VPN 新手名词速查:订阅、节点、线路、协议、分流一次讲明白

VPN 新手名词速查：先分清配置、路径与规则

VPN 新手名词速查的关键，是把订阅、节点、线路、协议和分流放回各自的位置。订阅提供配置，节点是客户端可选择的连接条目，线路描述流量经过的路径，协议规定通信方式，分流决定哪些请求走哪条路。它们相关，但不能互相替代。

日常讨论里，“VPN”有时也被用来统称代理客户端与网络加速服务。严格来说，系统级 VPN 隧道与应用代理并不是同一种接管方式。客户端显示“已连接”，只说明某个连接环节成立，不等于所有应用都经过同一出口。

订阅链接与节点：导入的是配置，不是流量

“订阅”有计费与配置两种常见含义。月订阅是套餐的计费方式；订阅链接则是客户端读取配置的地址。购买流量包后，同样可能通过订阅链接获取节点。不要把“更新订阅”理解成续费，它通常只是重新拉取服务端提供的配置。

节点配置一般包含服务器地址、端口、认证信息与协议参数。节点名称属于便于识别的标签，不能单凭名称确认真实出口、线路类型或目标服务可用性。入口负责接收连接，出口负责向目标网站发起访问，两者可能不在同一地区。

订阅格式也有差异。有的只提供节点集合，有的提供包含策略组、分流规则与 DNS 设置的完整配置。客户端能导入某个链接，不代表它支持链接内所有字段；导入后应查看是否有不支持项目或解析错误。

1. 登录服务面板，取得与当前客户端匹配的订阅或配置。
2. 在客户端的订阅管理或配置导入入口粘贴链接，完成更新。
3. 确认节点列表已出现，并检查当前配置、策略组与所选节点。
4. 启用适当的流量接管方式，再分别验证出口和目标应用。

IEPL 专线、中转与直连：比较路径，不比较标签

在代理服务语境中，直连通常指客户端经公共互联网直接连接代理服务器，不经过服务商额外设置的中转入口。这里的“直连线路”和分流规则中的“直连”不是同一概念：后者通常指请求不走代理，直接访问目标。

中转线路在客户端与出口之间增加转发环节。服务商可以借助入口位置与上游互联来调整路径，但多一层转发不必然更慢，也不必然更稳。实际表现取决于本地运营商、入口负载、中转链路以及出口到目标服务的连接。

IEPL 指国际以太网专线，通常用于描述运营商提供的专用以太网连接。服务商所说的 IEPL 线路，可能仅在整条访问路径的某一段使用专线。家庭网络到入口，以及出口到目标网站的部分，仍可能经过公共互联网。

因此，“专线”不能自动推导出固定延迟、独享带宽或所有网站可用。选择线路时，应在实际使用网络与常用时段验证目标应用。网页打开、文件传输与实时通话对丢包、抖动和吞吐的敏感程度不同，单个延迟读数不足以下结论。

代理协议：兼容性先于名称

协议决定双方如何认证、封装和传输数据，不直接决定出口地区，也不替代线路质量。下面是行业中常见的协议概念，不代表 VPNHead 已提供所有这些协议；具体支持范围应以面板配置和客户端说明为准。

• Shadowsocks：加密代理协议。客户端与服务端需要匹配的加密方法及认证参数；不同实现和版本的兼容范围可能不同。
• VMess：带身份认证的代理协议。配置不仅涉及服务器地址，还涉及用户标识及可能使用的传输层设置。
• Trojan：通常借助 TLS 保护代理连接。证书验证与服务器名称等配置会影响握手，不能为了消除报错就随意关闭验证。
• VLESS：轻量代理协议，本身不提供内容加密；实际连接的保护依赖配套安全层，例如 TLS。只看到 VLESS 名称不足以判断完整安全配置。
• Hysteria2 与 TUIC：均基于 QUIC，依赖 UDP 网络可达性。若当前网络限制 UDP，即使订阅参数正确，也可能无法正常连接。

协议与传输方式还应分开看。某些协议可以搭配不同传输方式，客户端必须支持整套组合。遇到“导入成功但无法握手”，先检查客户端版本、协议支持、系统时间和证书错误，再排查网络可达性，不要直接认定为套餐失效。

