刚接触网络加速工具时，VPN 订阅、节点、协议、分流和全局模式往往会同时出现在客户端里。它们并不是同一层面的设置：订阅负责交付配置，节点代表可选择的连接入口，协议规定客户端与服务器如何通信，线路描述数据经过的网络路径，而分流模式决定哪些请求需要交给代理处理。只要先把这几层拆开，客户端中的大部分选项就不再难懂。
日常讨论中的“VPN”常被用作网络加速服务的统称，但客户端实际采用的技术并不一定是传统 VPN 协议。部分工具会通过系统的 VPN 接口建立虚拟网卡，再把流量交给 Shadowsocks、VMess、Trojan、VLESS、Hysteria2 或 TUIC 等协议处理。因此，系统状态栏显示 VPN 标记，只能说明客户端启用了系统网络接管接口，不能据此判断底层协议。
订阅、订阅链接与配置文件分别是什么
订阅可以理解为一份由服务端维护的配置清单。它通常包含节点名称、服务器地址、端口、协议参数、认证信息以及客户端能够识别的其他字段。用户把订阅导入兼容客户端后，客户端会解析清单并生成节点列表，无须逐项手动填写。
订阅链接是获取这份清单的地址。它不是普通宣传页面，而是带有账户识别信息的配置入口。任何获得该链接的人，都可能读取其中的节点配置，因此不应把链接发到公开群组、截图或公开文档中。怀疑链接已经暴露时，应在服务面板中重置订阅，而不是只从本地客户端删除节点。
配置文件是订阅内容在本地的静态副本，常见形式包括文本配置和结构化配置。直接导入文件适合离线迁移，但文件不会自动获得服务端后续调整；订阅链接则可由客户端主动更新。节点新增、入口变更或规则调整后，刷新订阅通常比重新安装客户端更有效。
导入订阅时客户端实际做了什么
- 客户端请求订阅地址并下载配置内容。
- 解析协议、服务器入口、认证字段和节点名称。
- 把多个节点整理为可选择的代理组或列表。
- 根据本地规则决定默认节点、更新方式和流量处理模式。
- 连接时创建本地代理端口或虚拟网卡，将匹配的请求交给所选节点。
导入成功不等于连接已经生效。订阅只能证明客户端读到了配置；还需要选择可用节点、启用系统代理或虚拟网卡，并通过实际访问与 DNS 检查确认流量路径。若客户端显示订阅更新成功但网页仍走原网络，重点应检查模式、代理组选择和系统权限，而不是反复导入同一个链接。
节点、服务器与线路不是同一个概念
节点是客户端里可选择的一条连接配置。它可能直接对应一台服务器，也可能只是某个入口、负载调度地址或线路组合。节点名称中的国家和城市一般用于描述出口位置或线路用途，不一定等同于服务器设备的实际部署细节。
服务器是处理连接的计算资源，负责认证、转发或协议终止。普通用户通常不需要知道服务器内部结构，只需要关注节点是否适合目标地区、当前网络和具体应用。
线路更强调数据从本地到入口、再到出口所经过的网络路径。即使两个节点的出口地区相同，只要入口位置、运营商互联或中间传输方式不同，实际体验也可能不同。反过来，同一条线路也可能通过多个节点名称提供不同协议或用途。
| 线路类型 | 连接路径 | 主要特点 | 选择重点 |
|---|---|---|---|
| 直连 | 客户端直接连接境外入口 | 路径简单，表现较依赖本地网络与国际互联 | 观察当前接入网络是否能稳定到达入口 |
| 中转 | 先连接较近入口，再转发到出口 | 可调整跨网路径，但多了一层转发 | 关注入口质量、转发路径与出口用途 |
| IEPL 专线 | 通过国际以太网专线承载指定区段 | 路径管理方式不同于普通公网直连 | 确认服务商标注所对应的实际接入范围 |
