VPN名词解释先从客户端界面入手：订阅负责提供配置，节点是可选择的连接入口，分流决定哪些请求走代理，规则模式则按规则执行分流。它们属于不同层面，不能互相替代。连接后网站仍打不开，也未必是节点故障，要继续检查请求是否进入客户端、命中了什么规则，以及域名如何解析。
名词速查：配置、路径与流量处理
日常所说的 VPN，有时指系统级加密隧道，有时泛指使用代理协议的订阅服务。代理客户端启用系统代理与启用虚拟网络接口，并不是相同的流量接管方式。先读懂下表，再看客户端上的开关，可以避免把“已连接”误读成“全部应用都已接管”。
| 名词 | 实际含义 | 常见误解 |
|---|---|---|
| 订阅链接 | 客户端获取节点或配置的地址，通常包含访问凭据。 | 不是普通网页，也不等于计费套餐本身。 |
| 节点 | 客户端可选的代理连接配置，包含服务器地址、协议及认证信息。 | 名称中的地区不一定是入口服务器的位置。 |
| 线路 | 从本地网络经入口、传输链路到出口的访问路径。 | 不等于协议，也不能仅凭名称判断质量。 |
| 协议 | 客户端与服务端传输、认证及加密数据的约定。 | 协议较新不代表任何网络下都更快。 |
| 策略组 | 规则指向的一组候选节点或处理方式，可手动选择或按配置自动选择。 | 当前选中的节点不一定适用于所有策略组。 |
| 分流 | 按域名、地址、应用等条件，选择直连、代理或拒绝。 | 不是把同一份请求平均分给所有节点。 |
| DNS | 将域名解析成网络地址的机制。 | 网页请求走代理，不代表域名查询也走相同路径。 |
| TUN | 通过虚拟网络接口接收流量，再交由客户端处理。 | 仍可能有路由排除项，不是无需配置的全量接管保证。 |
订阅链接：导入配置，不是付款动作
“订阅”有计费和配置两种语境。套餐页的月订阅描述收费周期与流量规则；客户端的订阅通常描述配置来源。导入链接是让客户端读取服务器配置，不能据此判断套餐是否有效、流量是否充足，也不会自动完成套餐变更。
订阅内容可能只是节点列表，也可能包含策略组、分流规则与 DNS 设置，取决于服务提供的格式和客户端支持范围。更新订阅通常会同步节点变化，但本地修改是否保留、规则是否被覆盖，需要查看客户端的更新机制。新手应先使用服务提供的匹配格式，不要把不同客户端的完整配置直接混用。
- 确认客户端来源可信，并查看它支持的订阅格式和协议。获取客户端的入口可见用户面板下载页，下载需要登录，实际链接由面板按套餐状态提供。
- 在用户面板复制订阅链接，到客户端的订阅或配置管理页面导入。若导入失败，先排查复制时的空格、链接完整性与格式兼容性。
- 执行更新，确认节点列表出现。再选中配置、选择策略组内的节点，并启用所需的流量接管方式。
- 打开实际要使用的网站或应用，结合客户端连接记录确认请求路径。不要只看节点测试图标。
节点与线路：出口地区不等于全程路径
节点名称可能写着日本或新加坡，通常是在提示出口地区。实际请求还可能先到达入口，再通过中转链路抵达出口。目标网站看到的地址主要取决于出口；本地连接质量则同时受到接入网络、入口可达性、传输链路和服务端负载影响。
直连、中转与 IEPL 的区别
直连通常指客户端直接连接境外代理服务器，路径较直观，但会受到本地国际出口和网络策略影响。中转是在途中增加转发环节，通过入口改善某段可达性；它不必然使用专线，也不保证晚高峰表现。IEPL 是以太网专线服务，若订阅服务将其用于传输，说明路径中的特定段采用专线承载，不表示从用户设备到目标网站的每段都是专线。
因此，线路类型可以作为选线信息，不能代替实际体验。客户端显示的“延迟”还取决于测试方法：测试代理握手、访问测试网址和测量网络往返时间，含义并不相同。延迟较低，也可能因为吞吐量不足或丢包而出现视频停顿。优先用自己的会议、文档或媒体应用验证，再查看请求记录中的出口和错误信息。
协议名称：兼容性先于速度排名
Shadowsocks、VMess、Trojan、VLESS、Hysteria2 和 TUIC 是常见代理协议或协议方案，不是覆盖范围、套餐档位或线路等级。下面只解释技术含义，不代表 VPNLM 提供全部协议；具体应以面板配置和客户端说明为准。
- Shadowsocks：加密代理协议。客户端与服务端需要匹配的加密方式及凭据，不同实现对特性和版本的支持可能不同。
