VPN新手名词速查，先记住它们各管哪件事：订阅负责交付配置，节点是连接入口，协议规定通信方式，分流决定请求走哪里。导入成功却打不开网页，通常要沿着这些环节逐项检查，而不是反复更换节点。
日常口语中的“VPN 客户端”，可能实际运行的是代理协议，并非传统的整机虚拟专用网络。应用显示 VPN 标识，也可能只是借助系统的虚拟网络接口接管流量。因此，判断是否生效要看具体配置与请求路径，不能只看状态图标。
名词对照：从配置到请求出口
| 名词 | 实际含义 | 容易混淆的地方 |
|---|---|---|
| 订阅链接 | 用于获取、更新节点或完整配置的地址 | 不等于付款周期，也不一定包含分流规则 |
| 节点 | 客户端可选择的一组连接参数 | 节点名称不一定代表实际出口位置 |
| 协议 | 客户端与服务端协商、传输数据的方式 | 协议名称不是带宽或稳定性的等级 |
| 线路 | 入口、中间传输网络与出口组成的路径 | 同一地区、同一协议也可能走不同路径 |
| 分流规则 | 按域名、地址等条件选择直连、代理或拒绝 | 规则模式不等于所有国际网站自动走代理 |
| DNS | 把域名解析为网络地址的机制 | 网页连接走代理，不代表解析请求也走代理 |
| TUN 模式 | 通过虚拟网络接口接管并处理流量 | 接管范围仍受路由、排除项及客户端实现影响 |
把它们放在同一条路径上理解：客户端读取订阅，得到节点与规则；应用发出请求后，规则选择连接方式；需要代理的请求再通过节点对应的协议和线路送往出口。DNS 则参与目标地址的确定，可能需要单独配置。
订阅与节点：配置来源不等于网络出口
订阅更新，更新的是什么？
“套餐订阅”描述服务的计费安排，“客户端订阅”描述配置的获取方式，两者不是同一个概念。客户端从订阅地址下载内容，可能得到节点列表，也可能得到包含策略组、DNS 和规则的完整配置。具体取决于服务提供的格式。
复制地址后，应在客户端的订阅或配置导入入口添加，再执行更新并启用对应配置。仅把链接粘进浏览器，不一定会自动导入。更新也不等于启用：有些客户端允许保存多个配置，当前运行的仍可能是旧配置。
节点通常包含服务器地址、端口、认证信息、协议及传输参数。手工修改其中一项，就可能造成不匹配。名称里的地区、倍率或线路描述是提供方标签，不是协议自动验证的事实；需要了解地区能力时，应结合线路说明和连接后的出口检查。
协议区别：先看兼容，再看网络条件
Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 属于不同的代理协议或协议方案，并非可以随意互换的名称。客户端需要支持相应协议及其具体配置，服务端也必须提供匹配参数。不能把节点的协议字段改成另一个名字就期待连接成功。
- Shadowsocks：使用约定的加密方式与凭据传输代理流量。客户端必须支持服务端采用的具体加密方法。
- VMess：具有自身认证与传输机制；部分实现对设备时间有要求，排错时应检查系统时间是否准确。
- Trojan：通常结合 TLS 使用。证书校验、服务器名称等参数需要正确，不应把跳过校验当作常规修复。
- VLESS：本身不提供内容加密，安全性取决于搭配的安全层与完整配置，不能只凭协议名字判断。
- Hysteria2 与 TUIC：基于 QUIC，依赖 UDP 通信。当前网络若限制 UDP，可能出现握手失败或连接不稳定。
协议、传输层和线路还要分开看。WebSocket 是一种传输方式，TLS 提供安全层能力，IEPL 描述网络承载路径，它们不是同一层的替代选项。某个客户端支持协议，也不代表支持它的全部传输组合；导入报错时，应先核对内核版本和格式要求。
判断结论：新手优先使用服务明确提供、客户端明确支持的配置。协议新旧不能直接推出速度快慢，真实体验还取决于本地网络、线路拥塞、服务端资源与目标站点。
线路类型：直连、中转与 IEPL