直连并不天然比中转快，中转也不必然优于直连。路径是否合适取决于本地运营商、接入地区、出口方向和当时的网络状况。中转的价值在于重新组织其中一段路径，而不是凭空消除所有拥塞。IEPL 是国际以太网专线业务的行业名称，但客户端中的“IEPL”标签仍需要结合服务说明理解，因为专线可能只承载整体路径中的特定区段。
新手选节点时，不必只盯着客户端显示的延迟。延迟通常来自一次探测，可能反映入口可达性，却不能完整代表网页加载、持续传输或特定应用的表现。更稳妥的方法是先按目标地区筛选，再在实际使用场景中比较连接建立、页面响应和持续传输是否稳定。
常见协议：Shadowsocks、VMess、Trojan 与 VLESS
协议规定客户端与服务器如何封装、认证和传输数据。协议名称不等于线路质量：同一协议可以运行在不同线路上，同一线路也可以提供多种协议。选择时应同时考虑客户端兼容性、当前网络对传输方式的支持以及服务端给出的配置。
Shadowsocks
Shadowsocks 是加密代理协议，结构相对直接，客户端生态成熟。它通过预共享密钥完成加密与认证，通常适合需要广泛客户端兼容的场景。不同加密方法之间不能随意混用，服务端和客户端必须采用一致参数。导入订阅后不应自行修改加密方法，否则常见结果是端口可达但认证失败。
VMess 与 VLESS
VMess 使用身份标识和协议字段完成客户端与服务端通信，常与 WebSocket、TCP 或其他传输方式组合。VLESS 更偏向轻量认证，本身不负责提供完整的传输加密，通常需要配合 TLS、REALITY 或受保护的底层通道。看到 VLESS 节点时，不能只核对协议名，还要确认传输方式、安全层、服务器名称和客户端核心是否兼容。
VMess 与 VLESS 名称相近，但配置字段并不能直接互换。把 VLESS 节点按 VMess 手动录入，或遗漏 TLS 相关参数，都会导致连接失败。通过订阅导入的意义之一，就是减少手工抄写这些关联字段时产生的错误。
Trojan
Trojan 通常运行在 TLS 之上，使用密码完成认证。客户端需要正确处理服务器名称、证书校验和传输参数。遇到证书错误时，不应把“跳过证书验证”当作长期解决方案；应先检查系统时间、服务器名称、订阅是否过期以及客户端核心是否支持对应配置。
Hysteria2 与 TUIC
Hysteria2 和 TUIC 都重视基于 UDP 与 QUIC 的传输，在丢包或波动环境中可利用各自的拥塞控制和多路复用机制改善传输方式。但它们依赖当前网络对 UDP 的支持，某些公共网络、企业网络或路由策略可能限制 UDP。此时节点看似配置正确，却可能长时间无法完成握手，切换到基于 TCP 的兼容节点往往更适合作为诊断步骤。
全局模式、规则模式与直连模式怎样选择
客户端中的“模式”决定流量如何分配。它与节点选择相互独立：节点决定被代理的流量送到哪里，模式决定哪些流量需要送过去。选中了某个境外节点，并不代表设备上的所有请求都会自动经过它。
| 模式 | 处理方式 | 适用场景 | 常见问题 |
|---|---|---|---|
| 规则模式 | 按域名、地址或应用规则决定代理与直连 | 日常使用，希望本地服务保留原路径 | 规则未命中、规则过旧或顺序冲突 |
| 全局模式 | 可接管的请求统一交给所选代理 | 临时排查规则是否导致访问失败 | 本地服务绕远、内网资源无法访问 |
| 直连模式 | 请求不经过代理节点 | 暂停代理或比较原网络表现 | 误以为已连接节点但实际未使用 |
规则模式通常更适合日常使用。客户端会按照规则匹配域名、IP 地址、地理集合或应用进程，并将请求送往代理、直连或阻断策略。规则具有顺序：较具体的匹配通常应放在通用兜底规则之前，否则前面的宽泛规则可能提前接管请求。
