打開任何一個客戶端，第一屏都是同一批詞：訂閱、節點、線路、協定、分流、全域。它們分屬不同的層——訂閱解決設定從哪來，節點和線路解決資料從哪出去，協定解決資料怎麼打包，分流解決哪些資料需要出去。下面按這個順序把 VPN 入門名詞過一遍，每個詞都落到客戶端裡一個具體的開關或一行設定上。
這是一份速查，不是評測。涉及線路與協定的部分是通用技術說明，換成任何一家服務都成立；涉及價格、流量與退款的數字，來自 VPNCW 公開的方案頁。
訂閱連結：一次匯入，之後所有節點跟著更新
訂閱連結是一條 https 位址，伺服器端把節點清單放在這個位址後面，多數實作是一段 Base64 編碼的設定文字。客戶端裡「從 URL 匯入」「從剪貼簿匯入訂閱」做的是同一件事：拉一次、解碼、展開成節點項目，之後按設定定時再拉一次。
所以訂閱和節點是「來源」與「項目」的關係。伺服器端加一條新線路，客戶端更新訂閱後清單裡就多一行；下掉一條，本地對應項目也會消失。手動新增節點（掃碼、貼上一條設定連結）同樣能用，但後續增刪要自己維護。
訂閱連結等同於帳號憑證
這條連結裡帶著你的使用者識別碼，任何人拿到都能匯入自己的客戶端並使用同一份流量，既不需要密碼也沒有二次驗證。所以它不該出現在群組聊天、公開截圖和來路不明的「線上測速」頁面裡。
提示：訂閱連結外洩後，正確做法是讓它作廢再重新產生，而不是只改密碼。多數面板都提供重設訂閱的入口，重設後舊連結立即失效，需要在每台裝置上重新匯入一次。
匯入失敗的四個常見原因
- 連結被通訊軟體截斷，或者複製時帶進了空格與換行；
- 客戶端與伺服器時間偏差過大，VMess 依賴時間戳驗證，把系統時間設為自動同步；
- 訂閱位址已經重設，本地還存著舊連結；
- 客戶端版本過舊，不認識訂閱裡出現的新協定。
節點與線路：同一個詞，兩層意思
節點是一個具體入口：地區、城市、協定、連接埠、傳輸方式，湊齊這幾項才算一條可用設定。客戶端清單裡一行就是一條節點，選節點本質上是在選「從哪個地區出網」。
線路說的是另一件事——資料從本地到落地機房這一段怎麼走。同一個城市可以有直連、中轉、IEPL 專線三種走法，節點名稱裡往往只寫「東京 01」「東京 02」，差別藏在這些字後面。
| 線路類型 | 資料怎麼走 | 尖峰時段表現 | 適合什麼情境 |
|---|---|---|---|
| 直連 | 本地網路經公網國際出口直達境外機房 | 受國際出口壅塞影響明顯 | 臨時查資料，對穩定性要求不高 |
| 中轉 | 先連境內中轉入口，再由中轉走最佳化路徑出境 | 中轉段不擠公網，通常比直連穩 | 日常瀏覽、影片、長時間掛著 |
| IEPL 專線 | 端到端走電信業者國際專線，不經過公網出口 | 抖動與封包遺失最小 | 會議、長連線、對斷線敏感的工作 |
這裡不寫具體延遲：延遲取決於你所在的城市、電信業者和當時的網路狀況，任何寫死的數字都不可信。判斷一條線路是否合適，看的是尖峰時段是否穩定，而不是節點名稱裡的形容詞。
90+ 國家、170+ 線路意味著常見地區大多有多個入口可選；同一份訂閱不限裝置數同時在線，家裡的電腦和隨身裝置可以共用一套設定。選線路時優先挑和目標服務同地區的節點，需要國際線路的 AI 工具就用它支援的地區，而不是隨手點開清單第一個。
協定：那串英文縮寫決定資料怎麼打包
協定決定資料怎麼打包、怎麼加密、怎麼偽裝。客戶端清單裡那一列英文縮寫就是它。同一條線路可以跑不同協定，所以「這個節點很慢」有時不是線路的問題，而是所選協定在這張網路裡被干擾了。
| 協定 | 底層傳輸 | 主要特點 | 容易踩的坑 |
|---|---|---|---|
| Shadowsocks | TCP，可依實作疊加 UDP | 輕量，握手簡單，開銷小 | 不帶 TLS 外觀時容易被流量特徵識別 |
| VMess | TCP / WebSocket / gRPC | 生態成熟，傳輸層組合多 | 時間偏差過大會直接驗證失敗 |
| VLESS | TCP + TLS | 不背加密包袱，CPU 開銷低，適合高頻寬 | 依賴 TLS 與回落設定，設錯就連不上 |
| Trojan | TLS，常用 443 連接埠 | 偽裝成標準 HTTPS，被動探測下不顯眼 | 依賴網域與憑證，憑證過期即失效 |
| Hysteria2 | QUIC / UDP | 自帶壅塞控制，高封包遺失長鏈路上吞吐好 | UDP 被限速的網路裡會明顯退化 |
| TUIC | QUIC / UDP | 多工，適合大量小請求 | 同樣依賴 UDP 通路，對伺服器參數敏感 |
