打开任何一个客户端，第一屏都是同一批词：订阅、节点、线路、协议、分流、全局。它们分属不同的层——订阅解决配置从哪来，节点和线路解决数据从哪出去，协议解决数据怎么打包，分流解决哪些数据需要出去。下面按这个顺序把 VPN 入门名词过一遍，每个词都落到客户端里一个具体的开关或一行配置上。
这是一份速查，不是评测。涉及线路与协议的部分是通用技术说明，换成任何一家服务都成立；涉及价格、流量与退款的数字，来自 VPNCW 公开的套餐页。
订阅链接：一次导入，后面所有节点跟着更新
订阅链接是一条 https 地址，服务端把节点列表放在这个地址后面，多数实现是一段 Base64 编码的配置文本。客户端里「从 URL 导入」「从剪贴板导入订阅」做的是同一件事：拉一次、解码、展开成节点条目，之后按设置定时再拉一次。
所以订阅和节点是「源」与「条目」的关系。服务端加一条新线路，客户端更新订阅后列表里就多一行；下掉一条，本地对应条目也会消失。手动添加节点（扫码、粘贴一条配置链接）同样能用，但后续增删要自己维护。
订阅链接等同于账号凭证
这条链接里带着你的用户标识，任何人拿到都能导入自己的客户端并使用同一份流量，既不需要密码也没有二次验证。所以它不该出现在群聊、公开截图和来路不明的「在线测速」页面里。
提示：订阅链接外泄后，正确做法是让它作废再重新生成，而不是只改密码。多数面板都提供重置订阅的入口，重置后旧链接立即失效，需要在每台设备上重新导入一次。
导入失败的四个常见原因
- 链接被聊天软件截断，或者复制时带进了空格与换行；
- 客户端与服务器时间偏差过大，VMess 依赖时间戳校验，把系统时间设为自动同步；
- 订阅地址已经重置，本地还存着旧链接；
- 客户端版本过旧，不认识订阅里出现的新协议。
节点与线路：同一个词，两层含义
节点是一个具体入口：地区、城市、协议、端口、传输方式，凑齐这几项才算一条可用配置。客户端列表里一行就是一条节点，选节点本质上是在选「从哪个地区出网」。
线路说的是另一件事——数据从本地到落地机房这一段怎么走。同一个城市可以有直连、中转、IEPL 专线三种走法，节点名里往往只写「东京 01」「东京 02」，差别藏在这两个字的后面。
| 线路类型 | 数据怎么走 | 晚高峰表现 | 适合什么场景 |
|---|---|---|---|
| 直连 | 本地网络经公网国际出口直达境外机房 | 受国际出口拥塞影响明显 | 临时查资料，对稳定性要求不高 |
| 中转 | 先连境内中转入口，再由中转走优化路径出境 | 中转段不挤公网，通常比直连稳 | 日常浏览、视频、长时间挂着 |
| IEPL 专线 | 端到端走运营商国际专线，不经过公网出口 | 抖动与丢包最小 | 会议、长连接、对断流敏感的工作 |
这里不写具体延迟：延迟取决于你所在的城市、运营商和当时的网络状况，任何写死的数字都不可信。判断一条线路是否合适，看的是晚高峰时段是否稳定，而不是节点名里的形容词。
90+ 国家、170+ 线路意味着常见地区大多有多个入口可选；同一份订阅不限台数同时在线，家里的电脑和随身的设备可以共用一套配置。选线路时优先挑和目标服务同地区的节点，需要国际线路的 AI 工具就用它支持的地区，而不是随手点开列表第一个。
协议：那串英文缩写决定了数据怎么打包
协议决定数据怎么打包、怎么加密、怎么伪装。客户端列表里那一列英文缩写就是它。同一条线路可以跑不同协议，所以「这个节点慢」有时不是线路的问题，而是所选协议在这张网络里被干扰了。
| 协议 | 底层传输 | 主要特点 | 容易踩的坑 |
|---|---|---|---|
| Shadowsocks | TCP，可按实现叠加 UDP | 轻量，握手简单，开销小 | 不带 TLS 外观时容易被流量特征识别 |
| VMess | TCP / WebSocket / gRPC | 生态成熟，传输层组合多 | 时间偏差过大会直接认证失败 |
| VLESS | TCP + TLS | 不背加密包袱，CPU 开销低，适合高带宽 | 依赖 TLS 与回落配置，配错就连不上 |
| Trojan | TLS，常用 443 端口 | 伪装成标准 HTTPS，被动探测下不显眼 | 依赖域名与证书，证书过期即失效 |
| Hysteria2 | QUIC / UDP | 自带拥塞控制，高丢包长链路上吞吐好 | UDP 被限速的网络里会明显退化 |
| TUIC | QUIC / UDP | 多路复用，适合大量小请求 | 同样依赖 UDP 通路，对服务端参数敏感 |
