否生效”三层推进，跳层排查容易得出错误结论；把三者看作互斥的故障域，比笼统地说“连不上”更有指向性。

第一层，在运行 v2rayN 的机器上确认监听地址。Windows 使用 netstat -ano | findstr :10809，macOS 使用 lsof -iTCP:10809 -sTCP:LISTEN，Linux 使用 ss -lntp | grep 10809。

# 预期：本地地址列为 0.0.0.0 或具体内网 IP
# 若显示 127.0.0.1，说明勾选项未生效或未重启
TCP    0.0.0.0:10809    0.0.0.0:0    LISTENING    12345

第二层，从另一台设备发起请求。用 curl 直接指定代理，观察是否返回响应头：

curl -x http://192.168.1.10:10809 -I https://www.example.com

返回 HTTP 状态行说明链路通；如果卡住直到超时，问题在防火墙或地址填错；如果立即返回拒绝连接，问题在监听地址仍是回环地址。第三层再去验证应用本身，例如用浏览器打开一个需要代理才能访问的页面，确认系统代理设置是否被该应用遵循。

这个顺序的价值在于，它把“连不上”拆成了三个互斥的故障域。经验性观察：多数报告“共享失败”的案例，实际卡在第一层（未重启）或第二层（防火墙规则未建），真正涉及内核配置错误的比例并不高。因此先做这两层检查，通常比直接改动内核参数更有效率。

八、进阶：用自定义配置精确控制入站（示例）

当默认勾选项不能满足需求——比如要限制只绑定某张网卡、要给 HTTP 入站加账号密码、要同时开放多个端口——就需要下沉到内核配置层。v2rayN 支持加载自定义配置，具体入口名称因版本而异，请以实际界面为准；下面的片段只用于说明结构，字段含义应以你所使用内核的官方文档为准。

{
  "inbounds": [
    {
      "tag": "lan-http",
      "listen": "0.0.0.0",
      "port": 10809,
      "protocol": "http",
      "settings": {
        "accounts": [
          { "user": "example_user", "pass": "example_pass" }
        ]
      }
    }
  ]
}

三点提醒。第一，自定义配置中的 inbounds 通常会取代 GUI 生成的入站，勾选项可能不再生效，因此不要假设两者会叠加。第二，务必保留原有的 socks 与 http 入站，否则本机的系统代理会一起失效，表现为“改完之后自己也不能上网了”。第三，HTTP 入站的账号密码在传输时仅做 Base64 编码，并非加密，只适合在可信内网使用，不能当作跨公网的安全手段。改动前先备份原配置，改完后仍用第七节的端口检查复核一遍，这三条就不容易踩空。

九、性能与成本：什么规模适合共享

上行带宽是真正的瓶颈

所有被共享设备的流量都要经过这台机器中转一次，因此限制来自它的上行带宽，而不是下行。经验性观察：单台设备观看高码率视频时，上行占用会明显上升；第二台设备同时开始播放，出现缓冲的概率显著增加。这与代理软件的实现无关，是物理链路的必然结果。

判断方法很直接：在共享期间观察路由器或系统网络面板的上行占用。如果长期贴着上行上限，说明已经超载，此时更合理的做法是给关键设备单独配置，而不是继续叠加终端。一个具体的取舍场景：家庭宽带下三台设备共用一条线路，两台看视频、一台开会，会议端的语音质量通常最先受影响，因为实时流量对抖动最敏感。也就是说，能否共享不只看“连得上”，还要看“同时在线时是否还够用”。

CPU 与并发连接

加密与解密在 CPU 上完成，并发连接越多、单连接吞吐越高，内核进程的 CPU 占用越明显。家用场景下通常不构成瓶颈，但在低功耗小主机、老旧笔记本上值得留意。验证方法：在任务管理器或活动监视器中观察内核进程的 CPU 曲线，对比共享开启前后的差异，观察窗口建议覆盖一次完整的视频播放。

