VPN新手名词速查：订阅、节点、线路、协议、分流与全局模式一次讲明白

订阅、配置与套餐的区别

“订阅”有两个常见含义。套餐订阅指服务的计费与使用权益；订阅链接则是客户端获取配置的地址。前者决定账户有什么可用资源，后者负责把节点、认证信息及相关配置交给客户端。导入链接不是完成付款，更新订阅也不等于续费。

订阅链接返回的内容取决于服务端与客户端格式，可能只是节点集合，也可能包含策略组、规则和解析设置。不能假定每个订阅都有完整分流方案，也不能把某个客户端接受的配置直接交给另一个客户端。

“更新订阅”通常是重新下载配置，用来同步节点变更或参数调整。若更新失败，应先看链接是否完整、账户状态是否正常，以及当前网络能否访问配置地址。此时反复切换节点，未必能修复获取配置这一步。

节点、地区与出口地址怎么看

节点是客户端可选择的连接配置，里面可能包含服务器地址、端口、协议和认证参数。界面里的地区名称是便于识别的标签，不一定等于入口服务器的物理位置。经过中转时，入口与出口可能位于不同地区。

出口地址是目标网站实际看到的网络来源。网站显示的地区还受地址数据库、账户设置和平台政策影响，因此节点名称不能单独证明某个平台会提供哪个地区的内容。需要结合实际出口与目标服务页面验证。

策略组则是一层选择逻辑：它可以让用户手动选节点，也可以按客户端支持的策略自动选择。自动选择依据可能是探测延迟，而不是实际下载速度，更不是业务网站的可访问性。某节点探测较快，并不代表它对所有用途都更合适。

线路类型：直连、中转与 IEPL

线路描述数据经过的路径，协议描述两端如何通信。相同协议可以运行在不同线路上，相同地区的节点也可能使用不同路径。不要把“协议名称更陌生”当成“线路质量更高”的证据。

IEPL 标签不表示从设备到网站的每一段都属于专用网络，也不能单凭标签推导带宽或服务可用性。无线网络质量、出口负载、目标网站响应，都可能成为瓶颈。选线应围绕真实用途测试，而不是只比较线路名称。

协议名称与客户端兼容性

Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 是不同的代理协议或协议方案名称，不是同一个开关的不同速度档。客户端能否连接，取决于内核是否支持，以及协议参数、传输方式和安全层是否匹配。以下是技术释义，不表示 VPNMH 提供其中全部协议。

• Shadowsocks：属于加密代理协议体系，客户端与服务端必须使用兼容的加密方法和凭据。
• VMess：具有自身的认证与通信机制，导入时还要保留相关传输配置，不能只复制服务器地址。
• Trojan：通常结合 TLS 保护连接，域名与证书校验配置会影响连接结果。
• VLESS：本身不提供载荷加密，需要结合适当的安全传输方案理解，不能只看协议名字判断加密状态。
• Hysteria2 与 TUIC：基于 QUIC，依赖 UDP 通信；本地网络限制 UDP 时，可能影响连接。

TLS、WebSocket、QUIC 与上面这些名称不在同一分类层级。界面里出现多个字段，往往是在描述一套组合配置。新手更适合使用兼容的完整订阅，而不是手动猜测各字段。遇到证书错误，应检查域名、设备时间和官方配置，不要把关闭证书校验当成通用修复。

分流、规则与全局模式怎么选

分流是按条件分配流量路径的机制。规则可以根据域名、目标地址、应用进程或其他受支持条件，把请求交给直连、代理策略组或拒绝策略。具体能匹配哪些条件，要看客户端及运行权限。

规则模式通常按配置中的顺序匹配。命中后采用对应动作，没有命中的请求则由兜底规则处理。把某个域名加入代理规则后，如果前面已有更宽泛的直连规则，结果可能仍是直连；因此既要看规则内容，也要看顺序和连接记录。

