VPN术语大全：订阅、节点、线路类型、协议、分流与规则模式速查

这份 VPN术语大全围绕客户端里常见的订阅、节点、线路类型、协议和规则模式展开。先记住它们的分工：订阅负责取得配置，节点描述连接对象，线路决定传输路径，协议规定通信方式，分流规则决定哪些请求走哪条路径。

日常讨论常把代理订阅服务统称为 VPN，但技术上，应用层代理与网络层隧道并不相同。客户端显示已连接，也不代表设备上的全部应用都经过代理。理解下面这些术语，比反复切换开关更有助于定位问题。

订阅链接、套餐与节点：配置从哪里来

订阅套餐是计费关系，订阅链接是配置入口。前者规定可用流量与计费方式，后者通常是一个带访问凭据的地址。客户端读取这个地址后，才得到节点参数，部分订阅还会提供分组、规则或 DNS 设置；具体内容取决于订阅格式。

单个节点通常包含服务器地址、端口、认证信息及协议参数。它是客户端中的逻辑连接项，不一定对应一台独立物理服务器。多个节点也可能共用入口或出口，所以列表里的名称数量不能直接当作独立基础设施数量。

配置文件则可能比节点列表更完整：除连接参数外，还能包含策略组、分流规则与解析设置。把只含节点的订阅导入要求完整配置的入口，或者把某种客户端专用格式交给不兼容的软件，都可能出现导入失败、节点为空或规则缺失。

订阅链接应按访问凭据保管。不要把完整地址贴到公开讨论区，也不要随意交给不明在线转换工具。链接泄露后，应通过服务提供的管理入口检查是否能够重置，并更新各设备保存的订阅。

客户端导入的操作顺序

1. 从服务面板或正式教程确认适配的客户端与订阅格式，不凭文件后缀猜测兼容性。
2. 在“订阅”“配置”或“远程配置”入口粘贴链接，等待客户端获取内容。
3. 确认配置已被选中启用，再检查节点、策略组与规则是否正常出现。
4. 按教程选择节点和运行模式，通过实际应用验证连接，而不只看连接图标。
5. 线路调整后刷新订阅；若使用本地自定义规则，先确认更新是否会覆盖修改。

导入不成功时，先查链接是否复制完整、订阅格式是否匹配、当前网络能否访问订阅地址，再检查账户状态。刷新订阅是在更新配置，不等于给套餐续费，也不会自动重置剩余流量。

线路类型：IEPL 专线、中转与直连

线路类型描述路径，不是协议名称。直连通常指设备通过公网直接连接境外代理服务器；中转通常是在设备与出口之间增加转发节点，入口、跨境传输段和出口可能分别由不同网络承担。

IEPL 通常指国际以太网专线，用于站点之间的专用以太网连接。代理服务里的“IEPL 专线”一般强调其跨境传输段使用这类连接，但这个标签不能说明用户本地接入、出口到目标网站等所有环节都属于专线。

节点标注的地区通常用于提示出口位置，不保证与入口位置相同。网站判断地区还可能参考 IP 数据库、账户资料、付款地区及设备定位。切到某地出口，不代表目标平台必定提供对应内容或服务。

延迟也不能替代完整体验判断。客户端的测试可能只检测握手或某个测试地址，没有覆盖视频持续传输、文件上传或会议通话。比较线路时应保持应用与网络条件尽量一致，观察实际任务是否完成，不以名称里的“专线”推导速度承诺。

常见协议：名称不同，兼容条件也不同

协议规定客户端与服务器如何认证、封装和传输数据。相同出口可以承载不同协议，相同协议也能运行在不同线路上。选协议首先看服务端提供什么、客户端内核支持什么，其次才是当前网络环境是否适配。

Shadowsocks、VMess、Trojan 与 VLESS

Shadowsocks是加密代理协议家族，连接双方需要匹配加密方法与凭据。不同实现对具体方法的支持可能不同，不能只看到协议名称相同就认定可以互通。

VMess用于客户端与服务器间的认证及加密代理通信。除了身份凭据，传输方式等配置也需要一致；系统时间明显不准确可能影响认证，应让设备正常校时。

Trojan通常借助 TLS 承载代理流量。证书校验、服务器名称与认证信息都可能影响连接。遇到证书错误，应先核对域名、时间和服务配置，而不是直接关闭证书验证。

VLESS本身不提供载荷加密，通常配合 TLS 或 REALITY 等安全机制使用。其安全属性取决于完整部署，不能只凭名称判断。传输方式、安全设置和相关参数都要与服务端匹配。

Hysteria2 与 TUIC

Hysteria2与TUIC都基于 QUIC，通常依赖 UDP 传输。它们在某些网络条件下可能有适用优势，但若当前网络限制 UDP，也可能无法正常连接，不能笼统认为新协议一定更快。

协议、传输方式和安全层应分开理解：客户端里的 TCP、WebSocket、gRPC、TLS 等选项并不处于同一层级。本文介绍的是通用概念，不代表 VPNKuaiWang 提供全部上述协议；实际可用选项以面板、订阅内容与使用教程为准。

