V2Ray 允许局域网连接：让手机、平板和电视共用电脑代理

一、局域网代理的工作路径与适用范围

允许局域网连接，是把电脑上原本仅供本机使用的代理入口开放给同一网络内的设备。手机或电视把请求发往电脑，再由 v2rayN 管理的内核按路由规则选择直连或代理出站。远端节点仍使用原有 VMess、VLESS 等配置，使用端不需要再次填写节点的用户标识、传输路径或 TLS 参数。

这不是把整台电脑变成路由器。电脑开启系统代理，只会影响电脑上读取系统代理的应用；电脑开启 TUN，也不会自动接管其他设备的网络。局域网共享依赖的是 HTTP 或 SOCKS 入站，其他设备仍要主动把请求交给这个入口。

• 适合：安卓设备、平板或电视支持手动代理，希望复用电脑上已配置的节点与路由。
• 有限制：Wi-Fi 的 HTTP 代理只对遵循该设置的应用有效，不能据此认定全部应用、UDP 游戏流量和设备 DNS 都已接管。
• 前提：电脑保持开机，内核运行正常，双方网络可互相访问。连接同一名称的 Wi-Fi 不一定代表允许设备互访。

二、先确认电脑 IP 与实际监听端口

在 Windows 打开终端执行 ipconfig，查看当前 Wi-Fi 或以太网适配器的 IPv4 地址。在 macOS 打开「系统设置」→「网络」→ 当前连接 →「详细信息」→「TCP/IP」，查看 IP 地址。不要选虚拟网卡、隧道网卡或已断开的网卡地址。

下列地址是配置示例，不是所有家庭网络的固定值。如果电脑实际地址为 192.168.50.12，后续填写的服务器地址和测试命令也要一起替换。127.0.0.1 在手机上代表手机自身，不能用它连接电脑。

不同版本与内核的入站组织方式可能不同。部分较新配置使用一个混合端口同时接受 HTTP 和 SOCKS，旧版配置则可能使用 10808 提供 SOCKS、10809 提供 HTTP。不能只看网上给出的端口号，必须在当前参数设置或启动日志中确认入站协议。

三、在 v2rayN 开放局域网监听

先在电脑本机确认节点可以正常使用，再调整局域网入站。这样能把“节点不可用”和“局域网端口不可达”分开处理。更改前记录原端口与监听设置，便于测试结束后恢复。

1. 打开 v2rayN，进入「设置」→「参数设置」，查找「允许来自局域网的连接」或同义的局域网连接选项。不同版本的分组名称可能略有差异。
2. 启用局域网连接，核对本地 SOCKS、HTTP 或混合端口。不要仅为匹配本文示例而改动已正常工作的端口。
3. 保存设置，按界面提示重启内核；没有提示时，可退出并重新启动客户端，再查看内核启动日志是否报错。
4. 核对监听地址。仅出现 127.0.0.1:10808 时，其他设备仍无法连接；0.0.0.0:10808 通常表示监听所有 IPv4 接口，也可使用电脑具体的局域网地址。

0.0.0.0 是监听范围，不是手机应填写的服务器地址。监听全部接口会扩大入口可达范围，因此下一步必须限制防火墙来源。如果使用自定义配置，界面开关不一定会改写其中的入站字段，应检查实际生成或加载的内核配置。

用系统命令核对监听结果

Windows 可在 PowerShell 执行第一组命令；macOS 可在终端执行第二组命令。这里检查两个常见端口，如果实际端口不同，请相应替换。没有 10809 的监听结果并不一定是故障，混合端口配置可能只需要 10808。

# Windows PowerShell
Get-NetTCPConnection -State Listen |
  Where-Object { $_.LocalPort -in 10808,10809 } |
  Select-Object LocalAddress,LocalPort,OwningProcess