全局模式在许多代理客户端中，表示将已被客户端接管的流量交给指定代理策略。它不自动保证所有应用、所有地址类型和所有解析请求都已被接管。应用绕过系统代理时，仅切到全局模式可能没有作用。

直连模式通常让被接管的连接直接访问目标，并不一定等于完全退出客户端。各软件命名存在差异，应以当前客户端说明为准。工作或学习中的常规使用可以先采用维护良好的规则配置；排查单个网站时，再临时对比规则与全局的结果。

系统代理与虚拟网卡的接管范围

系统代理是在操作系统中设置代理地址，愿意遵循该设置的应用会把请求交给客户端。有些软件使用自己的网络栈或单独代理选项，不会自动遵循系统设置。这就是浏览器正常、某个桌面应用仍无法访问的常见原因之一。

TUN 模式通过虚拟网络接口和路由接管流量，覆盖方式与系统代理不同，通常需要相应权限。它不是性能增强按钮，也不保证与其他隧道软件兼容。启用后还应检查路由、DNS、局域网访问及应用自身设置。

Windows 与 macOS 客户端可能分别提供系统代理和虚拟网卡入口；Linux 还经常涉及桌面环境、命令行环境变量或系统路由。Android 与 iOS 常借助系统 VPN 接口承载客户端流量，但具体分应用能力和后台行为仍取决于软件与系统限制。相同的“已连接”字样，在不同平台上不代表完全相同的接管范围。

DNS 解析与泄漏是什么意思

DNS 负责把域名转换为网络地址。打开网站时，解析请求和后续网页连接是不同环节：网页连接经过代理，不代表解析请求必然采用相同路径。客户端可能使用系统 DNS、指定解析器，或按规则选择不同解析方式。

通常所说的 DNS 泄漏，是指解析请求没有按照预期经过指定路径，而发送给了其他解析方。判断重点是“是否符合预期配置”，不是看到本地解析器就一概认定异常。规则模式下，本地网站使用本地解析可能是有意设计。

排查时需要一起看客户端 DNS 设置、浏览器安全 DNS、系统解析配置，以及是否处理 IPv6 流量。浏览器自行使用加密 DNS，可能改变解析路径；加密解析保护的是与解析器之间的通信，不会自动把后续网站连接送入代理。

从导入到验证的操作顺序

理解名词后，按下面的顺序建立一个可检查的连接。每次只改变一个设置，才能知道是哪项调整产生作用。客户端菜单名称不同，但检查逻辑基本一致。

1. 获取官方配置。登录服务面板，找到订阅入口，确认所选格式与客户端兼容。VPNMH 的订阅需登录后获取，入口可从快速上手查找。
2. 导入并更新。使用客户端的订阅导入功能，确认节点列表实际出现。若列表为空，先解决配置下载或格式问题，不急于调整全局模式。
3. 选择节点和策略。确认当前策略组指向哪个节点，避免只在列表里查看了节点，却没有让正在使用的策略组选中它。
4. 确认流量接管。根据应用选择系统代理或合适的虚拟网卡方案，检查权限提示。不要同时启用多套互相争用路由的工具。
5. 验证真实用途。打开需要使用的网站或应用，结合客户端连接记录查看规则命中、使用节点与错误信息，而不只看延迟探测结果。
6. 做单项对照。依次对比其他节点、不同模式或其他可用网络。保留有效配置，避免同时更换 DNS、协议和路由后失去排查依据。

• ✅ 节点列表为空：先检查订阅地址、格式与更新结果。
• ✅ 浏览器可用但应用异常：检查应用是否遵循系统代理，以及连接是否被接管。
• ✅ 全局可用但规则异常：检查规则顺序、兜底动作与 DNS 配置。
• ✅ 显示已连接但目标不可用：查看实际请求日志，区分认证、解析、传输和目标服务错误。

这些判断用于缩小范围，不是给故障直接定性。若某个网站限制特定出口或账户地区，换模式未必能解决；若本地网络本身需要先完成接入认证，代理设置也不能代替该步骤。更多连接问题可查看帮助中心，线路信息可查看全球节点。