什麼時候需要手動換協定
大多數情況下不用管：伺服器端和客戶端會按訂閱裡寫好的設定協商，客戶端只負責執行。需要手動介入的場合有三類——UDP 被限速或封鎖時，QUIC 系的 Hysteria2、TUIC 會明顯退化，換回 TCP 系更穩；TLS 握手被干擾時，Trojan、VLESS 這類依賴 TLS 的協定容易連不上，需要換傳輸方式或連接埠；客戶端時間不同步時，VMess 會驗證失敗。
分流與全域：哪些流量需要走線路
分流（也叫規則模式）決定哪些流量走線路、哪些直連。幾乎所有客戶端都把模式歸成三類，名字大同小異：全域、規則、直連。
- 全域模式：所有流量都走線路，包括本地網站和區域網路裝置。設定最簡單，代價是本地網站繞一圈，速度慢，流量消耗也快。
- 規則模式（分流）：按網域、IP 區段、GeoIP 國家庫、行程名稱逐條比對，命中哪條走哪條，都沒命中的交給最終規則。
- 直連模式：全部不走線路，等同於臨時把代理關掉。
分流的價值在於「只把需要出去的流量送出去」。本地網站直連能省流量、少一次繞路；區域網路與私有位址直連，可以避免 NAS、印表機、螢幕投放這類裝置連線失敗。
- ✅ 日常先用規則模式，把本地網域與私有位址放直連，其餘按需走線路。
- ✅ 規則優先使用客戶端內建的規則集，出問題先看連線紀錄裡命中是哪一條。
- ✅ 需要固定出口的服務單獨建一條規則，別和日常瀏覽共用一個節點。
- ❌ 不要把全域模式當成「更安全」：它只是把全部流量都送出去，加密強度不會因此提高。
- ❌ 不要手寫幾十條互相覆蓋的規則，規則越多，排查成本越高。
DNS 洩漏：解析請求有沒有跟著通道走
開啟網頁的第一步是網域名稱解析。如果解析請求送給了本地電信業者的 DNS，而不是經通道從落地端發出，這就叫 DNS 洩漏。後果有兩個：解析結果可能被污染，拿到一個錯誤的 IP；你的存取意圖也暴露在本地網路裡。
客戶端裡與 DNS 相關的開關通常是這幾個：
- 遠端 DNS：解析請求走線路，由落地端完成查詢；
- DNS over HTTPS / TLS：把 DNS 查詢本身加密，防止中途被改寫；
- 網域嗅探（Sniffing）：從 TLS 握手的 SNI 欄位取出目標網域，用於命中分流規則；
- Fake DNS：客戶端先回傳一個假 IP 接管連線，再由代理端還原成真實網域。
自查方法很直接：連上線路後開啟一個公開的 DNS 洩漏檢測頁面，看辨識出的解析伺服器地區是否與節點落地地區一致。不一致，說明解析還走在本地。
注意：改完 DNS 相關設定要重連一次，多數客戶端不會即時生效。改完不複測，等於沒改。
客戶端差異：五個平台的開關不在同一個位置
同一份訂閱在五個平台上的節點名稱完全一致，但分流規則、DNS 設定、代理模式都是客戶端本地的，換一個客戶端就要重新設定一遍。各平台的接管方式差別不小：
| 平台 | 接管方式 | 需要額外注意 |
|---|---|---|
| Windows | 系統代理或 TUN 虛擬網卡 | 不認系統代理的程式需要 TUN 模式才能接管 |
| macOS | 系統代理 + 網路擴充功能 | 首次啟用要授權，受管理的裝置可能被政策限制 |
| iOS | 系統 VPN 設定（網路擴充功能） | 以設定檔匯入，分應用程式代理能力有限 |
| Android | 系統 VPN 服務 | 支援分應用程式代理，只讓選中的應用程式走線路可以省流量 |
| Linux | 命令列客戶端 + 核心轉送 | 設定以檔案為主，TUN 轉送需要 root 權限 |
把名詞串起來：一次連線的完整順序
按上面的順序走一遍，一次正常的連線是這樣的：
- 客戶端按訂閱連結拉取節點清單，解碼成一條條設定；
- 你選中一個節點，客戶端按這條設定裡的協定與傳輸方式發起連線；
- 連線建立後，客戶端讀取分流規則，判斷這次請求走線路還是直連；
- 走線路的請求交給落地端，由落地機房發起真正的存取；
- 網域解析按 DNS 設定執行，走遠端 DNS 就不會洩漏，走本地 DNS 就會；
- 資料原路返回，客戶端把結果交還給發起請求的程式。
出問題時按這個順序倒著查：先看規則命中（第 3 步），再看 DNS（第 5 步），最後才懷疑節點本身。絕大多數「連上了但打不開」的情況，問題出在分流和 DNS，而不是線路。
想先驗證再決定，可以從月付 ¥9.9 含 60GB 的方案開始；需要更大流量又不想被月費週期催著的，¥158/300GB 的流量包用完為止、永久不會過期。註冊只需使用者名稱和密碼，無需電子郵件地址，首次付款後 60 天內可申請無理由全額退款。