理解 VPN 術語，可以先從用戶端介面著手：訂閱用來提供設定，節點是可選擇的連線入口，分流決定哪些請求經由代理，而規則模式則依規則執行分流。這些概念各自屬於不同層面，不能互相取代。連線後網站仍無法開啟，也不一定是節點故障；還要確認請求是否進入用戶端、符合哪條規則，以及網域如何解析。
名詞速查：設定、路徑與流量處理
日常所說的 VPN，有時指系統層級的加密通道，有時則泛指使用代理協定的訂閱服務。代理用戶端啟用系統代理，與啟用虛擬網路介面，接管流量的方式並不相同。先看懂下表，再檢查用戶端的開關，就不會把「已連線」誤認為「所有應用程式都已接管」。
| 術語 | 實際含義 | 常見誤解 |
|---|---|---|
| 訂閱連結 | 用戶端取得節點或設定的網址，通常包含存取憑證。 | 不是一般網頁，也不等於計費方案本身。 |
| 節點 | 用戶端可選擇的代理連線設定，包含伺服器位址、協定及驗證資訊。 | 名稱中的地區不一定是入口伺服器所在地。 |
| 線路 | 從本地網路經由入口、傳輸鏈路到出口的存取路徑。 | 不等於協定，也不能只憑名稱判斷品質。 |
| 協定 | 用戶端與伺服器傳輸、驗證及加密資料時遵循的規範。 | 協定較新，不代表在任何網路環境下都更快。 |
| 策略組 | 規則指向的一組候選節點或處理方式，可手動選擇，也可依設定自動選取。 | 目前選取的節點不一定適用於所有策略組。 |
| 分流 | 依網域、位址、應用程式等條件，選擇直連、代理或拒絕。 | 不是把同一筆請求平均分配給所有節點。 |
| DNS | 將網域解析為網路位址的機制。 | 網頁請求經由代理，不代表網域查詢也走相同路徑。 |
| TUN | 透過虛擬網路介面接收流量，再交由用戶端處理。 | 仍可能有路由排除項目，並非保證無須設定即可接管所有流量。 |
訂閱連結：匯入設定，不是付款
「訂閱」有計費與設定兩種意思。方案頁的月訂閱說明收費週期與流量規則；用戶端的訂閱通常指設定來源。匯入連結是讓用戶端讀取伺服器設定，不能據此判斷方案是否有效、流量是否足夠，也不會自動變更方案。
訂閱內容可能只有節點清單，也可能包含策略組、分流規則與 DNS 設定，視服務提供的格式及用戶端支援範圍而定。更新訂閱通常會同步節點異動，但本機修改是否保留、規則是否遭覆蓋，仍須查看用戶端的更新機制。新手應先使用服務提供的相容格式，不要直接混用不同用戶端的完整設定。
- 確認用戶端來源可信，並查看其支援的訂閱格式與協定。取得用戶端的入口請見使用者面板下載頁；下載需要登入，實際連結由面板依方案狀態提供。
- 在使用者面板複製訂閱連結，再到用戶端的訂閱或設定管理頁面匯入。若匯入失敗，先檢查複製時是否多了空格、連結是否完整，以及格式是否相容。
- 執行更新，確認節點清單已顯示。接著選取設定、挑選策略組中的節點，並啟用所需的流量接管方式。
- 開啟實際要使用的網站或應用程式，搭配用戶端的連線記錄確認請求路徑。不要只看節點測試圖示。
節點與線路：出口地區不等於完整路徑
節點名稱可能標示日本或新加坡，通常是提示出口地區。實際請求也可能先抵達入口，再經由中轉鏈路到達出口。目標網站看到的位址主要取決於出口；本地連線品質則同時受到接取網路、入口可連通性、傳輸鏈路與伺服器負載影響。
直連、中轉與 IEPL 的差異
直連通常指用戶端直接連線至境外代理伺服器，路徑較單純，但會受到本地國際出口與網路策略影響。中轉是在途中增加轉送環節，透過入口改善某段路徑的可連通性；不一定使用專線，也不保證尖峰時段的表現。IEPL 是乙太網路專線服務；若訂閱服務將其用於傳輸，表示路徑中的特定區段採用專線承載，不代表從使用者裝置到目標網站的每一段都是專線。
因此，線路類型可作為選線參考，不能取代實際使用體驗。用戶端顯示的「延遲」也取決於測試方式：測試代理交握、存取測試網址和測量網路往返時間，代表的意義並不相同。延遲較低，也可能因為吞吐量不足或封包遺失而造成影片播放卡頓。建議先用自己的會議、文件或媒體應用程式測試，再查看請求記錄中的出口與錯誤資訊。
協定名稱：相容性優先於速度排名
Shadowsocks、VMess、Trojan、VLESS、Hysteria2 和 TUIC 是常見的代理協定或協定方案，不代表服務涵蓋範圍、方案等級或線路等級。以下僅說明技術含義，不代表 VPNLM 提供所有協定；實際支援情況請以面板設定與用戶端說明為準。
- Shadowsocks：加密代理協定。用戶端與伺服器必須使用相符的加密方式及憑證；不同實作對功能與版本的支援可能有所差異。
- VMess：具備驗證與加密機制的代理協定，可搭配不同傳輸方式使用。節點能否連線，取決於協定參數與傳輸參數是否相符。
