VPN 名词速查：订阅、节点、线路、协议、分流一次讲明白

订阅、节点与线路分别是什么

订阅可以理解为一份持续更新的配置清单。用户将订阅链接导入兼容客户端后，客户端读取其中的节点名称、服务器地址、协议参数和认证信息。服务方调整节点时，用户通常只需更新订阅，不必逐项重新填写。

订阅链接本身可能带有访问凭据，应按账户密钥对待。不要公开粘贴到论坛、截图或共享文档，也不要导入来源不明的网页转换工具。需要更换客户端时，优先在可信设备间迁移，或者回到服务面板重新获取。

节点是客户端中可选择的一条连接配置。节点名称往往包含地区、城市或线路标签，但名称只是识别信息，真正决定连接的是服务器地址、协议与认证参数。同一地区可以存在多个节点，它们可能采用不同入口、出口或传输路径。

线路描述的是数据从本地到出口之间经过的网络路径。节点是客户端里“选哪一个”的对象，线路则解释这个节点“怎么走”。因此，节点数量多不等于路径一定更好；判断体验时，还要看目标地区、当地运营网络、跨境链路以及晚间拥堵情况。

直连、中转与 IEPL 专线的区别

直连线路通常指客户端直接连接境外服务端，数据主要经过公共互联网到达出口。它结构简单、链路环节少，但体验更依赖本地运营网络与跨境公共链路。某条直连线路在一个地区顺畅，不代表换到另一网络后仍有相同表现。

中转线路会先连接较近的入口，再由中转网络送往境外出口。入口与出口可以分别优化，服务方也更容易根据拥堵状况调整路径。代价是链路环节增加，任一中转段出现波动都可能影响整体连接。

IEPL 专线通常用于描述国际以太网专线类连接。它与普通公网直连的核心区别在于跨境骨干段采用专用承载，而不是完全依赖公共互联网的随机路由。需要注意，“专线节点”不等于从用户设备到目标网站的每一段都脱离公网；本地接入和最终出口仍可能包含公共网络。

• ✅ 本地网络稳定、目标地区较近时，可以先尝试直连线路。
• ✅ 公网跨境段容易波动时，可比较中转与 IEPL 专线节点。
• ✅ 访问特定地区内容时，先确认出口地区，再判断线路类型。
• ❌ 不要只按节点名称中的“高速”字样判断实际体验。
• ❌ 不要把客户端显示的连接成功等同于目标网站一定可访问。

Shadowsocks、VMess、Trojan、VLESS怎么理解

Shadowsocks是一类加密代理协议，配置相对简洁，客户端支持广泛。它主要负责代理应用流量，并不天然接管设备上的所有连接。是否能够覆盖更多程序，取决于客户端有没有启用系统代理、虚拟网卡或相应的转发能力。

VMess常见于 V2Ray 生态，包含认证与传输配置。客户端导入后还可能显示传输层、TLS、WebSocket 等附加字段。它们必须与服务端配置匹配，不能因为某个选项看起来更先进就自行改动。

VLESS采用更精简的协议设计，常与 TLS、REALITY 或其他传输组合使用。VLESS 本身与承载它的传输方式是两个层次：前者处理协议与身份，后者决定数据如何在网络中传递。排查时应分别检查，不能只看“VLESS 已选择”。

Trojan通常通过 TLS 承载流量，外观接近常规加密连接。它仍然需要正确的证书、域名与服务端配置。使用 TLS 不代表线路质量自动提高，也不代表所有连接问题都会消失；TLS 主要解决传输加密与身份验证，网络拥堵属于另一层问题。

这些协议之间不存在脱离环境的固定优胜顺序。兼容性取决于客户端实现，连接表现取决于线路、传输层和当前网络。订阅已给出可用配置时，新手通常不需要手动改协议参数，只需确认客户端支持相应类型。

Hysteria2 与 TUIC适合什么网络

Hysteria2与 TUIC都常借助基于 UDP 的现代传输能力，重点应对高延迟、抖动或存在一定丢包的链路。它们可以减少部分传统传输在不稳定网络中反复等待的影响，但前提是当前网络能够正常承载 UDP。