# macOS 终端
lsof -nP -iTCP:10808 -sTCP:LISTEN
lsof -nP -iTCP:10809 -sTCP:LISTEN

四、防火墙只放行可信设备

Windows 家庭网络可在确认可信后设为「专用网络」。打开「高级安全 Windows Defender 防火墙」→「入站规则」→「新建规则」→「自定义」，限定实际内核程序、TCP 协议与使用中的本地端口。在「作用域」中把远程 IP 限定为手机地址或家庭子网，并只勾选「专用」配置文件。

• 单设备示例：只允许手机 192.168.1.35 访问电脑 TCP 10808，适合固定一台设备使用。
• 家庭子网示例：确认网络掩码为 255.255.255.0 时，192.168.1.0/24 表示该子网；不要照抄到地址范围不同的网络。
• 端口范围：仅混合端口 10808 就能满足需求时，无需额外开放 10809，也无需为普通 HTTP 网页测试开放 UDP。

macOS 可在「系统设置」→「网络」→「防火墙」→「选项」检查应用访问权限。防火墙弹窗可能对应实际接收连接的内核程序，而不只是 v2rayN 窗口程序。允许可信程序接收传入连接后再测试；系统应用防火墙不提供与 Windows 相同的逐源地址规则界面，需要更细限制时，应使用路由器访问控制或经过审慎配置的系统过滤规则。

若端口仍不可达，检查路由器是否启用了访客网络隔离、AP 隔离或无线客户端隔离。电脑接网线、手机接 Wi-Fi 本身不是问题，但两者需要处于允许互访的网络中。跨子网也可以工作，不过必须有正确的路由和访问控制，初次设置建议先在同一家庭子网验证。

五、手机、平板与电视填写方法

安卓设备通常在「设置」→「网络和互联网」→「互联网」→ 当前 Wi-Fi 的编辑选项中，将「代理」改为「手动」。部分厂商把这一项放在「高级选项」。服务器主机名填写电脑局域网地址，端口填写已确认支持 HTTP 的入口，不要把 http:// 前缀、端口和地址一起塞入主机名栏。

电视或安卓平板如果提供 Wi-Fi 代理设置，可以填写同样的字段。部分电视仅在无线连接时展示代理选项，部分应用则完全忽略系统 HTTP 代理；此时不能靠更改端口解决。使用端应用若有独立 SOCKS 设置，可按实际入站协议填写 10808，但这不代表电视的所有流量都会经过代理。

1. 保存设置后，先用遵循系统代理的浏览器打开一个已知可访问的 HTTPS 页面。
2. 同时查看电脑内核连接日志，确认确实出现来自使用端的请求，再核对命中的路由与出站标签。
3. 若浏览器成功、某个应用失败，检查该应用是否支持系统代理，而不是立即修改电脑节点。
4. 停止共享前，把设备 Wi-Fi 代理恢复为「无」；否则电脑关机后，该设备可能继续向失效的代理地址发送请求。

不必为了填写 Wi-Fi 代理再启动安卓端的 v2rayNG 或 v2flyNG。本方案由电脑提供入口；如果同时运行安卓端 VPN 接管，应单独核对其路由，避免请求路径变复杂而难以判断问题来源。

六、按端口、协议、路由顺序排查

有另一台 Windows 电脑时，可用 Test-NetConnection 192.168.1.20 -Port 10808 测试端口连通性。TcpTestSucceeded 为真只代表 TCP 握手完成，不能证明 HTTP 协议匹配或远端节点可用。不要把单次 ping 失败等同于代理端口被阻断，因为系统可能单独阻止 ICMP。

有 curl 的设备可执行下列请求，验证已确认的 HTTP 或混合入口。此处的 5 秒连接超时和 15 秒总超时只是诊断参数，不是速度承诺。最好从另一台设备发起，才能覆盖局域网和入站防火墙这一段路径。

curl --proxy http://192.168.1.20:10808 --connect-timeout 5 --max-time 15 -I https://example.com/