规则模式、全局模式与 TUN：决定谁走代理

规则模式根据域名、目标地址、应用进程或规则集合决定流量去向。常见做法是让本地服务直连，让需要国际线路的请求进入代理策略组。规则顺序通常很重要：较早匹配的规则可能先决定去向，最后的兜底规则负责尚未命中的请求。

全局模式通常让客户端接管到的请求统一使用选定代理策略。但“接管到的请求”是关键限定。应用如果不遵循系统代理设置，或自行使用其他连接方式，仍可能不进入客户端。全局模式不等于整个设备的所有网络活动都已覆盖。

系统代理通常用于让支持该设置的应用把请求交给本地代理端口。TUN 则通过虚拟网络接口接管流量，覆盖范围通常更广，但也涉及路由、DNS、权限及与其他网络软件的兼容性。TUN 是接管方式，不是代理协议，也不是新的出口节点。

Windows 与 macOS 上，需要区分系统代理和虚拟接口模式；Linux 上还可能涉及路由与权限配置。Android 与 iOS 客户端常通过系统提供的 VPN 接口工作，具体是否支持应用分流、排除局域网等选项，取决于系统与客户端实现。

遇到某个应用打不开，可以临时切换全局模式作对照。若全局正常、规则模式异常，优先检查规则命中与策略组；若两种模式都失败，再检查节点、出口或应用自身限制。完成定位后恢复合适的分流，不必长期让所有本地服务绕行。

DNS 泄漏与出口验证：连接成功后的检查

DNS 用来把域名解析为网络地址。DNS 泄漏通常指解析请求没有按预期走受控路径，而是交给了本地网络或其他不希望使用的解析方。它与网页出口是否改变是不同问题：网站看到代理出口，不代表相关 DNS 请求也按预期处理。

客户端可能接管系统 DNS，浏览器也可能启用自己的加密 DNS，应用还可能内置解析逻辑。排查时要确认请求实际由谁解析、走哪条路，而不是只看“加密 DNS”开关。使用加密传输可以保护到解析器之间的请求，但不自动意味着请求经过代理。

检查 DNS 时，应结合客户端日志、规则命中和检测页面观察。解析器所在地区与出口地区不同，不足以单独证明泄漏，因为解析服务可能使用分布式网络。反过来，检测页面没有发现异常，也不能证明所有应用和所有连接都采用了相同路径。

• ✅ 在IP 查询页核对当前浏览器的出口，再到目标应用中测试实际功能。
• ✅ 查看客户端连接记录，确认目标域名匹配的规则和策略组符合预期。
• ✅ 核对系统、客户端与浏览器的 DNS 设置，避免不同配置相互覆盖。
• ✅ 每次只改变一项设置，保留错误提示，便于回退和定位原因。
• ❌ 不把关闭证书验证、随意替换订阅参数或清空全部规则当作通用修复方法。

出口正确但目标服务仍不可用，原因可能是账户地区、服务政策、出口地址信誉或应用缓存。更换协议不一定解决这些问题。需要求助时，可通过支持页面提供客户端名称、系统环境、错误提示和问题发生场景，分享截图前遮住订阅链接与认证信息。

把名词落实到选择：先明确需求，再验证配置

只为浏览器访问国际网站时，先确认应用是否遵循系统代理；需要覆盖更多桌面应用时，再评估 TUN 及其兼容性。家庭设备统一接入则涉及路由器性能、策略路由与局域网访问，不能简单照搬桌面客户端设置。

选择服务时，把套餐流量、使用频率与线路需求分开判断。VPNHead 提供月订阅与用完为止、永久不过期的流量包；月流量按开通日每月重置。不限台数描述的是设备使用规则，不等于流量无限，也不构成带宽保证。具体价格可在套餐页核对。

VPNHead 的安全主话术是“匿名无日志”，这是隐私策略表述，不应理解为目标网站无法识别登录账户或终端。账户使用用户名与密码，无需邮箱地址。获取客户端及订阅需登录；iOS 客户端的获取另需有效套餐，其他平台登录即可下载。