VPN新手入门，先分清配置来源、连接出口和流量去向。订阅负责把配置交给客户端，节点是可选连接，线路描述经过的网络路径，协议决定通信方式，分流规则决定哪些请求走代理。它们互相关联，却不能相互替代。
日常语境中的“VPN”也常泛指代理订阅服务。严格来说，系统 VPN 隧道与应用层代理并非同一概念；客户端是否接管全部设备流量，要看系统权限、运行模式与应用是否遵循代理设置，不能仅凭连接图标判断。
订阅、节点与客户端：各自负责什么
订阅链接是获取配置的地址。客户端访问这个地址后，通常会拿到节点列表，有的格式还包含策略组、分流规则和 DNS 设置。它不是视频平台的会员订阅，也不等于已经建立连接。导入成功之后，仍需选择策略、启动连接，并确认请求是否按预期经过代理。
节点是客户端里的一项连接配置，一般包含服务器地址、端口、认证信息与协议参数。节点名称中的地区通常用于描述出口，但名称只是服务方提供的标签，不是实际地理位置的证明。多个名称可能共用入口或出口，也可能对应不同路径；节点数量不能直接换算成独立服务器数量。
客户端则负责读取配置并执行连接。订阅服务提供接入能力，客户端提供操作界面和网络处理能力，两者不是一回事。同一份服务可能需要针对不同客户端提供不同订阅格式，直接复制到不兼容的软件中，可能报错，也可能出现部分配置未生效。
| 术语 | 实际含义 | 不能据此推断 |
|---|---|---|
| 订阅链接 | 向客户端提供配置的地址 | 导入后已接管所有应用 |
| 节点 | 包含地址与认证参数的连接选项 | 每个名称都是独立物理服务器 |
| 线路 | 流量从入口到出口所经的网络路径 | 名称相同就有相同连接表现 |
| 协议 | 客户端与服务端通信的约定 | 协议越新，任何网络下都越快 |
| 分流规则 | 将请求分配给直连、代理或其他策略 | 选择地区节点就会自动改变所有请求 |
直连、中转与 IEPL 专线的区别
在服务线路的语境中，直连通常指本地网络直接连接境外接入服务器，不经过服务方另设的中转入口。路径较简单，但实际表现仍受本地运营商、国际出口、目的地网络和使用时段影响。“直连”不等于低延迟，也不等于不加密。
中转是在客户端与境外出口之间增加转发环节。客户端先到中转入口，再由入口把流量转向后续服务器。它可能改善某段路径的可达性或拥塞情况，也会引入额外环节。入口距离近不代表整条链路快，客户端显示的探测结果也未必覆盖最终访问网站的完整过程。
IEPL 是运营商提供的国际以太网专线服务。用于订阅服务时，通常表示部分跨地区骨干路径采用此类承载，而非用户设备到目标网站的每一段都变成专线。家庭宽带、接入节点、出口到内容平台的连接仍可能影响体验。
这里有两种“直连”：线路介绍里的直连，描述服务接入路径；分流规则里的直连，通常表示该请求不走代理、直接由本地网络访问。看到这个词，先看它出现在哪个设置页面。
看地区片库时，还要单独确认出口地区与平台识别结果。专线标签不能保证某个片库一定可看，平台也可能结合账户地区、版权范围和代理识别作出判断。选择线路应以目标应用的实际访问为准，而不是只比较标签。
常见协议：先看兼容，再看表现
Shadowsocks、VMess、Trojan、VLESS、Hysteria2 与 TUIC 都可出现在代理客户端中，但它们不是可随意互换的名称。服务器使用什么协议，客户端就必须支持对应协议及其参数；修改界面里的协议选项，不能把现有服务端自动转换成另一种协议。
- Shadowsocks：加密代理协议。客户端与服务端需要匹配密码、加密方法及相关扩展设置，不能只看软件是否标注支持该名称。
- VMess：带有认证与加密机制的代理协议，可结合不同传输方式使用。传输层配置也必须与服务端一致。
- Trojan：通常依托 TLS 传输代理流量。证书、服务器名称及验证设置关系到连接是否正确，不宜靠关闭证书验证解决报错。
- VLESS：轻量代理协议，本身不提供传输加密，通常结合 TLS 或 REALITY 等安全层部署。只看到 VLESS 名称，无法判断完整的传输保护方式。
