這份 VPN 新手入門名詞速查，集中說明用戶端中的訂閱、節點、協定、直連、中轉、全域代理與分流規則。它們並非同一層級的設定：訂閱負責提供設定，節點代表可選的出口，協定規定通訊方式，模式與規則則決定哪些連線經過節點。先分清這些層級，再匯入訂閱與切換線路，用戶端介面就不會再像一排看不懂的開關。
訂閱與節點分別是什麼
訂閱是設定入口，不等於單一節點
訂閱通常是一段連結。用戶端連線至該連結後，會取得服務端提供的節點名稱、伺服器位址、連接埠、協定參數，以及可能附帶的分組資訊。一個訂閱可以包含多個節點，也能在服務端調整線路後更新內容。因此，「已匯入訂閱」只代表設定清單已進入用戶端，不表示目前已建立連線。
訂閱連結本身可能包含存取憑證，應以帳戶憑證的方式保管。不要將連結貼到公開測速頁面、論壇截圖、共用文件或來源不明的轉換工具中。需要在另一台自己的裝置上使用時，應透過可信任的方式傳遞；不再使用某台裝置時，可以刪除其中的訂閱與快取設定。
節點是一次連線所使用的入口與出口組合
用戶端清單中的「日本」、「新加坡」或其他地區名稱，通常是在描述節點出口或線路用途，但名稱只是標籤。實際參與連線的還包括入口伺服器、傳輸路徑、協定與出口位址。選定節點後，用戶端會依該設定嘗試建立通道或代理連線；成功後，符合目前分流規則的流量才會交由它處理。
節點與伺服器也不宜完全畫上等號。同一台伺服器可以承載不同協定設定，同一條服務線路也可能透過多個入口提供。對使用者而言，更實用的判斷單位是「可連線的完整設定」：是否能完成交握、是否適合目前網路、出口地區是否符合存取需求，以及持續傳輸時是否穩定。
- ✅ 匯入訂閱後先執行更新，確認用戶端取得目前設定。
- ✅ 先從地理位置較近的節點開始測試，再依目標服務所在的地區調整。
- ✅ 分開記錄訂閱更新失敗與節點連線失敗，兩者對應不同的故障層級。
- ❌ 不要把「清單中看得到節點」當成「節點已經連通」。
- ❌ 不要公開訂閱連結，或包含完整連線參數的 QR Code。
直連、中轉與 IEPL 專線如何區分
線路類型描述的是資料如何從本地網路傳送到出口伺服器。直連、中轉與 IEPL 專線不是用戶端固定的按鈕名稱，不同服務商也可能採用不同標籤。判斷時應查看實際拓撲，而不是只看節點名稱是否寫著「最佳化」或「專線」。
| 線路類型 | 基本路徑 | 常見特點 | 排查重點 |
|---|---|---|---|
| 直連 | 本地網路直接連線至境外節點 | 路徑簡單，表現較取決於本地電信業者與國際互聯狀況 | 檢查跨網路由、晚間壅塞，以及協定是否受到目前網路限制 |
| 中轉 | 先連線至較近的入口，再由入口轉送至出口 | 入口可貼近使用地區，服務端能夠調整後段路徑 | 分別判斷本地至入口、入口至出口是否正常 |
| IEPL 專線 | 入口與出口之間使用企業級國際專線資源 | 暴露於公共網際網路的路段通常較少，但仍會受到本地接入與出口狀態影響 | 確認名稱是否對應實際線路，並檢查入口是否可連線 |
直連的優點是結構清楚：本地直接連往目標節點，少了一層服務端轉送。但國際鏈路發生繞路或壅塞時，用戶端很難自行改變中間路徑。中轉線路會先將連線送至較近的入口，再由服務端網路轉送到出口，調度空間較大，不過入口或中轉段異常同樣會造成連線失敗。