- VMess：具有认证与加密机制的代理协议，可配合不同传输方式使用。节点能否连接，要看协议参数与传输参数是否一致。
- Trojan：通常通过 TLS 承载代理流量。证书验证、服务器名称与认证信息都需要正确，不能为了连接成功随意关闭证书验证。
- VLESS：轻量的认证代理协议，本身不承担数据加密，需要依靠 TLS、REALITY 等相应安全层。仅看 VLESS 名称不能判断整套配置的安全属性。
- Hysteria2 与 TUIC：基于 QUIC 的代理方案，通常依赖 UDP 可达性。某些网络限制 UDP 时，可能无法连接；支持其他协议的客户端也不一定支持它们。
协议选择应从“客户端支持、网络允许、服务端配置匹配”开始。线路路径和拥塞状况没有改变时，仅替换协议未必改善体验。遇到报错应保留错误文本，区分认证失败、证书问题、解析失败与连接超时，而不是反复切换所有开关。
分流与规则模式：请求按什么条件走
规则模式会把已进入客户端的请求交给规则匹配。常见规则条件包括域名、域名后缀、目标地址与应用进程；可用条件取决于客户端。匹配结果可能是直连、某个代理策略组或拒绝。许多客户端按规则顺序首次命中即结束，末尾的兜底规则负责未被前面规则匹配的请求。
例如，协作工具的域名可以交给办公策略组，局域网设备走直连，其余请求交给兜底策略。办公策略组选择日本节点，不代表媒体策略组也会切到日本。遇到“明明换了节点，出口却没变”，先查看该请求命中的组，而不是重新导入订阅。
全局模式通常让已被客户端接管的请求统一使用指定代理策略；直连模式通常让这些请求不经过代理服务器。但不同客户端对模式名称、局域网排除项和特殊请求的处理可能不同。全局模式可以临时帮助判断规则是否有问题，却不能让本来绕过客户端的应用自动进入代理。
- ✅ 日常使用规则模式前，确认目标域名命中了预期策略组，并检查组内实际节点。
- ✅ 切换全局模式后问题消失，优先检查分流规则、规则顺序与兜底策略。
- ❌ 不要把“全局”理解成对整台设备全部流量的保证；流量接管范围仍需单独确认。
- ❌ 不要长期叠加多个客户端修改系统代理、路由与 DNS，否则排查时难以确定谁在接管请求。
DNS 泄漏：查询路径也需要检查
访问域名时，应用通常需要先解析地址。如果网页连接经代理转发，DNS 查询却通过本地网络发送，就可能暴露正在查询的域名。这通常称为 DNS 泄漏，但具体是否偏离隐私预期，要结合配置目标判断；规则分流中有意直连的域名，并不能仅凭使用本地解析就判定为异常。
客户端内的 DNS、操作系统 DNS 与浏览器加密 DNS 可能分别生效。开启浏览器加密 DNS 不等于查询必然经过当前代理；查询连接也可能直连。启用 TUN 后仍应检查 DNS 接管设置、路由和 IPv6 处理，不能只确认 IPv4 出口就结束排查。
某些客户端会使用 Fake-IP，把域名先映射到虚拟地址，再在转发时关联域名与实际目标。这是辅助分流的技术，不是 DNS 故障的同义词；也有应用需要配置例外。不要复制陌生配置中的 DNS 段后就认为问题已经解决，应确认客户端支持的语法与模式。
客户端差异：连接后如何定位问题
Windows 与 macOS 客户端常提供系统代理和 TUN 等接管方式。系统代理主要影响遵循系统代理设置的应用，部分程序使用独立网络设置；TUN 通常需要额外权限，并可能与其他网络软件的路由发生冲突。Linux 环境还需关注权限、路由与 DNS 管理方式，不能只照搬桌面客户端的菜单步骤。
iOS 与 Android 客户端常借助系统提供的 VPN 网络扩展或 VPN 接口处理流量，但具体的应用排除、后台行为与协议支持取决于客户端和系统设置。Android 的省电限制可能影响后台运行；移动设备从无线网络切到移动网络后，连接也可能需要重新建立。这里的系统 VPN 标识说明网络接口状态，不代表目标网站一定可用。
排查时按数据经过的顺序检查，比盲目重装更有效：配置是否成功加载，节点是否能建立连接，应用请求是否进入客户端，规则是否选对出口，DNS 是否返回可用结果，最后才检查目标服务的地区与账号限制。能打开普通网页但特定服务拒绝访问，可能是目标服务政策或出口地址限制，不应直接归因于协议。
需要进一步操作说明时，可查看使用指南。向面板工单提交问题时，说明平台、客户端名称、使用的网络、模式与完整错误文本，并遮住凭据。把“无法连接”和“已连接但应用不可用”分开描述，才能缩小排查范围。