这份 VPN新手名词速查从最常见的使用链路开始：先取得订阅，把配置导入客户端，再选择节点、协议和分流模式，最后验证流量是否按预期经过线路。很多看似复杂的术语，其实只是在描述这条链路中的不同环节。把它们混在一起，故障就很难定位；把角色拆开，绝大多数问题都能顺着链路检查。
先给出最短结论：订阅不是客户端，节点不是协议，线路名称也不等于真实网络路径。全局模式决定哪些流量进入代理，协议决定客户端怎样与服务器通信，DNS 则负责把域名转换成地址。任何一环配置不匹配，都可能表现为“已经连接，但网页仍打不开”。
先用一张表分清常见名词
| 名词 | 它是什么 | 它不是什么 | 遇到问题先检查什么 |
|---|---|---|---|
| 订阅 | 由服务端维护的一组节点配置，通常通过订阅链接交给客户端更新 | 不是负责建立连接的应用程序 | 链接是否完整、是否过期、客户端是否成功更新 |
| 客户端 | 读取配置、建立隧道并执行路由规则的软件 | 不是线路本身 | 是否支持对应协议，系统权限是否开启 |
| 节点 | 一条可被客户端选择的服务器配置入口 | 不一定代表独占服务器或固定物理路径 | 地址、端口、认证信息和协议是否匹配 |
| 协议 | 客户端与服务端约定的数据封装、认证和传输方式 | 不是速度等级，也不是地区名称 | 客户端内核是否兼容，相关参数是否齐全 |
| 线路 | 从本地入口到目标出口之间的网络路径与调度方式 | 不是单看节点名称就能完全确认的属性 | 出口地区、路由稳定性和实际应用表现 |
| 分流 | 按照域名、地址、应用或规则集决定代理、直连或拒绝 | 不是同时连接多个节点的同义词 | 规则顺序、匹配结果和最终兜底策略 |
| DNS | 把域名解析为网络地址的系统 | 不是传输网页内容的协议 | 查询由谁发送、结果是否被规则正确处理 |
订阅、客户端与节点是什么关系
订阅是配置清单，不是安装包
订阅链接通常返回一组经过编码或结构化处理的节点信息。客户端读取这些信息后，才能显示地区、协议和节点名称。服务端调整入口或更新参数时，用户在客户端执行“更新订阅”，本地配置才会同步变化。复制订阅链接后应把它视为访问凭据，不要发布在论坛、截图或公开文档中。
订阅更新失败不代表所有已有节点立刻失效。客户端可能仍保留上一次成功下载的本地副本，但旧配置是否还能连接取决于服务端状态。反过来，订阅成功也不等于节点一定可用：它只说明配置清单已经被客户端读取。
客户端负责把配置变成连接
客户端承担协议实现、认证、流量接管、DNS 处理和分流规则执行。不同平台的客户端界面差异很大，但底层任务相近。桌面系统通常可选择系统代理或 TUN；移动系统往往通过系统提供的 VPN 权限创建虚拟网络接口。看到系统状态栏出现 VPN 标记，只说明接口已经建立，不能单独证明出口地区和 DNS 路径都符合预期。
节点是一份可连接配置
一条节点配置通常包含服务器地址、端口、协议类型、认证信息以及协议所需的附加参数。用户点选节点，本质上是让客户端使用这组参数建立会话。节点名称可以写地区、用途或线路标签，但名称由提供方定义，不能只凭名称判断底层路由。
- ✅ 订阅链接只导入受信任的客户端，并按凭据管理
- ✅ 更新订阅后检查节点列表是否实际发生同步
- ✅ 导入前确认客户端支持订阅中的协议类型
- ❌ 不把“订阅已更新”直接当成“所有节点均可连接”
- ❌ 不根据节点名称单独推断完整网络路径
直连、中转与 IEPL 专线怎样区分
线路描述的是数据从用户侧到出口侧所经过的路径。即使出口都在同一地区，入口位置、运营商互联、跨境段和拥塞情况不同，实际体验也会不同。测速只能反映测试当时的网络状态，不能替代对长期路由与具体应用的观察。
直连线路
直连通常表示客户端直接连接目标服务器入口，中间不经过服务商额外部署的转发入口。它的结构较简单，但跨网互联质量更依赖本地运营商、目的地网络和当时路由。这里的“直连”不表示数据在互联网中没有经过路由设备，而是指服务架构中没有额外配置中转层。
中转线路
中转会先连接较近或互联条件较合适的入口，再由入口转发到目标出口。这样可以把不稳定的公网路径拆成不同区段进行调度。中转不天然等于更快：入口负载、转发链路、出口质量和本地网络都会影响结果。它的优势在于路径可调度，代价则是架构更复杂。
IEPL 专线
