VPN新手名词速查：订阅、节点、协议、分流一次讲明白

这份 VPN新手名词速查从客户端界面出发：订阅负责提供配置，节点代表连接入口，协议决定通信方式，分流决定请求走哪条路。它们不是同一个开关。先分清各自职责，再看导入、连接与访问结果，才能避免把所有故障都归为“节点不行”。

名词速查：从账户到访问请求

日常所说的 VPN，有时指系统级虚拟专用网络，有时泛指提供国际线路的代理服务。名称相似，不代表实现方式相同。判断软件实际接管哪些流量，应看系统代理、隧道接口和路由配置，而不是只看应用名称或连接图标。

名词	实际含义	容易混淆的地方
套餐订阅	账户购买的服务与流量权益。	不等同于用于导入配置的订阅链接。
订阅链接	客户端获取节点或配置的地址，可能包含身份凭据。	不是普通官网地址，也不是公开分享链接。
节点	包含服务器地址、端口和认证等参数的连接配置。	显示地区不能完整说明实际传输路径。
协议	客户端与服务器遵循的通信规则。	协议名称不等于线路等级或速度保证。
策略组	供规则调用的一组节点或处理方式。	切换某个组，不一定改变其他组的选择。
分流规则	按域名、地址或其他条件决定请求如何处理。	规则模式不代表所有国际网站都会自动命中代理。
系统代理	向遵循系统代理设置的应用提供代理入口。	不保证接管设备上的所有应用。
TUN 模式	通过虚拟网络接口接收并处理流量。	实际覆盖范围仍取决于权限、路由和排除项。
DNS	把域名解析为网络地址的查询机制。	网页流量经过代理，不等于解析请求也经过代理。

一次网页访问通常涉及多个环节：应用发起请求，系统或客户端处理域名解析，规则选择直连或代理，代理请求再经节点到达目标网站。这是理解用的简化链路；缓存、远程解析和不同内核的实现，可能改变具体处理顺序。

订阅链接与客户端导入

“订阅”最容易产生歧义。套餐页的订阅是计费关系，客户端里的订阅则通常是一份可更新的配置来源。链接返回的内容可能只有节点，也可能包含策略组、规则和 DNS 设置。导入成功只说明客户端读懂了内容，不代表每条线路已经验证可用。

不同客户端接受的格式并不通用。同样是链接，可能返回节点集合，也可能返回面向特定内核的配置文件。不要凭文件后缀判断兼容性，更不要为了转换格式，把带凭据的链接提交给来源不明的网站。

从服务提供的账户页面获取与当前客户端匹配的配置，确认使用的平台与导入方式。
在客户端找到订阅、配置或导入入口。粘贴链接后执行更新，检查是否出现节点与配置名称。
阅读导入后的模式、策略组和 DNS 设置。若配置含自动选择组，确认它实际引用了哪些节点。
选择节点并启用需要的流量接管方式，再访问目标网站验证，而不是只看连接按钮是否亮起。
更新失败时先看下载错误、认证错误还是格式错误，再分别检查网络、链接有效性与内核兼容性。

订阅链接应按账户凭据保管。截图、公开工单和共享文档中应遮盖完整地址及其中的令牌；发生泄露时，使用服务提供的重置功能，或通过账户支持渠道处理。

还要区分“更新订阅”和“更新规则”。有的配置把规则随订阅一起下发，有的引用独立规则资源。节点已刷新而网站走向没有变化，可能是规则资源没有更新，也可能是应用仍在复用已有连接。

节点、IEPL 专线、中转与直连

节点是客户端可选的连接配置，不一定对应一台独立物理服务器。多个名称可能共享入口，入口地区也可能不同于出口地区。网站通常看到的是出口地址，因此地区访问问题应结合出口和网站自身判定，而不能只看节点名称。

直连与中转描述传输路径

在线路语境中，直连通常指客户端直接连接境外服务入口；中转则先连接一个转发入口，再把流量送往出口。中转可能改善某段路由，也可能增加绕行或拥塞环节，不能简单认定多一个转发环节就一定更慢或更稳。

规则中的“直连”又是另一个概念：它表示目标请求不经代理出口。读到这个词时，要先判断它是在描述服务线路，还是客户端对某次请求的处理结果。

IEPL 不等于整段访问都有专用保障

IEPL 通常指国际以太网专线。服务商所称的 IEPL 线路，可能只覆盖入口与出口之间的某段传输；设备到入口、出口到目标网站仍有各自的网络条件。它与应用层协议不是同一维度，也不能仅凭标签推导出低延迟、固定带宽或流媒体可用性。

选择结论：先看目标网站是否可达、使用时段是否稳定，再看线路标签。地区、传输路径和协议要分开理解；只凭“专线”或“直连”名称，无法判断完整体验。

协议名称与客户端内核兼容性

Shadowsocks、VMess、Trojan、VLESS、Hysteria2 和 TUIC 都可能出现在代理客户端配置里，但不是可以任意互换的选项。服务器要求的认证、加密、传输及安全层参数必须与客户端匹配；修改协议名称不会把现有节点转换成另一种协议。