什么时候需要手动换协议
大多数情况下不用管：服务端和客户端会按订阅里写好的配置协商，客户端只负责执行。需要手动介入的场合有三类——UDP 被限速或屏蔽时，QUIC 系的 Hysteria2、TUIC 会明显退化，换回 TCP 系更稳；TLS 握手被干扰时，Trojan、VLESS 这类依赖 TLS 的协议容易连不上，需要换传输方式或端口；客户端时间不同步时，VMess 会认证失败。
分流与全局：哪些流量需要走线路
分流（也叫规则模式）决定哪些流量走线路、哪些直连。几乎所有客户端都把模式归成三类，名字大同小异：全局、规则、直连。
- 全局模式：所有流量都走线路，包括国内站点和局域网设备。设置最简单，代价是国内站点绕一圈，速度慢，流量消耗也快。
- 规则模式（分流）：按域名、IP 段、GeoIP 国家库、进程名逐条匹配，命中哪条走哪条，都没命中的交给最终规则。
- 直连模式：全部不走线路，等同于临时把代理关掉。
分流的价值在于「只把需要出去的流量送出去」。国内站点直连能省流量、少一次绕路；局域网与私有地址直连，可以避免 NAS、打印机、投屏这类设备访问失败。
- ✅ 日常先用规则模式，把国内域名与私有地址放直连，其余按需走线路。
- ✅ 规则优先用客户端自带的规则集，出问题先看连接日志里命中的是哪一条。
- ✅ 需要固定出口的服务单独建一条规则，别和日常浏览共用一个节点。
- ❌ 不要把全局模式当成「更安全」：它只是把全部流量都送出去，加密强度不会因此提高。
- ❌ 不要手写几十条互相覆盖的规则，规则越多，排查成本越高。
DNS 泄漏：解析请求有没有跟着隧道走
打开网页的第一步是域名解析。如果解析请求发给了本地运营商的 DNS，而不是经隧道从落地端发出，这就叫 DNS 泄漏。后果有两个：解析结果可能被污染，拿到一个错误的 IP；你的访问意图也暴露在本地网络里。
客户端里与 DNS 相关的开关通常是这几个：
- 远程 DNS：解析请求走线路，由落地端完成查询；
- DNS over HTTPS / TLS：把 DNS 查询本身加密，防止中途被改写；
- 域名嗅探（Sniffing）：从 TLS 握手的 SNI 字段里取出目标域名，用于命中分流规则；
- Fake DNS：客户端先返回一个假 IP 接管连接，再由代理端还原成真实域名。
自查方法很直接：连上线路后打开一个公开的 DNS 泄漏检测页面，看识别出的解析服务器地区是否与节点落地地区一致。不一致，说明解析还走在本地。
注意：改完 DNS 相关设置要重连一次，多数客户端不会热生效。改完不复测，等于没改。
客户端差异：五个平台的开关不在同一个位置
同一份订阅在五个平台上的节点名完全一致，但分流规则、DNS 设置、代理模式都是客户端本地的，换一个客户端就要重新配一遍。各平台的接管方式差别不小：
| 平台 | 接管方式 | 需要额外注意 |
|---|---|---|
| Windows | 系统代理或 TUN 虚拟网卡 | 不认系统代理的程序需要 TUN 模式才能接管 |
| macOS | 系统代理 + 网络扩展 | 首次启用要授权，受管理的设备可能被策略限制 |
| iOS | 系统 VPN 配置（网络扩展） | 以配置文件导入，分应用代理能力有限 |
| Android | 系统 VPN 服务 | 支持分应用代理，只让选中的应用走线路可以省流量 |
| Linux | 命令行客户端 + 内核转发 | 配置以文件为主，TUN 转发需要 root 权限 |
把名词串起来：一次连接的完整顺序
按上面的顺序走一遍，一次正常的连接是这样的：
- 客户端按订阅链接拉取节点列表，解码成一条条配置；
- 你选中一个节点，客户端按这条配置里的协议与传输方式发起连接；
- 连接建立后，客户端读取分流规则，判断这次请求走线路还是直连；
- 走线路的请求交给落地端，由落地机房发起真正的访问；
- 域名解析按 DNS 设置执行，走远程 DNS 就不会泄漏，走本地 DNS 就会；
- 数据原路返回，客户端把结果交还给发起请求的程序。
出问题时按这个顺序倒着查：先看规则命中（第 3 步），再看 DNS（第 5 步），最后才怀疑节点本身。绝大多数「连上了但打不开」的情况，问题出在分流和 DNS，而不是线路。
想先验证再决定，可以从月付 ¥9.9 含 60GB 的档位开始；需要更大流量又不想被月度周期催着的，¥158/300GB 的流量包用完为止、永久不过期。注册只需用户名和密码，无需邮箱地址，首次付费后 60 天内可申请无理由全额退款。