IEPL 是國際乙太網路專線類服務的常見稱呼，重點在於入口與出口之間的承載方式。它不代表從裝置到入口的本地網路也變成專線，也不能只憑一個行銷標籤推斷實際拓撲。選擇時應搭配服務提供的線路說明、連線穩定度與實際存取結果，而不是把線路名稱視為無條件保證。
常見協定決定了什麼
協定規定用戶端與服務端如何驗證、封裝及傳輸資料。協定名稱不能直接等同於速度或穩定度，因為最終表現還會受到網路品質、服務端設定、傳輸層、壅塞控制與用戶端實作影響。新手通常不需要逐項手動填寫參數，但應了解協定不相容時會出現哪些現象。
| 協定 | 定位 | 傳輸與加密重點 | 使用時應注意 |
|---|---|---|---|
| Shadowsocks | 加密代理協定 | 使用共用金鑰與所選加密方式保護代理流量 | 用戶端與服務端的加密方式、密碼及連接埠必須一致 |
| VMess | 具身分驗證的代理協定 | 常與 TCP、WebSocket 等傳輸方式搭配 | 使用者識別、傳輸方式與安全層設定必須相符 |
| Trojan | 基於 TLS 的代理方案 | 通常透過標準 TLS 建立加密連線 | 網域、憑證、密碼與伺服器名稱設定會影響交握 |
| VLESS | 輕量驗證與傳輸框架 | 協定本身不負責內容加密，通常依賴 TLS 等安全層 | 不可省略服務端要求的傳輸安全設定 |
| Hysteria2 | 基於 QUIC 的傳輸協定 | 運行於 UDP 之上，並使用面向複雜網路的壅塞控制機制 | 若目前網路限制 UDP，可能無法正常交握或傳輸 |
| TUIC | 基於 QUIC 的代理協定 | 使用 UDP 與 QUIC 連線承載代理流量 | 需要用戶端支援對應版本，並允許 UDP 通訊 |
Shadowsocks 的設定相對直接，但它屬於代理協定，不應只憑名稱將它理解為完整的系統 VPN。VMess、Trojan 與 VLESS 往往還會搭配不同的傳輸方式或 TLS 設定，同一個協定名稱下可能存在不同的交握路徑。Hysteria2 與 TUIC 都建立在 QUIC 和 UDP 之上，在丟包或抖動環境中的表現可能與傳統 TCP 方案不同，但前提是目前網路允許 UDP 正常通行。
用戶端提示「逾時」時，原因可能是伺服器無法連線、連接埠受限、網域解析失敗或 UDP 不通；提示「驗證失敗」時，應優先檢查憑證與訂閱是否過期；提示「TLS 交握失敗」時，則需核對時間、網域、憑證與伺服器名稱。不要一看到連線失敗就任意更換所有參數，錯誤提示通常已指出排查方向。
全域、規則與直連模式如何選擇
建立連線後，用戶端還需要決定哪些請求要進入代理。這項決定由運作模式與分流規則完成。節點負責「從哪裡出去」，分流負責「哪些流量交給節點」，兩者不能互相取代。
全域模式
全域模式通常會將用戶端能接管的所有網路請求交給選定的節點。它適合用來排查分流遺漏：如果某個網站在全域模式可用、規則模式卻不可用，問題更可能出在規則比對或 DNS 策略，而不是節點完全無法使用。全域模式也可能讓本地網站、區域網路裝置或不需要代理的應用程式繞行，因此不一定適合長期開啟。
規則模式
規則模式會依網域、IP、應用程式或規則集，決定使用代理、直連或拒絕。網域規則可以比對完整網域或後綴，IP 規則則依賴解析結果；應用程式分流取決於作業系統與用戶端是否支援程序識別。規則有先後順序時，通常會執行最先符合的規則，因此過於寬泛的規則放在前面，可能遮蔽後方的精確規則。
