v2rayNG 的设置大致分成几块：模式决定怎么接入，分应用和路由规则决定哪些流量走代理，DNS 和局域网选项管相关的网络处理。下面按正式版 2.3.11 的中文界面名称说明，2.2.6 的不同叫法写在括号里。2.3.11 的发布说明写明界面迁移到了新的界面框架，各项的显示位置本文没有逐项核对，名称取自该版本的中文字符串资源。
VPN 与仅代理模式的差别在接入方式
「模式：VPN / 仅代理」提供两种工作方式。仅代理模式用的是本机代理端口，其他应用要你自己手动设置。
官方 Wiki 对仅代理模式的说明是：少一层 DNS，更省电，也更省内存，其他应用还可以使用系统 VPN；代价是要手动配置。本机 SOCKS 和 HTTP 代理地址都是 127.0.0.1:10808，在要连代理的应用里填这个地址即可。
分应用代理可以限定应用范围
「分应用」用来选择哪些应用走代理。
2.3.11 的入口叫「分应用代理」（2.2.6 叫「分应用」），开关是「启用分应用」，并有「绕行模式」。界面对两种模式的说明是：常规模式下，勾选的应用走代理，未勾选的直连；开启绕行模式后反过来，勾选的直连，未勾选的走代理。所以改勾选列表之前，先看清自己用的是哪种模式，再确认目标应用落在哪一边。
路由预设决定规则采用的范围
在「路由设置」里点「导入预定义规则集」可以选预设。导入会删除现有规则集，界面会先让你确认。2.3.11 里规则可以锁定，界面写明锁定的规则在导入预设时不会被删除。
预设名称和英文对照是：「绕过大陆」对应 Whitelist，「黑名单」对应 Blacklist，「全局」对应 Global。另外还有「伊朗」和「俄罗斯白名单」两个预设。预设里没有叫「绕过局域网」的规则集；局域网绕过是 VPN 设置里的单独选项，不在路由预设里。
局域网绕过与 DNS 是分开的选项
「VPN 是否绕过局域网」有「跟随配置」「绕过」「不绕过」三个选项，用来决定 VPN 怎么处理局域网流量。
别把这一项和路由预设混在一起。DNS 方面，2.3.11 有「启用本地 DNS」和「启用伪造 DNS (FakeDNS)」两个选项（后者在 2.2.6 叫「启用虚拟 DNS」）。界面提示，FakeDNS 在解析域名时返回虚构的 IP 地址，速度更快，但可能不适用于某些应用。
开机连接和证书验证也有版本条件
开机自连可能被 Android 的后台启动限制挡住；证书验证在 2.2.x 里也换了做法。
开机自连这一项在 2.3.11 里叫「设备启动后自动连接」（2.2.6 叫「开机时自动连接」）。界面提示 Android 可能限制后台启动，所以不能保证每台设备开机后都会自动连上。证书方面，2.3.11 的界面里仍有「跳过证书验证 (allowInsecure)」字段，但应用提示写明：使用未加密连接的节点无法再用 26.2.6 及以上版本的 Xray 核心连接，自建节点应启用 TLS 或固定证书（pinnedCA256）；发布说明还附了一篇关于 allowInsecure 被移除的说明。证书指纹字段在界面里叫「证书指纹 (SHA-256)」，值按你手上的配置信息填写。
继续了解 v2rayNG 导入订阅，或查看不同设备对应的 V2Ray 客户端怎么选。
常见问题
仅代理模式的本机地址是什么？
本机 SOCKS 和 HTTP 代理地址都是 127.0.0.1:10808。用仅代理模式时，其他应用要手动设置这个本机代理。
局域网绕过是路由预设吗？
不是。路由预设里没有「绕过局域网」；「VPN 是否绕过局域网」是单独的设置，选项有跟随配置、绕过和不绕过。
为什么开机后没有自动连接？
Android 可能限制应用在后台启动，所以开机自连不一定在每台设备上都有效。
allowInsecure 还能在哪里设置？
2.3.11 的界面里仍有「跳过证书验证 (allowInsecure)」字段，但应用提示说明这类未加密连接的节点无法再用 26.2.6 及以上版本的 Xray 核心连接，应改用 TLS 或固定证书（界面里叫「证书指纹 (SHA-256)」）。具体说明见发布说明里链接的那篇讨论。