VPN 術語入門：節點、線路類型、通訊協定與全域／規則模式

匯入訂閱後，為什麼還要選擇節點和規則模式？這份 VPN 術語入門先說明重點：訂閱提供設定，節點提供連線目標，線路描述傳輸路徑，通訊協定規範通訊方式，分流規則則決定請求的路由。這些分屬不同環節，不能互相取代。

日常討論常把代理訂閱和系統層級 VPN 都簡稱為 VPN，但兩者的技術範圍並不完全相同。代理用戶端可能只接管遵循系統代理設定的應用程式，也可能透過虛擬網路介面接管更多流量。因此，介面顯示「已連線」，不代表裝置上的所有請求都經過同一路徑。

訂閱、節點和用戶端分別是什麼？

用戶端是裝置上負責讀取設定、建立連線及執行分流的軟體。節點通常是用戶端中可選擇的連線設定，包含伺服器位址、連接埠、驗證資訊和通訊協定參數。節點名稱是方便辨識的標籤，不一定能完整反映實際網路路徑。

訂閱連結是取得節點清單或完整設定的入口。用戶端讀取連結後，才能取得相應內容；它不是連線成功的憑證，也不代表某一條固定線路。服務端調整設定後，用戶端通常需要更新訂閱，才能同步新的位址或規則。

先分清設定入口、連線目標與執行工具
術語	用途	無法據此判斷的事項
訂閱連結	向用戶端提供節點或設定內容	不代表方案有效，也不代表目前已連線
節點	指定連線目標及其驗證、通訊協定參數	名稱無法證明實體位置或實際速度
用戶端	執行連線、代理入口和分流設定	安裝完成不代表系統流量已由用戶端接管
策略組	整理節點，並依設定手動或自動選擇	自動選擇不保證目標網站的使用體驗最佳

「訂閱」也可能指方案的計費關係，需依上下文理解。「更新訂閱」通常是重新整理設定，不是續費；「訂閱到期」則可能表示帳戶權益結束。遇到這類提示，應分別查看用戶端的更新結果和帳戶方案狀態。

訂閱連結通常含有存取權杖，應妥善保管，視同憑證。請勿公開貼到論壇、截圖或交給陌生的線上轉換工具。若懷疑已外洩，請透過帳戶提供的重設功能更換連結，並在各裝置上更新；實際失效範圍請以服務說明為準。

IEPL 專線、中轉與直連有什麼差異？

直連通常指裝置透過本地電信業者網路，直接連線至境外服務入口，沒有額外設定境內轉送入口。路徑是否壅塞、國際網路互連品質如何，仍會受到本地網路和電信業者路由影響。直連不代表未加密，加密方式取決於連線通訊協定及其設定。

中轉是在連線路徑中加入轉送伺服器，讓裝置先連到入口，再由入口轉送至後續伺服器。改變的是路徑的安排方式。入口距離較近可能改善部分鏈路的使用體驗，但轉送節點的負載、頻寬和後續路徑同樣重要，不能只看入口距離。

IEPL通常指國際乙太網路專線，屬於承載鏈路的概念。服務商可使用這類專用鏈路承載部分跨境路徑，但用戶端名稱中的「IEPL」只是標示，不能取代對線路說明的查核。裝置到入口、出口到目標網站等環節，也未必使用專線。

還要區分「接入地區」和「出口地區」：前者是裝置連線的入口位置，後者通常是目標網站所看到的來源網路位置。地區標籤不一定同時描述兩者。網站是否允許存取，也可能受到帳戶地區、內容授權和出口位址辨識結果影響。

判斷要點：線路類型描述如何傳輸，通訊協定描述如何通訊。專線名稱不能直接代表速度更快、隱私性更高，或保證支援特定網站；選擇線路時，應配合實際用途查核完整路徑和連線表現。

Shadowsocks 等通訊協定決定什麼？

通訊協定規範用戶端與伺服器如何驗證、封裝和傳輸資料。用戶端必須支援相應通訊協定及其具體參數，才能建立連線。通訊協定名稱不是速度等級，也不能完整代表隱私評估結果；實作版本、伺服器設定和網路條件都會影響連線表現。

Shadowsocks：加密代理通訊協定，用戶端與伺服器必須使用相符的位址、連接埠、密碼和加密方式。不同實作對延伸功能的支援可能有所差異。
VMess：具備驗證和加密機制的代理通訊協定，可搭配不同傳輸方式使用。複製節點時若遺漏傳輸參數，可能會無法連線。
Trojan：通常透過 TLS 建立代理連線。憑證驗證、伺服器名稱和驗證參數都必須正確設定，不應將略過憑證驗證當作一般修復方式。
VLESS：輕量代理通訊協定，本身不提供負載加密，通常會搭配 TLS 或其他安全傳輸方案使用。只看到名稱，無法判斷完整連線的保護方式。
Hysteria2 與 TUIC：兩者都採用以 QUIC 為基礎的傳輸設計，並仰賴 UDP 網路可連通。若網路限制 UDP，可能需要改用其他可行的連線方案。

以上是業界常見的通訊協定說明，不代表 VPNCG 提供所有協定。實際可用設定以帳戶內提供的內容及用戶端支援情況為準。匯入時若出現「不支援的類型」，應先確認用戶端核心及訂閱格式，而非直接認定節點失效。