直連模式
直連模式會讓流量繞過節點，直接使用目前的網路。它適合暫停代理影響、存取區域網路資源或進行對照測試。直連不等於退出用戶端：部分用戶端仍可能保留本地 DNS、虛擬網卡或系統代理設定，因此排查結束後還應檢查系統網路狀態是否已恢復。
請求產生
→ 用戶端讀取目標網域、IP 或應用程式資訊
→ 依序比對分流規則
→ 執行代理、直連或拒絕
→ 將代理請求交給目前節點
→ 節點將請求轉送至目標服務規則模式下最常見的誤區，是只注意網站的主網域。現代網頁可能同時載入登入、圖片、指令碼、API 與媒體資源，而這些資源來自不同網域。如果主頁面走代理，但 API 網域走直連，就可能出現頁面能開啟卻無法登入、按鈕沒有反應或圖片缺失。瀏覽器開發人員工具與用戶端連線記錄，能協助找出未依預期分流的網域。
系統代理、虛擬網卡與應用程式代理有何差異
用戶端要接管流量，必須使用作業系統提供的入口。常見入口包括系統代理、虛擬網卡，或應用程式本身的代理設定。連線按鈕顯示成功，只能證明用戶端與節點之間可能已建立連線；某個應用程式是否真的經過節點，還取決於它是否遵循目前的接管方式。
系統代理會寫入作業系統的代理設定。瀏覽器與遵循系統設定的應用程式通常可以使用，但部分遊戲、命令列工具或自行實作網路堆疊的軟體可能會忽略它。虛擬網卡模式通常在用戶端中標示為 TUN，能在網路層接管更廣泛的流量，適合無法讀取系統代理的應用程式，但可能需要額外權限，也要妥善處理區域網路與路由衝突。應用程式代理則是在特定軟體內填寫本地代理位址，只影響該軟體。
| 平台 | 常見接管方式 | 使用者會看到的授權 | 排查方向 |
|---|---|---|---|
| Windows | 系統代理或虛擬網卡 | 虛擬網卡安裝、網路存取或管理員權限提示 | 檢查系統代理殘留、防火牆與虛擬網卡路由 |
| macOS | 系統代理、網路延伸功能或虛擬介面 | 網路延伸功能與系統網路設定授權 | 檢查延伸功能是否啟用，以及系統代理是否被其他軟體改寫 |
| iOS | 系統提供的 VPN 網路延伸功能 | 允許加入 VPN 設定的系統確認 | 檢查設定是否啟用、隨選連線與目前網路權限 |
| Android | 系統 VPN 服務 | 建立 VPN 連線的系統確認 | 檢查省電限制、背景執行與應用程式分流設定 |
不同平台的用戶端介面可能大不相同，但底層問題相近：訂閱是否更新、節點能否完成交握、系統是否允許建立網路介面、目標應用程式是否被接管，以及分流是否命中。更換平台後，不要機械式尋找同名按鈕，應先確認用戶端使用的是系統代理、虛擬網卡還是系統 VPN 服務，再對應檢查權限與路由。
DNS 洩漏與解析路徑如何理解
DNS 負責將網域轉換為 IP 位址。所謂 DNS 洩漏，通常是指業務流量預計經過代理，但網域查詢仍傳送給本地網路指定的解析服務，導致解析路徑與代理策略不一致。這既是隱私界線問題，也可能讓網站解析到不適合目前出口地區的位址，進而造成連線緩慢、地區判定異常或頁面資源無法開啟。
不同用戶端處理 DNS 的方式並不一致。有些會將查詢交給遠端節點，有些使用本地加密 DNS，有些依分流規則分別解析，還有些會在虛擬網卡模式下接管系統查詢。看到「遠端 DNS」、「本地 DNS」、「Fake IP」或「依規則解析」等選項時，不要只追求開啟最多功能，應先理解目前模式是否要求用戶端接管 DNS。
