这份 VPN 新手名词速查按实际使用顺序展开：先获得订阅链接，再导入客户端、选择节点、确认协议，最后决定使用分流、全局还是规则模式。很多连接问题并不是线路本身失效，而是把“订阅”“节点”“协议”和“运行模式”当成同一件事，排错时改错了位置。
理解这些概念不需要先研究复杂的网络理论。只要分清“配置从哪里来”“流量准备走哪里”“客户端怎样承载流量”“哪些请求需要经过线路”，大多数设置项就能看懂。不同平台的按钮名称可能不同，但背后的工作层次基本一致。
先看懂从订阅到连接的完整链路
一次正常连接通常包含几层彼此独立的配置。订阅负责向客户端提供节点资料；节点描述一个可选择的接入目标；协议规定客户端与服务端怎样通信；线路类型说明数据离开接入端之后经过怎样的网络路径；分流规则则决定某个请求是否需要交给节点处理。
| 名词 | 它解决的问题 | 常见误解 | 排错时先看哪里 |
|---|---|---|---|
| 订阅 | 把可用配置交给客户端，并允许后续更新 | 把订阅地址当成普通网页打开 | 订阅是否导入成功、是否完成更新 |
| 节点 | 提供一个具体的接入配置 | 认为同一地区的节点路径一定相同 | 节点名称、地区、协议与连接状态 |
| 协议 | 约定客户端与服务端如何交换数据 | 只凭协议名称判断实际速度 | 客户端是否支持对应协议及传输方式 |
| 线路类型 | 描述接入之后所走的网络路径 | 把线路类型和协议混为一谈 | 直连、中转或 IEPL 专线标记 |
| 分流规则 | 判断请求走节点还是直接连接 | 认为开启客户端后所有流量都会自动经过节点 | 规则匹配结果和当前运行模式 |
订阅链接是什么，为什么要导入客户端
订阅链接是一段由服务商生成、供客户端读取的配置地址。它可能返回节点列表，也可能返回包含分组、规则和 DNS 设置的完整配置。浏览器直接打开后出现文本、下载提示或无法阅读的内容，并不代表链接损坏，因为它的主要使用者是兼容的客户端，而不是网页浏览器。
导入时，客户端会请求订阅内容，解析其中的服务器地址、端口、协议参数和节点名称，然后保存为本地配置。以后执行“更新订阅”，客户端会重新获取服务端提供的版本。更新通常会同步新增、调整或移除的节点，但本地手动修改是否保留，取决于客户端的合并方式。
- 在服务页面复制订阅链接，不要截取其中一部分。
- 打开适配当前平台的客户端，找到订阅、配置或配置文件入口。
- 选择从 URL 导入，将完整链接粘贴到对应输入框。
- 保存后执行更新，确认客户端中出现节点或策略组。
- 选中节点，再开启系统代理或 TUN 等接管方式。
- 用实际需要访问的网站或应用验证分流结果。
订阅链接通常带有用于识别订阅的凭据，应当像密码一样妥善保存。把链接发到公开论坛、截图展示完整地址，或导入来源不明的在线转换工具，都可能让配置被他人读取。如果怀疑链接已经外泄，应在服务页面重置订阅，而不是只在客户端删除旧配置。
节点、服务器和线路类型不是同一个概念
客户端里的“节点”是一组可被选择的连接参数。它通常包含显示名称、服务端地址、连接端口、协议及认证信息。节点名称中常见的地区、线路或用途标签，是帮助选择的说明，不代表节点名称本身参与网络传输。
“服务器”偏向实际承载服务的主机或入口。“节点”则是用户在客户端看到的配置单位。同一台服务器可以承载不同协议配置，同一地区也可能存在多条完全不同的线路。因此，看到两个节点都写着同一个城市，不能据此认定它们的入口、出口和中间路径一致。
直连、中转与 IEPL 专线分别表示什么
直连表示客户端直接连接目标服务器入口，中间不经过服务商设置的额外转发层。它的结构清楚，但体验会更直接地受到本地运营商路由、跨网互联和国际出口波动影响。
中转线路会先连接较近或较容易到达的入口，再由中转网络送往出口。中转的价值在于调整网络路径，而不是改变应用层协议。中转入口稳定时，可以绕开部分不理想的公网路由；如果中转环节本身拥塞，额外路径同样可能成为瓶颈。
IEPL 专线通常指借助专用国际以太网连接承载跨境段，再结合入口和出口完成接入。它与“使用哪个代理协议”是两回事：VLESS 节点可以建立在不同线路上，Trojan 节点也可以使用直连、中转或专线接入。协议名称不能替代线路说明。
Shadowsocks、VMess、Trojan、VLESS、Hysteria2 与 TUIC 怎么看
协议规定客户端和服务端如何建立会话、认证并传输数据。协议会影响兼容性、传输特征、对 TCP 或 UDP 的利用方式以及客户端配置，但不能单独决定最终速度。实际体验还受线路路径、服务端负载、本地网络、拥塞控制和应用流量类型影响。