全域、規則與直連模式該如何選擇？

規則模式會依網域、目標位址、應用程式等條件，將請求分配至代理、直連或拒絕等動作。不同用戶端支援的比對條件各有差異，規則通常會依序執行，因此排在前面的廣泛規則可能會覆蓋後續較精細的規則。

全域模式通常會將用戶端已接管的請求統一交由所選代理策略處理。關鍵在於「已接管」：不遵循系統代理設定的應用程式、遭排除的應用程式，或未進入虛擬網路介面的流量，仍可能不受此模式控制。全域模式不等於強制代理整台裝置的所有流量。

直連模式通常會讓已接管的請求直接存取目標，不經遠端代理。它和「直連線路」並非同一層面的概念：前者是路由動作，後者是裝置至服務入口的路徑類型。介面上的「直連」必須依所在位置判讀。

日常使用時，可先採用符合自身需求的規則設定。若某個網站出現異常，可暫時切換至全域模式進行對照：全域模式可用、規則模式失敗時，值得檢查規則比對結果和解析結果；兩者都失敗，則繼續檢查節點、網路和目標服務。對照只能縮小排查範圍，不能單獨證明故障原因。

DNS 洩漏與出口位址有什麼關係？

DNS 用於將網域名稱解析為位址。網頁請求經由代理，不代表 DNS 解析請求也一定經由代理。解析可能由系統、瀏覽器、用戶端或應用程式本身發起，各自採用的解析器和傳輸路徑也可能不同。

所謂 DNS 洩漏，通常是指原本應沿預期隧道或代理路徑傳送的解析請求，卻透過其他路徑抵達解析器。這可能暴露查詢的網域名稱，也可能使分流結果與預期不符。不過，檢測頁面顯示的解析器地區與出口地區不同，不能單獨證明發生洩漏，還需要核對設定和請求路徑。

加密 DNS 保護的是解析請求的傳輸環節，不會自動確保請求隨代理轉送。瀏覽器自行啟用的加密 DNS，也可能繞過用戶端預期的解析流程。排查時應一併檢查瀏覽器設定、用戶端 DNS 策略和系統設定，不要只看網頁顯示的出口位址。

代理連線和網站 HTTPS 保護的是不同環節。存取敏感帳戶時，仍應核對網域名稱和憑證提示。出口位址變更不代表網站無法辨識已登入的帳戶，也不代表所有應用程式流量都經過代理。

為什麼不同平台會出現不同的連線結果？

Windows 和 macOS 用戶端常提供系統代理入口，部分用戶端也提供 TUN 模式。TUN 透過虛擬網路介面接管網路流量，通常需要相應權限，也可能影響路由與 DNS。它能擴大可接管的範圍，但具體排除項目、通訊協定支援和路由行為仍取決於實作方式。

Android 用戶端常透過系統 VPN 介面接管流量，可能提供依應用程式分流；iOS 和 iPadOS 用戶端通常透過系統網路延伸功能執行。名稱相似的切換選項，不代表各平台具備完全相同的規則功能。背景執行限制、網路切換和其他網路工具也可能影響連線。

Linux 上可能使用圖形介面用戶端，也可能執行命令列核心。只啟動核心，不一定會自動設定桌面代理或系統路由。跨平台排查時，應確認「流量如何進入用戶端」，而不只是比較節點名稱。用戶端下載與設定入口請參閱使用教學。

如何從匯入訂閱到排查連線？

確認設定來源。登入帳戶，從官方提供的入口取得適用於用戶端的訂閱。方案狀態、訂閱格式和用戶端支援情況都需要分別確認。
匯入並檢查結果。確認用戶端是否成功讀取設定，以及是否出現可選節點。不要把「已儲存連結」誤以為「設定已成功下載」。
選擇節點與模式。先選用符合用途的節點和規則設定，再啟用系統代理或平台對應的流量接管方式，避免多個網路工具同時修改路由。
使用實際應用程式驗證。分別確認網頁和目標應用程式是否可用，必要時查看連線記錄中的規則比對結果、解析失敗或交握錯誤。分享記錄前，請移除憑證和訂閱位址。
依照現象縮小排查範圍。沒有節點，先檢查訂閱；有節點但交握失敗，先檢查網路與通訊協定；網頁可用但某個應用程式失敗，先檢查流量接管；只有特定網站異常，再檢查規則和目標服務。

用戶端顯示的「延遲」通常是依特定探測目標和方法測得，不能直接換算為下載速度或視訊會議品質。探測成功只表示該項測試通過；持續傳輸、封包遺失、抖動和目標服務狀態，仍可能帶來不同的使用體驗。

✅ 更新訂閱是同步設定；是否需要調整方案，請查看帳戶權益。
✅ 切換節點後，使用同一個應用程式並在相近網路條件下比較，避免同時變更多項設定。
❌ 不要只因節點名稱包含地區、專線或通訊協定字樣，就認定它適合所有用途。
❌ 不公開訂閱憑證，也不要把關閉憑證驗證當作預設的疑難排解步驟。

新手排查順序：先確認訂閱是否正確匯入，再檢查節點能否建立連線，接著確認應用程式流量是否進入用戶端，最後檢查規則與 DNS。依環節逐步排查，比反覆更改所有設定更容易找出問題。

選擇服務時，也應分別查核線路說明、計費規則和售後聯絡方式。術語用於描述機制，不能取代實際佐證。若要進一步處理連線問題，可先查看說明中心，再透過帳戶支援單提交已移除敏感資訊的錯誤訊息和重現步驟。