全局模式适合诊断，而不是所有情况下都保持开启。如果某个网站在规则模式下失败、切换全局后恢复，问题多半位于规则匹配、DNS 解析或代理组选择，而不一定是节点本身失效。全局模式也可能让本地网站、局域网设备和系统服务绕行，因此排查结束后应根据需要恢复规则模式。
直连模式会让流量使用原始网络路径。它可以用于比较代理前后的差异，也可在不退出客户端的情况下暂时停用转发。但部分客户端的“直连”只影响规则决策，虚拟网卡仍可能处于启用状态；判断是否完全停止接管，还要查看系统代理、虚拟网卡和客户端运行状态。
分流规则通常包含哪些条件
- 域名后缀：让某个站点及其子域名使用指定策略。
- 完整域名：只匹配特定主机，适合精细覆盖。
- IP 地址范围：按目标地址决定代理或直连。
- 应用进程：仅让指定软件使用某个代理组。
- 地理规则集：根据维护好的域名或地址集合分类。
- 兜底规则：处理前面所有条件都未匹配的请求。
分流并不只看网页地址。一个页面可能同时请求主站、图片域名、接口域名和内容分发域名；如果这些请求被分到不同出口，可能出现页面能打开但图片缺失、登录循环或验证码异常。排查时应查看客户端连接记录，确认相关域名分别命中了哪条规则，而不是只为主域名添加例外。
DOMAIN-SUFFIX,example.com,PROXY
DOMAIN,local.example,DIRECT
GEOIP,LAN,DIRECT
MATCH,PROXY这段示意规则表达的是：指定域名后缀交给代理，本地域名和局域网地址保持直连，其余请求由兜底策略处理。不同客户端的语法、规则名称和支持范围并不完全一致，不能把一份配置原样复制到所有软件中。修改前应先备份原配置，并以客户端文档支持的字段为准。
系统代理、TUN 模式与虚拟网卡有什么区别
系统代理是向操作系统登记 HTTP 或 SOCKS 代理地址。遵循系统代理设置的浏览器和应用会把请求交给客户端，但部分软件可能忽略系统代理、使用自己的网络栈，或直接发起 UDP 请求。因此，系统代理开启后仍可能存在未被接管的应用流量。
TUN 模式通常通过虚拟网卡接收 IP 层流量，再由客户端根据规则转发。它能覆盖更多不支持系统代理的应用，也更适合处理 UDP，但需要更高的系统权限，并可能与其他网络过滤软件、企业安全策略或已有虚拟网卡发生冲突。
虚拟网卡只是流量进入客户端的方式，不代表所有流量必然经过远端节点。客户端仍可在 TUN 模式中执行直连、代理和阻断规则。看到系统出现 VPN 标记时，也应回到客户端连接记录确认规则命中结果，而不是仅凭状态图标判断出口。
DNS 泄漏是什么，为什么会影响分流
访问域名前，设备通常需要通过 DNS 把域名解析为地址。若网页流量经过代理，但 DNS 查询仍发送给原网络的解析器，就可能形成 DNS 泄漏。它会暴露正在查询的域名信息，也可能让域名得到不适合当前出口的解析结果，从而出现连接绕路、地址不可达或规则判断偏差。
规则模式尤其依赖 DNS 设计。有些客户端先解析域名再按 IP 规则匹配，有些客户端保留域名信息并进行域名规则匹配，还有些 TUN 实现会使用虚拟地址映射。不能只看“DNS 已开启”这一项，还要确认解析请求由谁发出、经过哪个接口，以及解析结果是否与代理出口相符。
检查 DNS 路径的实用顺序
- 确认客户端是否启用了内置 DNS 或远程解析功能。
- 查看系统中是否仍保留其他网络工具写入的解析设置。
- 在规则模式和全局模式下分别测试同一域名。
- 清理系统与浏览器的 DNS 缓存后重新连接。
- 检查浏览器是否单独启用了与客户端策略不同的加密 DNS。
- 查看连接记录，确认 DNS 请求和目标连接命中了预期策略。
浏览器的加密 DNS 并非坏事，但如果它绕过客户端的分流 DNS，就可能产生两套解析结果。排障时可以暂时让浏览器跟随系统设置，先确认客户端路径正常，再决定是否恢复浏览器自己的解析方案。重点是让域名解析与后续连接采用一致、可解释的出口策略。