| 协议 | 核心特点 | 配置时注意 | 常见适用判断 |
|---|---|---|---|
| Shadowsocks | 结构相对简洁的加密代理协议，生态成熟 | 加密方法、密码及插件参数需要与服务端一致 | 客户端广泛支持时，适合作为通用连接选项 |
| VMess | 常见于 V2Ray 生态，可配合不同传输层使用 | 身份参数、传输方式和时间状态都可能影响连接 | 已有兼容配置时可继续使用，不应只看名称判断性能 |
| Trojan | 常与 TLS 结合，通过标准加密连接承载数据 | 域名、证书校验和服务端名称需要正确匹配 | 适合客户端完整支持 TLS 参数的配置 |
| VLESS | 认证层较轻，可组合 TCP、WebSocket、gRPC 等传输方式 | VLESS 只是其中一层，TLS、REALITY 和传输参数也要对应 | 适合使用较新 Xray 生态配置的场景 |
| Hysteria2 | 基于 QUIC 与 UDP，重视复杂网络下的传输表现 | 本地网络若限制 UDP，可能无法发挥作用或直接连接失败 | 可用于丢包、抖动较明显且 UDP 可用的网络 |
| TUIC | 同样以 QUIC 和 UDP 为基础，支持并发数据承载 | 需要客户端版本、认证参数和拥塞控制设置兼容 | 适合服务端明确提供且当前网络允许 UDP 的情况 |
WebSocket、gRPC、TCP、QUIC 等词经常与协议并列出现，但它们可能处于不同层次。例如 VLESS 可以承载在不同传输方式之上，TLS 或 REALITY 又负责连接校验和加密封装。导入订阅后，通常不需要手动重组这些参数；如果自行修改其中一项而服务端没有对应配置，连接就会失败。
所谓“协议越新越快”并不是可靠规则。Hysteria2 和 TUIC 依赖 UDP，在允许 UDP 且网络抖动明显的环境中可能更合适；在 UDP 受限的办公网络、公共网络或特殊接入环境里，基于 TCP 的配置反而更容易建立连接。正确做法是保留可用的备选协议，并结合当前网络测试。
全局模式、规则模式与直连模式怎样切换
运行模式解决的是“哪些流量交给节点”。它与节点使用什么协议无关。同一个 VLESS 节点可以在规则模式下使用，也可以在全局模式下使用。切换模式不会自动改变节点的线路，只会改变客户端对请求的处理决定。
规则模式：日常使用的常见选择
规则模式会根据域名、IP、应用、端口或规则集合判断流量走向。常见目标是让本地服务直接连接，让需要国际线路的请求经过节点。这样既能减少不必要的绕行，也能避免部分本地网站因为出口地区变化而触发额外验证。
规则一般按顺序匹配，先命中的规则生效。客户端中的“代理”“直连”“拒绝”通常代表不同处理动作；策略组则允许多个节点共同成为某条规则的目标。如果某个网站走错路线，应查看连接日志中的命中规则，而不是只检查当前选中的节点。
DOMAIN-SUFFIX,example.com,PROXY
DOMAIN-SUFFIX,local.example,DIRECT
PROCESS-NAME,browser,PROXY
MATCH,DIRECT上面的内容只是帮助理解规则结构的中性示例：域名后缀可以指定走代理或直连，应用进程也可以单独指定策略，最后的 MATCH 负责处理前面没有匹配到的请求。不同客户端使用的字段名称和语法并不完全相同，不能把一套格式直接粘贴到所有应用中。
全局模式：适合临时判断是否为规则问题
全局模式通常把客户端已经接管的流量统一交给当前节点。它适合短时间排错：如果规则模式无法访问，而全局模式可以访问，问题大概率在规则匹配、DNS 结果或策略组选取；如果全局模式也失败，则应继续检查节点、协议和本地网络。
“全局”并不必然等于设备上的每一份流量。只开启系统代理时，不遵循系统代理的应用仍可能直连；未被 TUN 接管的流量、独立实现的网络栈或特殊系统服务，也可能绕过客户端。因此，全局描述的是客户端内部的决策模式，不是对整个设备流量范围的绝对说明。
直连模式：快速恢复本地网络路径
直连模式会让已接管的请求不再经过远端节点。它适合验证某个本地网站是否因为绕行而异常，也可以在暂时不需要国际线路时使用。若要完全停止接管，还应关闭系统代理或 TUN；只把策略切成直连，客户端进程本身通常仍在运行。
系统代理、TUN 与 DNS 泄漏分别管什么
系统代理是在操作系统中写入代理地址，让遵循该设置的应用把 HTTP 或 SOCKS 请求交给客户端。浏览器和多数常规应用通常能够读取系统代理，但部分游戏、命令行程序、独立运行时或自行实现网络连接的应用可能忽略它。
