VPN新手入门：订阅、节点、线路类型、协议与分流模式一次讲明白

VPN新手入门，先分清订阅、节点、线路类型、协议与分流模式。这些词分别对应配置来源、连接目标、网络路径、通信方式和流量去向，并不是同一件事。遇到访问异常时，先判断问题在哪一层，比连续更换节点更有效。

客户端里的术语，分别控制什么

日常讨论常把代理客户端和 VPN 客户端统称为 VPN，但技术实现并不相同。传统 VPN 通常建立网络层隧道；代理服务也可能只接管特定应用流量。代理客户端开启虚拟网卡接管后，可以覆盖更多程序，却不能因此认定它与传统 VPN 使用相同协议。

订阅链接与节点：配置如何进入客户端

套餐订阅是计费关系，客户端里的订阅则通常指配置分发。订阅地址可能返回节点列表，也可能返回带有规则、策略组和 DNS 设置的完整配置。两者不能只凭“都是链接”就混用：客户端能读取某种节点格式，不代表能加载另一种客户端的完整配置文件。

节点也不必然对应独占的实体服务器。它可能代表某个入口、出口及协议参数的组合。列表里的地区名称通常用于提示出口位置，但命名方式由服务方决定，不能据此推断全部传输路径。多个名称也可能共用部分基础设施。

订阅更新负责同步配置变化，不等于续费，也不一定改变当前选中的节点。更新前应了解客户端是否会覆盖本地修改；需要自定义规则时，优先使用客户端提供的覆写机制，避免下次更新把修改替换掉。

IEPL 专线、中转与直连：区别在路径

直连通常表示客户端直接连接境外服务端，没有服务方额外安排的中转入口。它仍然会经过运营商网络和国际互联，不是“中间没有路由器”。路径相对容易理解，但实际体验受到本地接入、运营商路由和目的端网络共同影响。

中转是在用户和出口之间增加服务方安排的转发环节。用户先连入口，再由入口转发到出口。合理的中转可以改善特定网络下的路径，但也增加了需要维护的环节。中转不等于专线，更不自动代表低延迟。

IEPL 专线指国际以太网专用线路。服务可能把它用于入口与境外出口之间的传输段；用户到入口的接入段仍可能经过公共网络。因此，“采用 IEPL”不能理解为设备到目标网站的全程都独享，也不能推导出独享 IP。

线路类型与协议是不同维度：同一协议可以运行在不同路径上。选择时先看目标地区能否正常访问，再在自己的常用网络和使用时段观察表现。没有明确路径说明时，不宜仅凭节点名称里的“专线”作判断。

常见协议：兼容性比名称更重要

协议决定客户端与服务端怎样交换数据。Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 属于不同的代理协议方案，不能只看名称就排出通用的快慢顺序。服务端实现、传输设置及当前网络条件同样影响结果。

• Shadowsocks：加密代理协议，客户端需要支持配置使用的具体加密方法。支持 Shadowsocks 不等于支持所有方法与扩展。
• VMess：包含认证与加密机制的代理协议，可搭配不同传输方式。客户端和服务端的传输参数必须一致。
• Trojan：通常基于 TLS 传输。证书验证、服务端名称等设置会影响连接，不应把关闭证书校验当成常规修复方法。
• VLESS：协议本身不提供数据加密，通常配合 TLS、REALITY 等安全层使用。看到 VLESS 名称，仍需确认完整传输配置。
• Hysteria2 与 TUIC：基于 QUIC 的代理方案，依赖 UDP 路径。网络限制 UDP 时，可能出现无法建立连接或表现不稳定的情况。

以上是术语说明，不表示 VPNAdd 提供全部协议。实际可用项以服务面板和客户端说明为准。导入失败时，先核对客户端版本、内核支持与订阅格式，而不是随意改写地址中的协议名称。

全局、规则与虚拟网卡：不要混为一谈

“全局”通常是路由决策：对客户端接管到的流量统一选择代理出口。“规则”则根据域名、目标 IP、进程或其他条件决定去向。规则常按顺序匹配，较早命中的规则可能使后面的规则不再执行，具体以客户端实现为准。

“系统代理”和“TUN 虚拟网卡”讨论的是接管范围。系统代理向应用提供代理设置，但部分程序不遵循它；TUN 在网络层接收被路由进虚拟接口的流量，通常需要相应系统权限。即使界面显示全局，未被接管的应用也可能仍然直连。

日常使用可先选服务方提供的规则配置，让本地资源与需要国际线路的请求各走适合的路径。某个网站异常时，可以临时切换全局作对照，再查看规则命中记录。全局正常、规则异常，往往提示分流或 DNS 配置需要排查，但不能单凭这个现象确定原因。

Windows 和 macOS 的桌面应用对系统代理的遵循情况不同；移动端常通过系统 VPN 接口接管流量。Linux 还需留意桌面代理设置与命令行程序环境的差异。不要把某个平台的开关名称直接套用到其他平台。

首次导入与验证：按顺序排查

1. 获取客户端。从可信入口取得适合系统的客户端，确认它支持服务提供的配置格式。VPNAdd 用户可从用户面板获取客户端，操作说明见新手指引。
2. 导入订阅。在服务面板复制订阅地址，通过客户端的订阅入口添加。若使用一键导入，核对系统唤起的应用是否正确；不要把地址粘贴进搜索引擎。
3. 检查配置。确认节点列表已经出现，选择目标地区，按系统提示授予网络权限。先使用默认规则，避免同时启用多个接管网络的客户端。
4. 验证出口。连接后打开我的 IP，核对浏览器请求的出口。IP 地理数据库可能有差异，出口变化也只证明被测请求的路径变化。
5. 验证实际应用。分别检查浏览器与目标应用。浏览器正常而应用异常时，先检查接管范围；全部失败时，再检查本地网络、节点和订阅状态。
6. 保留排查线索。记录系统、客户端、节点名称、模式与错误提示。提交日志前遮盖订阅令牌及账户信息，必要时通过用户面板提交工单。

DNS 泄漏与流量：常见误解核对

DNS 把域名转换成 IP 地址。如果目标连接走代理，而域名查询却走了不符合预期的本地解析路径，查询信息可能暴露给该路径上的解析服务。是否属于泄漏，要对照预期策略判断；规则模式下主动让本地域名使用本地解析，并不天然是配置错误。

浏览器的加密 DNS、系统解析器与客户端 DNS 设置可能同时存在。检查时应结合客户端日志和实际查询路径，不能只看检测页显示的解析器名称。加密 DNS 保护的是到解析器的查询传输，不会自动把应用连接改成代理。IPv6 也需要纳入接管和规则检查。

• ✅ 出口 IP、DNS 路径与应用接管范围分别验证，避免用浏览器测试代替整台设备的检查。
• ✅ 月订阅流量按开通日每月重置，不按自然月统一重置。
• ✅ VPNAdd 流量包用完为止，永久不过期；应按使用节奏与月订阅比较。
• ❌ 同时在线不限台数，不等于套餐流量无限；连接数量与流量额度是不同概念。
• ❌ 加密传输不等于匿名身份；网站登录、浏览器标识与支付记录仍有各自的数据边界。

选择计费方式时，可查看完整套餐说明。无需邮箱地址可以减少账户开通时提交的信息，但不能替代对隐私政策的核对。银行级加密描述传输保护，不意味着本地设备、目标网站和账户行为都自动获得同等保护。