- 連線前記錄目前網路使用的解析結果與出口狀態。
- 啟用節點後，確認目標網站的業務流量確實經過用戶端。
- 檢查 DNS 測試結果是否仍只顯示本地網路指定的解析服務。
- 若結果不符合預期，檢查用戶端的 DNS 模式、系統瀏覽器安全 DNS 與分流規則是否彼此覆蓋。
- 清除系統與瀏覽器的 DNS 快取後重新測試，避免舊有解析結果干擾判斷。
從訂閱匯入到連線驗證的完整流程
理解名詞後，可以依固定順序完成初次設定。核心原則是先確認設定有效，再確認節點連通，最後檢查分流與 DNS。即使出現問題，也能將範圍縮小到明確的步驟。
- 取得適用於平台的用戶端。確認用戶端支援訂閱中使用的協定，不要只看介面是否能貼上連結。
- 匯入訂閱連結。在訂閱管理或設定入口貼上連結，儲存後執行更新。若用戶端支援掃描 QR Code，也要確認 QR Code 來自自己的帳戶頁面。
- 檢查節點清單。確認清單不是空白，並查看是否出現無法辨識的協定或設定錯誤提示。
- 選擇一個節點。初次測試先選擇地理位置較近、用途明確的線路，不要同時啟用自動切換與複雜的負載策略。
- 選擇接管模式。瀏覽器測試可先使用系統代理；需要接管更多應用程式時，再依平台能力啟用虛擬網卡或系統 VPN 服務。
- 建立連線。留意用戶端記錄中的解析、交握、驗證與逾時資訊，而不是只觀察按鈕顏色。
- 驗證出口與存取。檢查出口地區是否符合所選節點，並分別測試本地網站、目標網站與需要使用的應用程式。
- 切換回規則模式。若全域模式可用，再啟用規則並重新測試；出現差異時，針對未命中的網域或應用程式調整規則。
- 檢查 DNS。確認解析路徑與目前接管方式一致，避免業務流量與 DNS 查詢採用不同策略。
如果訂閱無法更新，應先檢查連結是否完整、系統時間是否正確，以及目前網路能否存取訂閱位址。如果訂閱可以更新但所有節點都失敗，重點檢查協定相容性、網路權限，以及目前網路對 UDP 或特定連接埠的限制。如果只有某個節點失敗，則更可能是該節點、對應入口或線路狀態的問題。
如果瀏覽器可以存取、其他應用程式卻不行，通常要檢查系統代理與虛擬網卡的差異；如果全域模式正常而規則模式異常，應檢查規則命中與 DNS；如果網頁能開啟但登入或媒體載入失敗，則要進一步查看相關子網域是否採用了不同的分流策略。
- ✅ 訂閱更新成功，且用戶端能辨識其中的協定。
- ✅ 所選節點完成交握，沒有驗證或憑證錯誤。
- ✅ 目標應用程式在目前代理或虛擬網卡的接管範圍內。
- ✅ 分流規則對主網域、API 網域與資源網域採用一致策略。
- ✅ DNS 解析路徑與代理模式相符。
- ❌ 故障尚未定位前，不要連續匯入多個不同來源的設定。
看懂用戶端開關後的選擇原則
用戶端中的設定可以分為幾個層級：訂閱提供設定，節點提供連線目標，協定定義通訊方式，線路決定中間路徑，接管方式決定哪些應用程式進入用戶端，分流規則決定每個請求使用代理還是直連，DNS 設定則負責網域解析路徑。遇到不熟悉的按鈕時，先判斷它屬於哪一層，通常就能推測修改後會影響什麼。
新手不必為了追求複雜設定而開啟所有功能。較穩定的做法是保留一套能正常連線的基本設定，再逐步加入規則、虛擬網卡、自動選擇或自訂 DNS。每次修改後都進行相同的存取驗證，並保留可供還原的設定版本。如此既能理解每個開關的作用，也能在網路環境變化時迅速回到已知可用的狀態。