这份 VPN名词解释按实际使用顺序展开：订阅负责提供配置，节点是可选的连接入口，协议规定通信方式，分流决定哪些请求经过代理。它们不是同一种东西，也不能互相替代。遇到“导入成功却打不开网站”，需要沿着这条链路找原因，而不是把所有问题都归为线路慢。
名词速查：先分清职责
客户端首页经常同时出现订阅、代理、策略组和模式。名称相近不代表功能相同。先看下面的对应关系，后续配置时就能知道自己正在修改哪一层。
| 名词 | 实际作用 | 常见误解 |
|---|---|---|
| 订阅链接 | 让客户端获取或更新节点及相关配置 | 不是网页入口，也不是连接隧道本身 |
| 节点 | 包含服务器地址、端口、认证与协议等连接信息 | 地区名称不能证明物理路径或平台可用性 |
| 协议 | 约定客户端与服务端怎样通信 | 名称更新不等于所有网络上都更快 |
| 策略组 | 组织节点，供手动选择或按配置自动选择 | 组名不一定是实际服务器名称 |
| 分流规则 | 依据域名、地址或进程等条件决定请求去向 | 选择节点并不意味着所有应用都会使用它 |
| 系统代理 / TUN | 以不同方式把应用流量交给客户端处理 | 接管方式与全局、规则模式不是同一个开关 |
日常所说的 VPN 有时泛指网络代理服务。严格来说，系统级 VPN 隧道与应用代理的工作方式存在差异。判断覆盖范围时，应看客户端采用的接管方式，不要只看产品名称里有没有 VPN。
订阅与节点：配置从哪里来
订阅套餐与订阅链接不是一回事
“订阅”可能指计费关系，也可能指配置更新机制。月订阅描述套餐周期；客户端里的订阅链接则是获取配置的地址。购买流量包后也可能通过订阅链接导入节点，两者并不矛盾。具体流量、有效期和重置方式应以套餐说明为准。
订阅内容不一定只有服务器列表。不同格式可能还包含策略组、分流规则和 DNS 设置，也可能只提供节点参数。因此，导入成功仅说明客户端接受了某种配置，不代表路由、解析和流量接管已经全部正确。
节点通常由服务器地址、端口、协议、认证信息及传输参数组成。客户端显示的地区名称只是标签。入口所在地区、流量最终出口与中间传输路径可能不同，不能仅凭名称判断访问网站时看到的出口地区。
订阅链接可能包含访问凭据，应按敏感信息保管。不要粘贴到公开论坛、截图或不明订阅转换网站。怀疑泄露时，使用面板提供的重置功能，并更新客户端中的旧地址。
导入后应该检查什么
- 登录面板，在客户端入口确认支持的平台与配置格式，再按教程取得订阅。
- 在客户端的订阅或配置页面导入链接。若提示格式错误，先核对所选客户端与订阅类型，不要反复修改节点参数。
- 执行更新，确认节点列表能够加载。更新失败时，检查链接完整性、当前网络和账户状态。
- 选择节点或策略组，再按用途启用系统代理或客户端支持的流量接管功能。
- 打开实际需要的网站或应用，核对客户端连接日志中的规则命中与出站选择。
如果节点列表为空，优先检查订阅获取环节；如果列表正常但连接失败，再检查节点和网络。这样能把“配置没取到”与“配置取到了却连不上”分开处理。
协议：通信方式不是速度排名
Shadowsocks、VMess、Trojan、VLESS、Hysteria2 和 TUIC 都可能出现在代理客户端中，但它们不能靠改一个名称互相转换。客户端内核需要支持对应协议及其具体参数，服务端也必须提供匹配的配置。
- Shadowsocks：加密代理协议，客户端与服务端需要使用兼容的加密方法和密钥等参数；不同版本的支持情况可能不同。
- VMess：带认证机制的代理协议，可配合不同传输方式；配置中的传输类型与安全设置需要与服务端一致。
- Trojan：通常结合 TLS 建立安全传输，需要正确的认证和 TLS 参数；域名、证书校验等设置不能随意关闭或替换。
- VLESS：轻量代理协议，本身不提供内容加密，需要配合 TLS、REALITY 等安全机制理解，不能把协议名称直接等同于加密隧道。
- Hysteria2 与 TUIC：基于 QUIC 的代理方案，依赖 UDP 通信；在限制 UDP 的网络中可能无法正常连接。
这些是概念说明，不是 VPNFK 当前提供全部协议的清单。实际可选项应以面板配置和客户端支持情况为准。浏览器能访问普通网页，也不代表当前网络允许所选协议需要的传输方式。
选择结论：先选服务端与客户端都支持的配置，再比较实际应用表现。协议名称不能单独证明速度、稳定性或隐私水平；频繁手改传输参数通常比按官方配置排查更容易引入错误。
线路类型：专线、中转与直连
