VPN常用术语解释:节点、线路类型、协议与全局规则模式

导入订阅后，为什么还要选节点和规则模式？这份 VPN常用术语解释先给出结论：订阅提供配置，节点提供连接目标，线路描述传输路径，协议规定通信方式，分流规则决定请求走哪里。它们属于不同环节，不能互相替代。

日常讨论常把代理订阅和系统级 VPN 都简称为 VPN，但技术范围并不完全相同。代理客户端可能只接管遵循系统代理的应用，也可能通过虚拟网络接口接管更多流量。因此，界面显示“已连接”，不等于设备上的所有请求都已经走同一条路径。

订阅、节点与客户端分别是什么？

客户端是设备上负责读取配置、建立连接和执行分流的软件。节点通常是客户端中的一个可选连接配置，包含服务器地址、端口、认证信息和协议参数。节点名称是方便识别的标签，不一定完整反映真实网络路径。

订阅链接是获取节点清单或完整配置的入口。客户端读取链接后，才能取得对应内容；它不是连接成功的凭证，也不是某一条固定线路。服务端调整配置后，客户端通常需要更新订阅，才能同步新的地址或规则。

先分清配置入口、连接目标与运行工具
术语	负责什么	不能据此判断什么
订阅链接	向客户端提供节点或配置内容	不代表套餐有效，也不代表当前已连接
节点	指定连接目标及其认证、协议参数	名称不能证明物理位置或实际速度
客户端	运行连接、代理入口和分流配置	安装完成不代表系统流量已被接管
策略组	组织节点，并按配置手动或自动选择	自动选择不保证目标网站体验最佳

“订阅”也可能指套餐的计费关系，需结合上下文理解。“更新订阅”通常是刷新配置，不是续费；“订阅到期”则可能指账户权益结束。遇到这类提示，应分别查看客户端更新结果和账户套餐状态。

订阅链接往往含有访问令牌，应按凭证保管。不要公开粘贴到论坛、截图或陌生在线转换工具。怀疑泄露时，通过账户提供的重置功能更换链接，并在各设备中更新；具体失效范围以服务说明为准。

IEPL 专线、中转与直连有什么区别？

直连通常指设备通过本地运营商网络直接连接境外服务入口，没有额外设置的境内转发入口。路径是否拥堵、国际互联质量如何，仍受本地网络和运营商路由影响。直连不等于不加密，加密方式由连接协议及其配置决定。

中转是在连接路径中加入转发服务器，让设备先连入口，再由入口转送到后续服务器。它改变的是路径组织方式。入口较近可能改善部分链路体验，但转发节点的负载、带宽和后续路径同样重要，不能只看入口距离。

IEPL通常指国际以太网专线，属于承载链路概念。服务商可以使用这类专用链路承载部分跨境路径，但客户端名称中的“IEPL”只是标注，不能代替对线路说明的核对。设备到入口、出口到目标网站等环节也未必属于专线。

还要区分“接入地区”和“出口地区”：前者是设备连接的入口位置，后者通常是目标网站看到的来源网络位置。地区标签不一定同时描述两者。网站是否允许访问，还可能受到账号地区、内容授权和出口地址识别影响。

判断要点：线路类型描述怎么走，协议描述怎么传。专线名称不能直接推出更快、更私密或必然支持某个网站；选线路时，应结合实际用途核对完整路径和表现。

Shadowsocks 等协议决定什么？

协议规定客户端与服务端如何认证、封装和传输数据。客户端需要支持对应协议及其具体参数，才能建立连接。协议名称不是速度等级，也不是完整的隐私评估结论；实现版本、服务器配置和网络条件都会影响结果。

Shadowsocks：加密代理协议，客户端与服务端需要匹配地址、端口、密码和加密方法。不同实现对扩展特性的支持可能不同。
VMess：包含认证和加密机制的代理协议，可以配合不同传输方式使用。复制节点时遗漏传输参数，可能导致无法连接。
Trojan：通常基于 TLS 建立代理连接。证书验证、服务器名称和认证参数需要正确配置，不能把跳过证书验证当作常规修复方法。
VLESS：轻量代理协议，本身不提供载荷加密，通常配合 TLS 或其他安全传输方案使用。仅看到名称，不能判断完整连接的保护方式。
Hysteria2 与 TUIC：均采用基于 QUIC 的传输设计，对 UDP 网络可达性有依赖。网络限制 UDP 时，可能需要换用其他可用连接方案。

这些是行业常见协议说明，不表示 VPNCG 提供全部协议。实际可用配置以账户内交付内容和客户端支持情况为准。导入时出现“不支持的类型”，应先核对客户端内核及订阅格式，而不是直接认定节点失效。