各平台客户端为什么看起来不一样
Windows 客户端通常同时提供系统代理和 TUN 模式。系统代理配置简单，但不能保证所有应用都遵循；TUN 覆盖更完整，却需要虚拟网卡驱动与管理员权限。若启用后断网，应检查虚拟网卡、路由表、DNS 设置以及其他网络过滤程序是否冲突。
macOS 客户端常通过系统网络扩展或 VPN 配置接管流量。首次启用时需要在系统设置中批准权限。系统升级后若客户端能打开但无法建立隧道，应检查网络扩展是否仍获授权，而不是只重装订阅。Apple 芯片与 Intel 设备还可能使用不同构建版本，下载时应以客户端发布说明为准。
Android 客户端通常调用系统 VPN 服务建立本地隧道，可按应用决定是否经过代理。省电策略可能限制客户端在后台持续运行，表现为锁屏后连接中断。排查时应检查后台运行权限、数据节省设置和应用分流列表。
iOS 与 iPadOS 客户端受系统网络扩展机制约束，配置通常保存在具体应用内。导入同一订阅后，不同客户端对规则集、脚本和协议核心的支持可能不同。某个节点在桌面端可用、在移动端无法导入时，应先核对协议与传输支持，而不是直接判断订阅失效。
Linux 环境既可能使用桌面客户端，也可能运行命令行核心。桌面应用可通过系统代理接管常规软件，命令行程序则可能需要单独设置环境变量，或通过 TUN 与路由规则统一处理。排障时要区分“核心正在运行”“本地端口正在监听”和“应用已经使用代理”这几个状态。
从导入到连接的完整检查流程
新手最容易把多个问题混在一起：订阅无法下载、节点无法握手、规则没有命中、应用没有使用系统代理，最终都表现为“打不开”。按层排查能减少无效操作。
- 检查订阅：确认链接来自服务面板，客户端能正常更新，并且节点列表发生预期变化。
- 检查兼容性：确认客户端核心支持节点使用的协议、传输方式和安全层。
- 检查节点：先选择用途明确的节点，观察握手或连接日志，不只依赖延迟按钮。
- 检查接管：确认系统代理或 TUN 已启用，目标应用确实受客户端管理。
- 检查模式：临时比较规则模式与全局模式，判断故障是否来自分流。
- 检查 DNS：确认解析路径与连接策略一致，清理旧缓存后再测试。
- 检查冲突：暂停其他代理、虚拟网卡或网络过滤工具，避免路由被重复修改。
- 保留日志：记录错误类型、所用协议、连接模式和发生阶段，再向支持人员反馈。
错误日志中的“超时”通常表示在规定等待过程中没有完成连接，但原因可能是入口不可达、UDP 受限、DNS 解析异常或路径拥塞；“认证失败”更接近密钥、密码、身份字段或订阅状态问题；“证书错误”则应检查服务器名称、系统时间和 TLS 配置。不同错误需要不同处理，反复切换节点并不能替代日志判断。
排障时一次只改变一个变量。先固定客户端与模式，再更换节点；随后固定节点，再比较规则和全局。若同时更换协议、节点、DNS 与客户端，最终即使恢复，也很难知道真正原因。
新手理解这些名词后的选择结论
订阅负责把配置交给客户端，节点是可选择的连接组合，协议规定通信方式，线路描述底层路径，分流决定哪些请求走代理。系统代理和 TUN 则负责把设备流量送进客户端。DNS 位于域名解析环节，若解析路径与分流不一致，就可能让看似正确的节点仍出现访问异常。
日常使用可优先选择规则模式，让本地服务保持直连、跨境访问按规则进入合适节点；遇到单个网站异常时，再短暂切换全局模式验证规则。协议选择应以客户端兼容与当前网络为先，线路选择则应以实际路径表现为准。名称越复杂不代表越适合，能稳定导入、正确接管、清楚分流并便于排障的组合，才是更容易长期维护的配置。