TUN 模式会创建虚拟网络接口，在 IP 层接管更广范围的流量，再由客户端执行路由和分流。它更适合不支持系统代理的应用，也更容易统一处理 TCP、UDP 和 DNS 请求。不过，TUN 往往需要系统网络权限，并可能与其他网络过滤工具、企业安全软件或已有虚拟网卡发生路由冲突。
DNS 负责把域名转换为 IP 地址。所谓 DNS 泄漏，通常是指本应由客户端规则或加密线路处理的域名查询，却通过本地运营商或其他未预期的解析路径发出。这样不仅可能暴露查询目标，还可能得到与节点出口地区不匹配的解析结果，导致网站跳错地区、连接到不合适的地址，或者出现页面能打开但内容不可用的情况。
处理 DNS 问题时，要同时检查客户端 DNS 设置、系统解析设置和浏览器中的加密 DNS。浏览器若独立指定解析服务，可能绕开客户端原本的分流设计；客户端若使用 Fake IP 或增强模式，则需要对应的嗅探、映射和排除规则。不要把所有解析异常简单归因于节点，因为节点可连接并不代表 DNS 路径一定正确。
Windows、macOS、Android 与 iOS 客户端差异怎么看
各平台客户端的核心任务相同，但权限模型不同。Windows 客户端常同时提供系统代理、虚拟网卡和服务模式；macOS 客户端需要配合系统网络扩展或代理权限；Android 通常通过系统 VPN 接口建立本地隧道；iOS 与 iPadOS 则依赖系统允许的网络扩展能力。界面上都可能显示“连接”，实际接管范围仍由当前模式决定。
桌面端更容易看到连接日志、规则命中和 DNS 查询，适合排查订阅解析与路由问题。移动端受后台调度和省电策略影响，应用切到后台、网络在无线连接与移动网络之间变化时，系统可能重新建立隧道。此时短暂断线不一定代表订阅失效，可以先回到客户端确认系统隧道状态。
同一个订阅在不同客户端中显示内容不同，也不一定是配置丢失。完整配置客户端可能展示策略组、规则和 DNS 模块；仅支持节点订阅的客户端可能只提取服务器条目。某些协议或传输方式需要较新的内核支持，客户端能够导入节点名称，却未必能够成功建立对应连接。
选择客户端时，应优先核对订阅格式、协议支持、系统代理与 TUN 能力、规则语法以及日志是否清楚。不要只根据界面是否相似判断兼容性。服务页面明确提供的客户端与配置方式，通常更容易保持参数一致。
遇到连接问题时按层排查，不要同时改完所有设置
有效排错依赖对照。一次只改变一个条件，才能知道问题出在订阅、节点、协议、线路、模式还是 DNS。如果同时更新订阅、切换协议、开启 TUN、替换规则并改动系统 DNS，即使连接恢复，也无法判断真正原因，下次遇到同类问题仍要从头尝试。
- ✅ 先确认订阅能够更新，客户端中能看到完整节点名称。
- ✅ 选择一个明确支持的节点，查看连接日志是否完成握手。
- ✅ 同地区节点异常时，换不同线路类型做对照。
- ✅ 规则模式异常时，短暂切换全局模式判断是否误匹配。
- ✅ 浏览器可用而其他应用不可用时，检查系统代理接管范围，并评估是否需要 TUN。
- ✅ 页面地区不符或域名解析异常时，检查客户端、系统与浏览器的 DNS 路径。
- ❌ 不要随意修改订阅自动生成的认证、TLS、传输层或服务端名称。
- ❌ 不要把订阅链接粘贴到来源不明的转换页面或公开内容中。
如果日志显示订阅请求失败，问题发生在配置获取阶段；如果节点存在但握手失败，应检查协议兼容、本地网络限制与节点状态；如果握手成功但特定网站不可用，应继续看规则、DNS 和目标网站自身限制。按层次判断，比反复点击连接按钮更有效。
把名词放回实际操作，形成稳定的使用习惯
新手最容易把“客户端显示已连接”当成全部完成。更准确的判断应包含几件事：订阅已经导入并能更新，选中的节点与当前网络兼容，系统代理或 TUN 确实接管了目标应用，分流规则把请求送到了预期策略，DNS 查询也没有绕到意外路径。
节点名称适合用来快速筛选，但最终仍要看用途。访问网页与使用 AI 工具更看重交互稳定；观看流媒体还涉及出口地区和平台识别；下载任务更关注持续传输与流量安排。不要因为某个节点在单一场景可用，就推断它在所有应用里都最合适。
协议也不需要频繁手动追新。订阅已经提供可工作的参数时，先使用服务端推荐配置。只有在当前网络出现 UDP 受限、TLS 校验失败、客户端内核不兼容等明确现象时，再切换协议或传输方式。参数越多，越应该减少无依据的改动。
规则模式适合长期保留，但规则需要更新。网站域名、内容分发地址和应用接口会变化，旧规则可能遗漏新域名。遇到“主页能开、登录或图片加载失败”时，可以查看失败请求的域名是否落入错误策略，而不是直接把整个设备长期改为全局模式。