全局、规则与直连模式怎么选？

规则模式按域名、目标地址、应用等条件，把请求分配给代理、直连或拒绝等动作。不同客户端支持的匹配条件不同，规则往往按顺序执行，因此靠前的宽泛规则可能覆盖后面的精细规则。

全局模式通常把客户端已经接管的请求统一交给所选代理策略。关键在于“已经接管”：不遵循系统代理的应用、被排除的应用，或未进入虚拟网络接口的流量，仍可能不受该模式控制。全局不等于全设备强制代理。

直连模式通常让已接管请求直接访问目标，不经远端代理。它和“直连线路”不是同一个层面的概念：前者是路由动作，后者是设备到服务入口的路径类型。界面里的“直连”必须结合所在位置理解。

日常使用可先采用适合自身需求的规则配置。如果某网站异常，可暂时切换到全局模式做对照：全局可用而规则模式失败，值得检查规则命中和解析结果；两者都失败，则继续检查节点、网络与目标服务。对照只能缩小范围，不能单独证明故障原因。

DNS 泄漏与出口地址有什么关系？

DNS 用于把域名解析成地址。网页请求走代理，不代表解析请求也一定走代理。解析可能由系统、浏览器、客户端或应用自身发起，各自采用的解析器和传输路径也可能不同。

所谓 DNS 泄漏，通常指本应沿预期隧道或代理路径发送的解析请求，却通过其他路径到达了解析器。它可能暴露查询域名，也可能让分流结果与预期不符。但检测页面显示的解析器地区与出口地区不同，并不能单独证明泄漏，还需核对配置和请求路径。

加密 DNS 保护的是解析请求的传输环节，不自动保证它随代理转发。浏览器自行启用的加密 DNS，也可能绕过客户端预期的解析流程。排查时应把浏览器设置、客户端 DNS 策略和系统设置一起检查，不要只看网页显示的出口地址。

代理连接和网站 HTTPS 保护的是不同环节。访问敏感账户时，仍应核对域名与证书提示。出口地址变化不等于网站无法识别已登录账号，也不等于所有应用流量都进入了代理。

不同平台为什么会出现不同连接结果？

Windows 和 macOS 客户端常提供系统代理入口，部分客户端也提供 TUN 模式。TUN 通过虚拟网络接口接管网络流量，通常需要相应权限，并可能影响路由与 DNS。它扩大了可接管范围，但具体排除项、协议支持和路由行为仍由实现决定。

Android 客户端常通过系统 VPN 接口接管流量，可能提供按应用分流；iOS 和 iPadOS 客户端通常借助系统网络扩展运行。相似的开关名称，不保证各平台具有完全相同的规则能力。后台限制、网络切换与其他网络工具也可能影响连接。

Linux 上既可能使用图形客户端，也可能运行命令行内核。只启动内核未必会自动设置桌面代理或系统路由。跨平台排查时，应核对“流量如何进入客户端”，而不是只比较节点名称。客户端获取与配置入口可参阅使用教程。

从订阅导入到连接排查怎么做？

确认配置来源。登录账户，从官方交付入口获取适配客户端的订阅。套餐状态、订阅格式和客户端支持情况需要分别确认。
导入并检查结果。查看客户端是否成功读取配置、是否出现可选节点。不要把“链接已保存”误认为“配置已下载成功”。
选择节点与模式。先使用适合用途的节点和规则配置，再启用系统代理或平台对应的流量接管方式，避免多个网络工具同时修改路由。
用实际应用验证。分别检查网页和目标应用是否可用，必要时查看连接日志中的规则命中、解析失败或握手错误。分享日志前移除凭证和订阅地址。
按现象缩小范围。没有节点先查订阅；有节点但握手失败先查网络与协议；网页可用而某应用失败先查流量接管；只有特定网站异常再查规则和目标服务。

客户端显示的“延迟”通常来自特定探测目标和探测方法，不能直接换算成下载速度或视频会议质量。探测成功只说明该项测试通过；持续传输、丢包、抖动和目标服务的状态，仍可能造成不同体验。

✅ 更新订阅，是同步配置；是否需要调整套餐，要看账户权益。
✅ 切换节点后，用同一应用和相近网络条件对照，避免同时改动多个设置。
❌ 不因节点名称含有地区、专线或协议词，就认定它适合所有用途。
❌ 不公开订阅凭证，也不把关闭证书验证作为默认排错步骤。

新手记忆顺序：先看订阅有没有正确导入，再看节点能否建立连接，接着确认应用流量是否进入客户端，最后检查规则与 DNS。按环节排查，比反复更换所有设置更容易定位问题。

选服务时，也应把线路说明、计费规则和售后入口分开核对。术语用于描述机制，不用于代替证据。需要进一步处理连接问题时，可先查看帮助中心，再通过账户工单提交脱敏后的错误信息与复现步骤。