线路类型描述流量经过怎样的网络路径，协议描述通信如何组织。它们是不同维度。同一种协议可以部署在不同路径上，同一条路径也可能承载不同协议。
直连通常指用户直接连接境外代理服务器，路径较依赖本地运营商的国际出口与路由。这里的“直连节点”不等于规则中的 DIRECT：前者仍可能是代理连接，后者通常表示目标请求不经代理出站。
中转通常先接入一个入口，再由入口转发到出口。增加转发环节不必然更慢；如果入口和后续路径更适合当前网络，表现也可能更稳定。反过来，中转标签也不能保证晚高峰质量。
IEPL 专线通常指运营商提供的国际以太网专用线路，用于特定站点间的传输。用户到入口、出口到目标网站仍有其他网络环节。看到专线名称时，应理解它描述的是路径中的某一段，而不是用户到所有网站的全程质量保证。
挑选线路时，应在相同设备、接近的使用环境下观察实际任务：网页是否完整加载，会议是否断续，观影是否持续缓冲。客户端探测的响应时间只反映某种测试条件，不能代替下载吞吐、丢包和应用层可用性判断。可结合节点页面核对实际线路信息。
分流与全局：请求究竟走哪里
规则模式根据匹配条件选择出站，常见条件包括域名、目标地址与进程。规则一般按配置顺序匹配，因此宽泛规则放在前面，可能让后面的精细规则没有机会生效。最终兜底规则则负责处理此前未匹配的请求。
全局模式通常把已经进入客户端处理范围的流量交给所选代理或策略组。它不等于设备上的所有应用都会自动被接管。某个应用如果不遵循系统代理，单纯切到全局模式仍可能不起作用。
系统代理与 TUN 应该怎样理解
系统代理向支持该设置的应用提供代理入口。浏览器往往会遵循系统代理，但游戏、命令行工具和办公软件的行为可能不同。TUN 则通过虚拟网络接口接管 IP 流量，通常覆盖更广，但仍受路由、排除项、系统权限和客户端实现影响。
Windows 与 macOS 客户端可能需要额外授权或安装服务才能启用某些接管功能；移动端客户端常借助系统 VPN 接口转发流量。Linux 还要结合桌面代理、环境变量与应用自身设置判断。界面显示“已连接”，不一定表示所有进程都走同一路径。
- ✅ 日常办公兼顾本地网站与国际网站：优先使用来源明确的规则配置，再检查需要的应用是否命中预期出站。
- ✅ 只有某个网站异常：临时切换模式作对照，并查看该域名的规则命中，不要先重装客户端。
- ✅ 浏览器可用但其他软件不可用：先检查流量接管与软件自身代理设置，再考虑更换节点。
- ❌ 把全局模式当作地区限制的通用解法：平台仍可能依据账户地区、出口地址和其他信号作判断。
用于 AI 工具或流媒体时，代理连通与平台允许使用是两件事。连接建立成功，并不能改变平台的账户资格、内容授权或地区规则。
DNS 泄漏与常见故障排查
DNS 负责把域名解析成网络地址。DNS 请求可能由系统、客户端或应用自己的加密 DNS 功能发出。如果你希望解析也经过指定路径，但实际仍发送给本地网络的解析器，就可能出现通常所说的 DNS 泄漏。
加密 DNS 主要保护到解析器之间的查询传输，不会自动把网站访问变成代理访问。反过来，代理已启用，也不能推断所有 DNS 查询都已被接管。应结合客户端 DNS 设置、浏览器安全 DNS 与实际路由一起检查。
检测页面显示本地解析器是一条排查线索，但也要结合分流设计判断：本地服务按规则使用本地解析可能是有意安排；第三方检测页也无法覆盖所有应用。不要为了让检测结果“看起来统一”，盲目覆盖整套 DNS 配置。
按现象定位，不按名词猜测
- 订阅无法更新：核对地址是否完整、账户是否可用、订阅格式是否匹配，以及当前网络能否访问订阅服务。
- 节点普遍连接失败：检查系统时间、网络限制和客户端内核兼容性，再查看错误日志中的握手或认证提示。
- 仅部分应用失败：检查应用是否进入代理处理范围，以及命中的规则和 DNS 结果是否符合预期。
- 只有特定平台提示地区限制：核对实际出口与平台规则；不要把提示直接解释为协议失效。
- 能连接但体验波动：暂停后台大流量任务，在相近条件下更换线路作对照，避免同时修改协议、DNS 和规则而失去比较依据。
向客服提供问题时，写明系统、客户端、网络环境、所选线路和可复现现象。分享日志前遮盖订阅地址、认证凭据与账户信息，不要提交整份未经检查的配置。
记忆方法：订阅解决“配置从哪里来”，节点解决“连接到哪里”，协议解决“怎样通信”，分流解决“哪些请求走哪条路”。沿着这条顺序排查，比把所有开关都切换一遍更容易找到原因。
准备实际配置时，可继续查看客户端使用教程；遇到无法解释的错误，可带着已脱敏的现象说明前往客服页面。先确认问题发生在哪一层，再决定是否需要改配置或换线路。