Shadowsocks：属于加密代理协议体系。客户端需支持服务器使用的具体加密方法，不能仅确认“支持 Shadowsocks”就认为所有配置都兼容。
VMess 与 VLESS：是不同协议。VLESS 本身不提供传输加密，通常需要结合适当的安全层；不能把它的身份校验与链路加密混为一谈。
Trojan：通常在 TLS 连接上承载代理通信。证书验证与服务器名称等参数会影响连接，不应把关闭证书校验当作常规修复。
Hysteria2 与 TUIC：均采用基于 QUIC 的方案，底层依赖 UDP。若本地网络限制 UDP，可能无法建立连接；这不等于账户失效。

应用界面是外壳，内核负责实际解析配置和建立连接。同一应用的不同版本也可能有不同支持范围。报错出现“不支持的协议”或“未知字段”时，应先核对内核与配置格式，再考虑线路故障。

这里解释的是通用技术概念，不代表 VPNPast 提供上述全部协议或任意第三方客户端配置。实际可用方式应以账户内的下载入口、配置说明和客户端支持情况为准。

分流、规则模式与全局模式

分流是按条件分配请求。常见结果包括直连、交给某个代理策略组，或拒绝连接。规则可能依据域名、目标地址、进程等信息，但能否使用某种条件，取决于客户端内核和操作系统权限。

很多客户端按规则顺序匹配，先命中的规则决定请求去向，未命中的请求进入最终处理项。把宽泛规则放在精确规则之前，可能让后者失去作用。修改时应阅读当前内核的语法，不要把另一种客户端的规则直接粘贴进来。

全局并不等于接管整台设备

规则模式按配置决定去向；全局模式通常把已进入客户端的请求交给全局策略处理。关键词是“已进入客户端”：若某应用忽略系统代理，它的请求可能根本没进入代理内核，切换全局模式也未必改变结果。

TUN 模式可以扩大接管范围，但仍受路由、权限和排除设置影响。移动端显示系统 VPN 标记，通常表示应用正在使用系统隧道接口，也不能仅据此断定内部采用哪种协议。

✅ 网页能访问、某应用不能访问：先确认该应用是否遵循系统代理，或是否需要隧道接管。
✅ 切换节点后出口不变：检查目标请求命中的策略组，而不是只改首页显示的节点。
✅ 全局模式可用、规则模式失败：查看命中规则、最终处理项和 DNS 结果，缩小配置问题范围。
❌ 同时改节点、DNS、规则和内核：变量混在一起，即使恢复也难以知道原因。

DNS 泄漏与平台差异

DNS 泄漏指本应按隐私或路由策略处理的解析请求，经由预期之外的路径或解析器发出。网页出口显示为代理地址，并不能证明 DNS 同样遵循预期路径。反过来，检测页显示某个解析器的地区，也不足以独立证明泄漏，还需核对它实际如何被访问。

浏览器的加密 DNS、系统解析服务、客户端内置 DNS 与缓存可能同时参与。排查时检查客户端的 DNS 接管范围，并核对浏览器是否绕过了预期设置。加密 DNS 能保护到解析器之间的查询传输，但不会自动让解析与网页请求使用同一出口。

Windows 和 macOS 上要区分系统代理与虚拟接口权限；iOS、Android 通常通过系统提供的隧道接口接管流量，按应用分流等能力因系统及客户端而异。Linux 还可能涉及桌面代理、环境变量、系统服务和路由配置：命令行工具不会必然继承桌面浏览器的设置。

因此，换设备时不要照抄另一平台的操作路径。VPNPast 支持 Windows、macOS、iOS、Android 和 Linux；具体入口可查看使用教程，客户端通过账户下载入口获取。

把名词变成排查顺序

遇到问题，先描述现象，再定位层级。没有节点通常从订阅下载与格式入手；有节点但连接失败，检查认证、协议与网络可达性；连接成功却无法访问，继续看分流、解析、出口及目标网站限制。连接测试与实际业务访问也可能使用不同请求，不能相互替代。

确认配置来源：检查是否导入了正确账户和适配当前客户端的配置，不在反馈中公开凭据。
确认请求去向：查看客户端连接记录中的目标、命中规则与策略组，注意遮盖个人信息。
只改一个环节：先更换同一策略组的节点，再单独验证模式或 DNS 设置，每次记录结果。
对照真实任务：打开实际需要的网站或应用，确认登录、内容加载和持续连接，而不只看测试图标。

最终判断：订阅解决“配置从哪里来”，节点解决“连接到哪里”，协议解决“怎样通信”，分流解决“请求走哪里”。先确定问题属于哪一层，再调整对应设置，比反复重装客户端更有针对性。

技术设置之外，套餐流量与隐私策略也应分别核对。VPNPast 采用无日志策略，创建账户无需邮箱地址，用户名与密码即可；同时在线不限台数，并提供 14 天无理由退款。这些服务条件不替代设备权限管理，也不改变目标网站自身的访问规则。