某些办公网络、公共网络或受限路由环境会限制 UDP，此时客户端可能表现为连接超时、握手失败，或者刚连上便中断。遇到这类情况，不应直接认定节点离线；可以切换到基于 TCP 与 TLS 的兼容配置进行对照。如果替代协议可用，问题更可能位于 UDP 路径或相关转发设置。

这两类协议也不是“打开就更快”的开关。高吞吐会受服务端调度、本地 Wi-Fi、设备性能与目标站点限制。移动设备还要考虑后台保活和耗电，桌面设备则要确认防火墙是否允许客户端建立所需连接。

系统代理、TUN 与虚拟网卡有什么不同

系统代理是客户端把代理地址写入操作系统的网络设置。遵循系统代理的浏览器和应用会通过客户端转发，不读取系统代理的程序则可能继续直连。它启动快、影响范围容易理解，适合网页浏览和常规桌面软件。

TUN 模式通常通过虚拟网络接口接管更广泛的 IP 流量，再由客户端执行路由与分流。它能覆盖不支持系统代理的程序，也更适合需要统一处理多个应用的场景。与此同时，它对权限、路由表和 DNS 设置的要求更高，退出异常时可能需要客户端恢复网络配置。

虚拟网卡是实现这类接管能力的系统组件，不等同于某一种协议。客户端界面可能把 TUN、虚拟网卡和增强模式放在相近位置，因为它们都涉及更底层的流量捕获。若只需要浏览器访问，系统代理通常已经足够；若游戏启动器、命令行工具或其他程序不读取系统代理，再考虑 TUN。

1. 先使用系统代理确认节点本身能否连接。
2. 检查浏览器与常用应用是否已经正常访问。
3. 仅在部分程序未被接管时启用 TUN 或虚拟网卡。
4. 启用后重新检查本地服务、局域网设备和 DNS 解析。
5. 若出现断网，先退出客户端并让其恢复系统网络设置。

全局、规则与直连模式如何选择

全局模式通常表示客户端能够接管的流量统一交给当前节点处理。它便于测试：如果规则模式下某个网站无法访问，而全局模式可以，问题往往出在规则匹配或 DNS 判断。全局并不意味着设备内所有数据必然被接管，覆盖范围仍取决于系统代理或 TUN 设置。

规则模式会根据域名、IP、应用或规则集决定流量走向。常见结果包括代理、直连和拦截。规则模式更适合日常使用，因为本地服务和国内资源可以直连，需要国际线路的请求再进入节点，减少不必要的绕行。

直连模式一般表示请求不经过代理节点，可用于暂时停用转发或排查本地网络。客户端仍在运行不代表流量仍经过节点，因此检查连接状态时要同时看当前模式。

所谓“绕过局域网”是指访问路由器、打印设备或家庭存储时保持本地连接。若规则缺失，局域网请求被送入远端节点，就可能出现设备发现失败。规则更新后若发生异常，可以先切换全局与直连作对照，再检查自定义规则的优先级。

• ✅ 日常浏览优先使用维护正常的规则模式。
• ✅ 排查规则是否误判时，短暂切换全局模式作对照。
• ✅ 访问局域网设备时，保留本地网段直连规则。
• ❌ 不要长期堆叠来源不明、彼此冲突的规则集。
• ❌ 不要在不了解优先级时重复添加同一域名规则。

DNS 泄漏与解析路径怎么检查

DNS 负责把域名转换为网络地址。连接节点后，如果域名查询仍直接交给本地网络提供的解析服务，而实际网页流量从远端出口访问，就会形成解析路径与访问路径不一致的情况。通常所说的 DNS 泄漏，就是本应由隧道或代理侧处理的查询意外走了本地路径。

DNS 泄漏不只涉及隐私，也会影响可用性。内容服务可能根据解析来源返回不同地址；本地解析结果与出口地区不一致时，可能出现网页跳转、区域判断异常或连接到较远服务器。启用客户端的远程 DNS、加密 DNS 或 TUN DNS 接管，可以让解析与流量策略保持一致，但具体名称因客户端而异。