IEPL 通常指国际以太网专线类连接，用于构建相对可控的跨境传输区段。在加速服务中，用户侧到入口的接入仍可能经过本地公网，之后的部分路径再进入专线。因而“IEPL 节点”不应被理解为从设备到目标站点的每一段都完全脱离公网。具体接入边界与出口架构应以服务方说明为准。
| 线路类型 | 典型路径 | 主要特点 | 适合怎样判断 |
|---|---|---|---|
| 直连 | 本地网络直接访问远端入口 | 结构简单，更依赖公网互联质量 | 观察本地运营商到该地区的持续表现 |
| 中转 | 本地网络先到转发入口，再到出口 | 路径可调度，入口与转发层都会影响体验 | 用实际应用测试稳定性，不只看一次延迟 |
| IEPL | 公网接入与专线区段组合 | 部分跨境路径更可控，边界取决于具体架构 | 确认入口、出口和专线覆盖的是哪一段 |
常见协议分别解决什么问题
协议规定客户端与服务器如何封装数据、完成认证并传输流量。客户端只支持某个协议名称还不够，相关传输层、TLS、服务器名称或拥塞控制参数也必须兼容。导入后显示“未知协议”，通常是客户端内核较旧或配置格式不匹配，而不是节点地区的问题。
Shadowsocks
Shadowsocks 是轻量的加密代理协议，配置核心通常包括服务器、端口、密码和加密方法。它实现广泛，适合常规代理场景。不同实现对加密套件和插件的支持并不完全相同，因此旧客户端可能无法读取由新实现生成的配置。
VMess 与 VLESS
VMess 常见于 V2Ray 生态，协议本身包含身份认证与数据封装机制，并可搭配不同传输方式。VLESS 的设计更精简，不依赖协议自身提供完整的数据加密，实际部署通常结合 TLS 或其他安全传输层。两者名称相近，但配置字段与认证逻辑不同，不能直接互换。
Trojan
Trojan 通常运行在 TLS 之上，配置中常见服务器地址、认证密码、服务器名称和证书校验相关参数。客户端需要正确验证证书与服务器名称。为了临时排错而关闭证书校验会削弱连接验证，不应作为长期设置。
Hysteria2 与 TUIC
Hysteria2 和 TUIC 都以 QUIC 与 UDP 传输为重要基础，侧重在复杂链路中改善传输调度和连接体验。它们并不是在任何网络下都优于基于 TCP 的方案。若当前网络限制 UDP、路由器对 UDP 会话处理不佳，连接可能失败或退化，此时应切换兼容的协议与线路，而不是反复修改无关的分流规则。
| 协议 | 常见基础 | 兼容检查重点 | 常见误区 |
|---|---|---|---|
| Shadowsocks | 加密代理 | 加密方法、插件与客户端实现 | 认为所有同名客户端都支持相同配置 |
| VMess | V2Ray 生态中的认证与封装 | 传输方式、身份参数与内核版本 | 与 VLESS 配置直接互换 |
| VLESS | 精简认证，常结合安全传输层 | TLS、服务器名称与传输参数 | 忽略外层安全传输配置 |
| Trojan | TLS 连接与密码认证 | 证书、服务器名称与时间状态 | 长期关闭证书验证 |
| Hysteria2 | 基于 QUIC 与 UDP 的传输 | UDP 可达性、认证和带宽参数 | 把协议名称等同于固定速度 |
| TUIC | 基于 QUIC 与 UDP 的代理传输 | 客户端版本、UDP 与证书配置 | 忽略当前网络对 UDP 的限制 |
全局、规则与直连模式如何选择
连接成功后，客户端还要决定哪些请求送入节点。这就是路由模式。常见界面会写成全局、规则、直连，有些客户端则使用代理、规则、直连等近似名称。这里的“全局”通常指被客户端接管的流量统一走代理，不一定表示设备中所有程序、所有协议都已被接管。
全局模式
全局模式适合排查规则是否造成访问异常。若某个站点在全局模式可用、规则模式不可用，问题多半在域名分类、地址匹配、DNS 解析或规则顺序。长期使用时，全局模式可能让本地服务和不需要跨境访问的应用也经过远端出口，因此应结合实际需求选择。
规则模式
规则模式会依次匹配域名、网络地址、进程或规则集，并决定代理、直连或拒绝。规则通常有顺序，前面已经命中的请求不会继续向后匹配。最终兜底规则也很关键：未被识别的请求究竟直连还是代理，取决于客户端配置，而不是“规则模式”这个名称本身。
直连模式
直连模式一般表示流量不经过所选节点。它可以用于暂停代理效果、访问局域网资源或对比故障。但客户端处于直连模式时，虚拟接口仍可能保持开启，所以判断是否经过远端出口，应查看连接日志、规则命中结果与出口信息，而不是只看系统图标。