全局、规则、直连：请求如何分配

规则模式会按照域名、目标地址、应用进程等条件匹配策略。策略可能是直接连接、交给代理组或拒绝请求。常见规则配置按顺序匹配，前面的宽泛规则可能遮住后面的精确规则，因此顺序与兜底策略都很重要。

全局模式通常把已进入代理客户端的请求交给指定代理策略，而不是承诺整台设备的所有通信都被接管。某个应用如果绕过系统代理，单纯从规则切到全局，仍可能不起作用。

直连模式通常让已被客户端接收的请求直接连接目标。它不等于关闭系统中的其他代理工具；浏览器扩展、应用内代理与系统设置依旧需要分别检查。

策略组是节点或策略的集合，可以支持手动选择、自动测试或故障切换。测试地址正常，只能证明该检测条件下可用，并不证明所有网站均可访问。组名也只是标签，仍需查看组内实际选中了哪个出口。

系统代理、TUN 与平台差异

系统代理主要向遵循系统设置的应用提供代理入口。浏览器通常能够使用，但命令行工具、游戏或自行实现联网逻辑的软件可能需要单独配置。应用“有网但出口没变”，应先检查它是否确实经过代理。

TUN通过虚拟网络接口接收 IP 数据包，再由客户端处理，通常能覆盖更多不遵循系统代理的应用。但覆盖范围仍受路由、排除列表、权限和客户端实现影响；启用它也不代表 DNS 自动配置正确。

• Windows：注意系统代理、虚拟网卡和其他网络软件是否冲突。命令行与后台程序未必沿用浏览器的代理行为。
• macOS：系统代理与基于网络扩展的隧道接管是不同方式，使用时留意系统授权提示和实际启用的网络服务。
• iOS：客户端常通过系统提供的网络扩展建立连接。界面出现 VPN 状态标识，不代表规则没有设置直连例外。
• Android：不少客户端通过 VpnService 接管流量，应用排除设置和后台限制可能影响覆盖范围与持续运行。
• Linux：桌面代理设置、环境变量和系统路由分别影响不同程序，服务进程也不一定继承当前终端的配置。

VPNKuaiWang 支持 Windows、macOS、iOS、Android 与 Linux。平台支持不表示每个平台的客户端界面和功能完全相同，具体导入入口与权限设置可查阅使用教程。

DNS 泄漏、出口 IP 与隐私边界

DNS 用于把域名解析为地址。所谓 DNS 泄漏，通常是指本应按预期经代理或指定解析路径发送的查询，实际走了本地或其他非预期路径。结果可能暴露查询的域名，也可能让网站解析到不合适的服务节点。

代理出口 IP 改变，并不能单独证明 DNS 路径符合预期。反过来，检测页面显示某个解析器地区，也不足以独立判定泄漏：公共解析服务可能使用分布式节点，IP 地理数据库也可能有偏差，应结合客户端日志和配置判断。

浏览器的加密 DNS 可能与客户端解析方案并存。加密只描述查询传输是否受保护，不代表查询一定经过预期出口。Fake-IP 则是一种先向应用返回合成地址、再由客户端映射域名的方式，不是另一个代理出口，也不适合在不了解配置时随意开关。

“匿名无日志”是服务的隐私策略表述，不是对全部网络行为的绝对保证。登录网站后的账户身份、浏览器 Cookie 和设备权限仍会影响可识别性；代理也不会替代 HTTPS 的端到端内容保护。

排查时先查看客户端是否指定 DNS 服务器、查询是否遵循分流、浏览器是否另设解析路径，再结合我的 IP检查出口。不要为了通过某个检测页面而同时修改大量解析选项，否则很难确认是哪项设置起作用。

按症状排查：从配置到实际请求

设置故障常出在层级混淆：把订阅更新当作流量重置，把全局模式当作全设备接管，或把节点延迟当作网站可用性。按照下面的检查清单逐项确认，比频繁重装更容易保留线索。

• ✅ 订阅导入失败：核对链接完整性、格式适配、获取结果与当前启用配置，不公开展示凭据。
• ✅ 节点连接失败：核对账户状态、协议支持、设备时间及当前网络条件，保留不含敏感参数的错误信息。
• ✅ 浏览器正常而应用异常：检查应用是否遵循系统代理，或是否被 TUN 的排除规则绕开。
• ✅ 全局正常而规则异常：查看目标域名命中哪条规则、对应策略组当前选中什么节点。
• ✅ 出口地区符合预期但内容不同：检查平台账户地区、内容授权与 IP 识别，不把地区节点当作访问保证。
• ✅ 切换网络后异常：重新检查联网认证、节点可达性与 UDP 条件，每次只调整一类设置再验证。

最后把技术配置与计费规则分开记录。VPNKuaiWang 月订阅流量按开通日每月重置，流量包永久不过期、用完为止；两者都不能靠刷新订阅恢复已用流量。同时在线不限台数，也不表示每台设备分别获得独立套餐额度。价格与计费方式可查阅套餐价格。