排查时先确认浏览器是否启用了独立的安全 DNS。浏览器自己的解析设置可能绕过客户端，也可能与客户端重复处理。随后检查系统中是否同时运行其他网络工具。多个工具争夺 DNS 或路由设置时，常见表现是连接成功但域名打不开，而直接访问已知地址仍有响应。

订阅导入与更新的正确步骤

订阅导入通常有两种方式：从剪贴板读取订阅链接，或者在客户端的订阅管理页面粘贴后更新。导入成功只说明客户端读到了配置，不代表每个节点都已完成连接验证。完成导入后，应先刷新列表，再选择与目标地区接近的节点建立连接。

如果客户端提示订阅格式不支持，常见原因是客户端与协议类型不匹配、链接复制不完整，或者系统时间异常导致安全连接验证失败。不要随意把订阅提交给在线转换网站。更稳妥的做法是使用服务面板推荐的客户端，或在本地可信工具中完成格式转换。

1. 从服务面板复制完整订阅链接，并避免在公开环境展示。
2. 在兼容客户端中打开订阅管理，而不是手动新增单个节点。
3. 完成导入后执行一次更新，确认节点列表已经出现。
4. 选择一个目标地区节点，连接后检查网页和 DNS 解析。
5. 以后节点发生调整时，先更新订阅，再判断是否需要重装。

“订阅更新失败”和“节点连接失败”也要分开。前者发生在客户端获取配置清单时，后者发生在使用某条配置建立连接时。旧节点仍可连接但无法更新订阅，说明配置获取环节有问题；订阅能更新但所有节点都失败，则应继续检查协议兼容、系统时间、网络限制和客户端权限。

各平台客户端差异在哪里

Windows 与 macOS 客户端通常同时提供系统代理、规则模式和 TUN。Windows 上应留意安全软件与虚拟网卡权限，macOS 上则可能需要批准网络扩展。桌面系统便于查看日志，因此遇到连接失败时，可以从订阅更新、DNS、握手和路由信息中判断故障阶段。

iOS 上的网络接管由系统 VPN 配置管理，客户端需要使用系统允许的网络扩展能力。切换应用后，连接状态以系统状态栏和客户端页面为准。Android 设备允许客户端创建本地 VPN 接口，部分应用还支持按应用分流；但不同系统厂商的后台策略可能暂停客户端，需要为持续连接保留必要的后台运行权限。

Linux 客户端常见图形界面与命令行两种形态。图形客户端适合订阅管理，命令行核心便于服务器或开发环境使用，但需要用户自行理解配置文件、服务进程、路由和 DNS。若只是日常桌面访问，优先选择能够自动恢复网络设置的图形客户端。

路由器场景与单机客户端不同。路由器接管的是经过它的多台设备，规则与 DNS 一旦配置错误，影响范围更大。新手应先在电脑或移动设备验证订阅和节点，再考虑迁移到路由器，避免把客户端问题、线路问题和家庭网络问题混在一起。

连接失败排查先看哪一层

面对“无法连接”，最有效的方法是按层排查，而不是随机切换所有选项。先确认本地网络本身可用，再确认订阅能够更新，然后检查节点、协议与系统接管。连接成功后仍打不开目标网站，才进入 DNS、分流和目标服务状态的检查。

• ✅ 直连模式下确认本地网络能够正常访问常用网站。
• ✅ 更新订阅，区分配置获取失败与节点连接失败。
• ✅ 保持同一地区，切换另一个兼容节点作对照。
• ✅ 检查系统时间、客户端权限和当前代理模式。
• ✅ 连接后核对 DNS、分流规则与目标出口地区。
• ❌ 不要同时更改协议、节点、DNS 和规则模式。

客户端日志中的关键词也能帮助定位。解析失败通常指向 DNS 或服务器地址；握手失败更可能与协议参数、证书、系统时间或网络阻断有关；超时则可能发生在本地防火墙、UDP 限制、中转链路或远端服务。日志可能含服务器地址与账户凭据，提交支持请求前应先隐藏敏感字段。

理解这些名词后，可以把任何客户端看成同一套流程：订阅交付节点配置，协议建立连接，系统代理或 TUN 接管流量，分流规则选择去向，DNS 为域名提供解析，线路最终把数据送到出口。界面名称会变，底层关系基本不变。