- ✅ 某网站异常时先用全局模式对比，判断是否属于规则问题
- ✅ 检查目标域名与其关联域名分别命中了哪条规则
- ✅ 确认兜底策略是代理、直连还是拒绝
- ✅ 本地设备与局域网资源按需要保留直连
- ❌ 不把“规则模式”理解为客户端会自动识别全部业务
系统代理、TUN 与应用内代理有何差异
系统代理是操作系统向应用提供的代理设置。遵循该设置的浏览器和应用会把支持的请求交给客户端，但部分程序可能忽略系统代理，或者只代理网页协议。于是会出现浏览器正常、某个桌面应用仍直连的情况。
TUN 模式通过虚拟网络接口接管更广泛的网络流量，再由客户端根据路由规则处理。它通常更适合不读取系统代理设置的应用，但需要系统授权，也可能与其他网络工具、虚拟机、企业安全软件或已有 VPN 接口发生路由冲突。开启 TUN 后仍应配置局域网绕过和 DNS 策略，避免本地服务无法访问。
应用内代理则只对该应用生效。例如浏览器单独填写本地代理端口，其他程序不会自动使用相同连接。这种方式范围清晰，适合测试，但维护多个应用配置会比较繁琐。退出客户端后，若应用仍保留代理地址，就可能表现为完全无法联网。
DNS 泄漏和解析异常是什么意思
访问域名前，设备通常要先查询对应网络地址。DNS 泄漏是指用户期望查询经由指定的受控路径处理，但请求实际被本地网络或其他解析器直接发送。它可能暴露正在查询的域名，也可能导致解析结果与代理出口地区不一致。
DNS 问题并不总表现为“完全打不开”。常见现象还包括域名访问失败但直接访问地址有响应、同一节点下不同应用结果不一致、切换线路后仍使用旧缓存，或者规则依据域名判断时却只拿到已经解析的地址。客户端中的远程 DNS、本地 DNS、加密 DNS、虚拟地址映射等选项解决的是不同环节，不宜在不了解含义时全部开启。
排查时先确认查询由操作系统、浏览器还是客户端发起，再看查询流量是否被 TUN 或系统代理接管。部分浏览器会使用自身的安全 DNS 设置，它可能绕过操作系统的默认解析路径。修改 DNS 后还要考虑系统与浏览器缓存，否则旧结果会让新设置看起来没有生效。
- ✅ 确认客户端是否接管 DNS 查询以及使用哪个解析器
- ✅ 检查浏览器是否启用了独立的安全 DNS 配置
- ✅ 切换策略后清理相关缓存并重新建立连接
- ✅ 对照规则日志确认域名与解析地址的命中结果
- ❌ 不用“节点能连通”替代 DNS 路径检查
从导入订阅到验证生效的正确顺序
新手最容易在多个设置之间来回切换，最后无法确认是哪项修改起作用。更稳妥的方式是一次只验证一个环节，按照配置、连接、路由、DNS、应用的顺序向下检查。
- 选择兼容客户端。先确认客户端明确支持订阅中的协议和配置格式。若客户端无法识别协议，后续选线和分流都没有意义。
- 导入并更新订阅。粘贴完整订阅链接，等待客户端返回成功状态，再检查节点列表是否出现。不要把订阅链接放进不明来源的转换网页。
- 选择节点并建立连接。先使用客户端默认参数，不要同时修改传输层、证书、DNS 与路由选项。若连接失败，优先查看协议错误和握手日志。
- 用全局模式做基础验证。确认客户端到服务器可以传输数据，并检查出口地区是否符合所选节点。此步骤用于排除分流规则干扰。
- 切回规则模式。测试常用网站和应用，查看代理、直连与拒绝规则是否按预期命中。异常时记录域名和命中项。
- 检查 DNS 路径。确认解析请求与出口策略一致，并留意浏览器独立 DNS、缓存和虚拟接口之间的影响。
- 再调整平台接管方式。浏览器可先测试系统代理；不遵循系统代理的程序再考虑 TUN。每次修改后都重新验证。
新手还需要记住哪些边界
延迟、带宽、抖动和丢包不是同一个指标。延迟反映往返时间，带宽描述单位时间可传输的数据量，抖动表示延迟变化，丢包则会触发重传或直接影响实时数据。节点列表中的延迟通常只是客户端到入口的探测结果，不能完整代表视频、下载或远程会议的最终表现。
同一节点在不同网络和设备上可能出现不同结果。家庭宽带、公共 Wi-Fi、企业网络和移动网络的路由与限制不同；桌面端、安卓与其他移动平台对后台运行、虚拟接口和系统代理的处理也不同。因此，复用配置时要同时检查平台权限与客户端实现，不能只复制节点名称。
最后，连接工具改变的是部分网络流量的传输路径，不会自动替用户判断网站可信度，也不能替代账号安全、软件更新和证书验证。看到客户端提示证书错误、系统时间异常或配置来源不明时，应先处理这些基础问题，而不是通过关闭验证来让连接继续。