- Trojan：通常透過 TLS 傳輸代理流量。憑證驗證、伺服器名稱與驗證資訊都必須正確，不應為了連線成功而任意關閉憑證驗證。
- VLESS：輕量的驗證代理協定，本身不負責資料加密，需搭配 TLS、REALITY 等相應的安全層。只看 VLESS 這個名稱，無法判斷整套設定的安全性。
- Hysteria2 與 TUIC：以 QUIC 為基礎的代理方案，通常需要 UDP 可連通。部分網路會限制 UDP，可能導致無法連線；支援其他協定的用戶端也不一定支援這兩種方案。
選擇協定時，先確認「用戶端支援、網路允許、伺服器設定相符」。若線路路徑與壅塞狀況沒有改變，只更換協定未必能改善體驗。遇到錯誤時，請保留錯誤訊息，分辨是驗證失敗、憑證問題、解析失敗還是連線逾時，而不是反覆切換所有開關。
分流與規則模式：請求依據哪些條件分流
規則模式會將已進入用戶端的請求交由規則比對。常見規則條件包括網域、網域後綴、目標位址與應用程式程序；可用條件取決於用戶端。比對結果可能是直連、某個代理策略組或拒絕。許多用戶端會依規則順序比對，首次符合後即停止；最後的兜底規則則處理前面的規則都未符合的請求。
例如，可將協作工具的網域交由辦公策略組處理，區域網路裝置採直連，其餘請求則交給兜底策略。辦公策略組選擇日本節點，不代表媒體策略組也會切換至日本。若遇到「明明換了節點，出口卻沒變」，請先查看該請求符合哪個組別，而不是重新匯入訂閱。
全域模式通常會讓已由用戶端接管的請求統一使用指定的代理策略；直連模式通常會讓這些請求不經代理伺服器。但不同用戶端對模式名稱、區域網路排除項目及特殊請求的處理方式可能不同。全域模式可暫時用來判斷規則是否有問題，但無法讓原本未經用戶端處理的應用程式自動改走代理。
- ✅ 日常使用規則模式前，請確認目標網域符合預期的策略組，並檢查組內實際選取的節點。
- ✅ 切換全域模式後問題消失，請優先檢查分流規則、規則順序與兜底策略。
- ❌ 不要把「全域」理解為保證接管整台裝置的所有流量；仍須另外確認流量接管範圍。
- ❌ 不要長期同時使用多個會修改系統代理、路由與 DNS 的用戶端，否則排查時難以確認是哪個程式正在接管請求。
DNS 洩漏：也要檢查查詢路徑
存取網域時，應用程式通常會先解析位址。如果網頁連線經由代理轉送，DNS 查詢卻透過本地網路傳送，就可能暴露正在查詢的網域。這種情況通常稱為 DNS 洩漏，但是否違反隱私預期，仍須依設定目標判斷；在分流規則中刻意設為直連的網域，不能只因使用本地解析就判定異常。
用戶端內的 DNS、作業系統 DNS 與瀏覽器的加密 DNS 可能各自生效。啟用瀏覽器加密 DNS，不代表查詢必然經由目前的代理；查詢連線也可能採直連。啟用 TUN 後，仍應檢查 DNS 接管設定、路由與 IPv6 處理方式，不能只確認 IPv4 出口就結束排查。
部分用戶端會使用 Fake-IP，先將網域對應至虛擬位址，再於轉送時連結網域與實際目標。這是輔助分流的技術，並不等同 DNS 故障；有些應用程式也需要設定例外。不要直接複製陌生設定中的 DNS 區段，就認定問題已解決；請先確認用戶端支援的語法與模式。
用戶端差異：連線後如何找出問題
Windows 與 macOS 用戶端通常提供系統代理、TUN 等流量接管方式。系統代理主要影響遵循系統代理設定的應用程式，有些程式會使用獨立的網路設定；TUN 通常需要額外權限，也可能與其他網路軟體的路由設定衝突。Linux 環境還需留意權限、路由與 DNS 管理方式，不能直接照搬桌面用戶端的選單步驟。
iOS 與 Android 用戶端通常透過系統提供的 VPN 網路延伸功能或 VPN 介面處理流量，但應用程式排除項目、背景執行行為與協定支援情況，取決於用戶端及系統設定。Android 的省電限制可能影響背景執行；行動裝置從無線網路切換至行動網路後，也可能需要重新建立連線。系統顯示的 VPN 標記只代表網路介面狀態，不代表目標網站一定能使用。
排查時依資料流經的順序逐步檢查，比盲目重新安裝更有效：設定是否成功載入、節點是否能建立連線、應用程式請求是否進入用戶端、規則是否選對出口、DNS 是否回傳可用結果，最後再檢查目標服務的地區與帳號限制。一般網頁可以開啟，但特定服務拒絕存取，可能是目標服務政策或出口位址限制，不應直接歸因於協定。
如需進一步的操作說明，請參閱使用教學。向面板工單提交問題時，請說明平台、用戶端名稱、使用的網路、模式與完整錯誤訊息，並遮住憑證。請分別描述「無法連線」和「已連線但應用程式無法使用」，才能縮小排查範圍。