- Hysteria2 与 TUIC：基于 QUIC 的代理方案，依赖 UDP 网络条件。网络限制 UDP 或路径质量不合适时，未必比基于 TCP 的方案更适用。
不要按协议名称给速度排固定名次。实现版本、网络丢包、拥塞控制、服务端负载和路径都可能改变结果。对新手更稳妥的顺序是：先确认官方推荐客户端能完整导入，再在同一网络与相近时段比较目标应用的表现。
规则、全局与 TUN：决定流量去向
规则模式按域名、目标地址、进程等条件匹配策略，具体支持哪些条件取决于客户端。常见配置会让本地服务直连、需要代理的服务走选定策略。规则通常有先后顺序，前面的匹配可能覆盖后面的安排，所以不能只检查规则列表里有没有某个域名。
全局模式通常把已经进入该客户端处理范围的请求交给统一代理策略。它适合短暂排查规则问题，却不等于所有设备流量必定走代理。忽略系统代理设置的应用、未被接管的 UDP 流量或独立网络环境，仍可能绕过客户端。
TUN 模式通过虚拟网络接口接管流量，常用于覆盖不遵循系统代理的应用。它与规则模式不是互斥概念：流量可以先被 TUN 接收，再按规则决定直连或代理。启用后仍需检查路由、DNS 与权限，也可能与其他隧道软件发生冲突。
初次使用优先采用服务文档推荐的规则配置。若只有某个应用无法访问，再检查它是否进入代理处理范围；不要为了一个应用长期把所有请求都切到同一出口，否则本地网站、企业资源或支付页面也可能受到影响。
订阅链接导入：按客户端逐步检查
- 从可信入口获取客户端。参考快速上手选择对应系统的客户端，再从用户面板下载页获取相关指引。不要把来源不明的改版客户端当成必要步骤。
- 复制对应格式的订阅地址。在客户端选择从 URL 导入或添加订阅，而不是把完整地址填进单节点的服务器栏。操作名称可能因软件而异。
- 更新配置并查看结果。确认节点列表已加载，留意错误信息。网页返回内容、失效凭据或不兼容格式，都可能使导入失败；反复切换节点无法修复配置解析错误。
- 选择策略并启动连接。按照推荐设置启用系统代理或隧道权限。仅选中节点、没有启动网络接管时，浏览器可能仍使用原来的连接。
- 用目标应用验证。先查看IP 检测页显示的出口，再打开实际需要的服务。IP 改变只是检查的一部分，不能据此断言所有应用与 DNS 都已按预期处理。
桌面客户端可能将系统代理与 TUN 分开控制；移动客户端通常借助系统提供的 VPN 接口接管连接，但仍可能实施分流。Linux 环境还要留意命令行程序是否读取代理环境变量、桌面代理设置是否对当前程序生效。不同平台的界面相似，不代表接管范围完全一致。
订阅更新通常是重新获取配置，不是重新开通服务。是否覆盖本地修改取决于客户端；需要自定义规则时，应优先使用软件支持的覆写或独立规则功能，避免更新后丢失修改。
DNS 泄漏与连接失败：从现象定位
DNS 负责把域名解析为地址。所谓 DNS 泄漏，通常指本应按隧道策略处理的查询，却交给了预期之外的解析器或走了预期之外的路径。它可能暴露查询的域名，但不等同于 HTTPS 页面正文被直接读取。
浏览器的加密 DNS、系统解析器与客户端 DNS 配置可能各自工作。加密 DNS 保护的是查询传输过程，不自动保证查询经过代理。检测页面显示解析器地区不同，也不能单凭这一点认定泄漏；公共解析器的分布式部署与地理数据库误差都可能影响显示。
- ✅ 订阅无法更新：先看错误是网络超时、认证失败还是格式不兼容，核对地址是否完整，再查服务文档。
- ✅ 节点可连接但网页打不开：检查 DNS、系统代理与策略组，确认客户端日志中是否出现目标请求。
- ✅ 浏览器可用但应用不可用：检查应用是否遵循系统代理，必要时依文档评估 TUN，而非直接认定节点失效。
- ✅ 只有特定网站异常：检查规则匹配、账户地区与平台限制，不要只盯着客户端的延迟显示。
- ❌ 不要把订阅地址或完整配置贴到公开测试网站；求助截图应遮盖认证信息，泄露后应通过服务支持的方式重置凭据。
每次只改动一类设置，并保留原始配置。排查时可以暂时切换规则与全局模式作对照，但应在测试后恢复合适的策略。若需要提交支持请求，描述系统、客户端、网络环境和具体错误即可；日志也应先检查并隐藏敏感字段。