单点故障与运维成本

共享意味着依赖。运行 v2rayN 的机器休眠、重启或退出程序，所有依赖它的设备会在同一时刻断网。如果家里有设备依赖代理完成系统更新或远程办公，这个风险需要提前想清楚，例如设置该机器不休眠，或在关键设备上保留一套独立配置作为回退方案。这也是“是否值得”的核心判断点：便利性与可用性在此处是交换关系，规模越大，交换的代价越明显。

十、安全边界：端口暴露后的最小化原则

端口一旦从回环地址扩展到局域网，访问控制的默认状态就从“本机独占”变成了“同网段可见”。是否可接受，取决于网络环境的可信程度；下面几条原则的作用，是把暴露面压到与场景相称的最小范围。

• 只在私有、可信的网络中启用。咖啡馆、酒店、机场等公共 Wi-Fi 下应关闭该勾选项。
• 不要在路由器上做端口映射或 DMZ，把代理端口暴露到公网。这不属于“共享给局域网”的范畴，风险级别完全不同。
• 用防火墙限定来源：入站规则中可限定只允许特定 IP 段访问该端口，比全放行收敛得多。
• 确有共享给不可信终端的需求时，为 HTTP 入站配置账号密码，并接受它只是弱防护这一事实。
• 定期复核实际监听地址，尤其是在更换网络环境或升级版本之后。

这些原则的共同逻辑是“按需开放、按环境收敛”，而不是一次性配置完就长期不管。这里还存在一个容易被忽略的副作用：局域网内任何能连上该端口的设备，对外呈现的都是同一个出口 IP。如果该 IP 关联了账号、订阅或计费，多设备共用会带来归属难以区分的问题。在团队场景中，这一点应提前约定，而不是事后追溯。

十一、故障排查：现象、原因与处置

十二、适用与不适用场景清单

适合启用的情形相当集中：家里有多台只能填代理地址的设备；临时给来访设备提供出口；设备本身无法安装代理客户端。这三类场景的共同点是有线或无线局域网可控、设备数量有限、且不需要区分到人的归属统计，因此共享端口带来的便利远大于它引入的复杂度。

不适合的情形同样明确：处于不可信的公共网络；需要长期稳定的多设备并发（此时更适合在软路由或专用网关上做统一出口，而不是依赖一台随时会休眠的电脑）；以及存在合规要求、必须区分到人的网络环境——共享端口天然无法提供这类区分能力。把这两组条件对照自己的实际环境，比盲目照做更容易得出结论。

十三、落地检查表

1. 确认已勾选“允许来自局域网的连接”，并重启过 v2rayN。
2. 用 netstat 或 lsof 确认监听地址不是 127.0.0.1。
3. 记下 http 与 socks 两个端口，明确哪台设备用哪个。
4. Windows 防火墙入站规则只勾“专用网络”。
5. 在路由器上为运行 v2rayN 的机器设置地址保留。
6. 从至少一台真实终端用 curl 或浏览器完成端到端验证。
7. 离开可信网络时关闭该勾选项，或依赖“专用网络”限制兜底。
8. 记录当前内核类型与端口，便于版本升级后快速复核。

十四、常见问题

回到最初的问题：v2rayN 的局域网共享本质上是三件事的联动——把入站监听扩展到局域网、让防火墙放行对应端口、在终端上把代理指向这台机器。三步都完成，多设备接入才成立；缺任何一步，现象都会以“连不上”的形式出现，而排查顺序应当固定为监听地址、网络可达、应用设置这三层。

下一步建议是：先只接一台设备跑通完整链路，确认 curl 与应用都能正常访问，再去接第二台。这样一旦出现问题，你可以立刻区分是配置错误还是带宽与并发导致的体验下降。若后续设备数量继续增长，就应当考虑把出口集中到专用网关上，而不是继续给这台电脑加负担。考虑到界面与默认端口在版本迭代中可能调整，建议把当前的勾选状态、内核类型与端口记录下来；日后升级若发现行为变化，仍按“先看监听地址、再看防火墙、最后看应用设置”的顺序复核，就不必从头重来。