直连通常指设备直接连接境外代理服务器，中间不经过服务提供方安排的额外中转入口；这不表示完全不经过运营商路由。它的表现较直接地受本地网络国际出口与跨网互联情况影响。
中转则先连接一个入口，再由该入口转发到后续节点或出口。“中转”只说明多了一段转发关系，不自动代表使用专线，也不保证优于直连。入口可达性、入口到出口的路径及拥塞情况都要考虑。
IEPL 是国际以太网专线，常被用于线路中的特定传输段。它描述的是承载服务，不是代理协议，也不等于设备到目标网站的每一段都是专线。设备到入口、出口到目标站点仍可能使用其他网络。
选线时，地区名称主要帮助判断出口位置及目标服务的区域匹配。最近的地区未必拥有最顺畅的运营商路径；延迟较低也不等于持续下载更快。查看 线路列表 时，应把入口、出口、线路类型和实际用途一起比较，不只盯着名称。
分流模式：全局与规则怎样选择
规则模式通常按配置顺序匹配请求，把它交给直连、代理策略组或拒绝动作。规则可能匹配域名、目标地址、进程或其他条件，实际支持范围由客户端决定。没有匹配的请求一般交给兜底规则，兜底是直连还是代理，需要查看当前配置。
全局模式通常把已经进入代理内核的请求交给统一策略，并不意味着整台设备的所有流量都已被接管。没有使用系统代理的应用、排除路由或客户端无法处理的流量，仍可能走其他路径。
系统代理是向应用提供代理设置，是否遵循由应用决定；TUN 模式则通过虚拟网络接口接管流量，覆盖方式更广，但仍需正确设置路由与 DNS。Android、iOS 客户端常借助系统 VPN 接口工作，桌面客户端则常把系统代理与 TUN 分成不同开关。
日常使用可从可信的规则配置开始。某个网站异常时，先查连接记录里它匹配了哪条规则、实际选了哪个策略组。临时切换全局可帮助定位规则问题；若恢复访问，说明应继续检查分流，而不是认定该节点一直有问题。
DNS 泄漏与出口验证
DNS 泄漏通常指本应通过预期通道处理的域名查询，却经由非预期的解析路径发出，例如直接交给本地网络的解析器。这可能暴露查询的域名信息，但不等于 HTTPS 正文因此被解密。
检测结果出现本地解析器，也需要结合配置意图解释：直连域名使用本地解析可以是主动分流；本应代理的域名仍走本地解析，才需要进一步检查。浏览器的加密 DNS、系统解析设置和客户端 DNS 配置可能各自生效，不能只改一个开关就假定全部一致。
出口地址检查只能反映发起检测请求的那条连接。浏览器显示代理出口，不代表其他应用也使用同一路径；检测 DNS 也应区分普通解析、浏览器独立解析以及代理域名的处理方式。遇到结果矛盾，查看客户端连接记录通常比反复刷新检测页更有效。
新手操作：从导入到排错
- 确认客户端兼容。从 使用教程 核对平台和配置格式，通过面板的 客户端下载入口 获取适用客户端。
- 导入并启用订阅。使用对应格式的地址，确认更新完成、节点已出现，并检查当前启用的是刚导入的配置。
- 选择节点与策略。在实际使用的策略组中选定节点，避免只修改节点列表里的选中状态，却没有修改策略组。
- 确认流量接管。按平台授予必要权限，检查系统代理或 TUN 状态，再打开目标应用测试。
- 核对出口与 DNS。结合出口检测、解析检测和连接记录确认实际路径，不以状态图标作为唯一依据。
- 按环节排错。导入失败先查格式与地址；连接失败查网络、认证和协议；仅部分网站异常再查规则、DNS 与站点自身限制。
- ✅ 求助时提供客户端名称、系统类型、错误提示与发生环节。
- ✅ 修改前保留原配置，每次只调整明确相关的设置，便于比较结果。
- ❌ 不在公开记录中附上订阅令牌、完整节点凭据或未经遮盖的配置截图。
最后把这些词压缩成一句检查顺序：配置有没有拿到，节点能不能连接，请求有没有进入客户端，规则把它送去了哪里。沿着这条顺序排查，通常比同时开启多个代理工具更容易定位问题。需要进一步协助时，可通过 面板工单 提交已脱敏的信息。