这份 VPN新手名词速查从订阅、节点、协议、分流讲起。它们不是同一种东西：订阅负责提供配置，节点是连接入口，协议规定通信方式，分流决定请求往哪里走。先区分这些层次，再看客户端的菜单，就能知道该改哪个设置，而不是遇到问题便反复换线路。
名词与客户端入口对照
日常讨论中的“VPN”常被用作网络代理服务的统称，但传统 VPN 隧道与应用代理并不完全相同。某个客户端能代理浏览器，不等于它已经接管设备上所有应用的流量。实际范围取决于系统代理、应用自身设置以及是否启用虚拟网卡。
| 名词 | 实际含义 | 常见入口 |
|---|---|---|
| 订阅链接 | 用于获取和更新节点或配置的地址 | 订阅、配置、配置文件 |
| 节点 | 包含服务器地址、端口及认证等参数的连接项 | 代理、服务器、节点列表 |
| 协议 | 客户端与服务器约定的通信方式 | 节点详情、编辑连接 |
| 策略组 | 让规则引用的节点集合或选择入口 | 代理组、策略、自动选择 |
| 分流规则 | 按域名、地址或其他条件选择出口的判断条目 | 规则、路由、配置详情 |
| TUN 模式 | 通过虚拟网络接口接收流量的工作方式 | 虚拟网卡、隧道、网络设置 |
这些入口名称随客户端而变。找不到同名菜单时，应按功能寻找，不必照着教程里的按钮文字硬找。尤其要区分“导入配置”和“启用连接”：节点已经显示在列表里，只能说明导入成功，不能证明系统流量已经经过它。
订阅链接：配置来源，不是访问开关
订阅链接让客户端向服务端请求配置。返回内容可能是节点列表，也可能包含策略组、分流规则和 DNS 设置，具体由服务端格式与客户端支持情况决定。它不同于付费套餐本身：套餐描述流量和计费方式，订阅链接则是客户端取得连接资料的入口。
在 VPNPart，应先登录用户面板获取本人的订阅，再使用客户端的导入功能。不要把网页登录地址当成订阅地址，也不要把账户密码填进不明来源的配置转换网站。不同客户端接受的格式可能不同，应使用面板对应入口提供的配置。
“更新订阅”通常是重新拉取远端内容，不是补充套餐流量，也不是自动升级客户端。若服务端修改节点地址，更新后才可能看到变化。手动编辑由订阅管理的节点前，应确认更新时是否会覆盖改动。没有必要为固定的时间间隔反复更新；节点调整或配置异常时，先看面板公告与提示。
节点与线路：入口地区不等于完整路径
节点是客户端里可以选择的连接项。它的名称可能标注国家或地区、用途和线路类型，但名称只是说明，不是完整的网络拓扑。需要某个地区的出口时，应结合实际出口检测，而不是只看名字。入口服务器位置、传输路径与最终访问网站看到的出口位置可能不同。
直连、中转与 IEPL 专线的区别
- 直连：客户端直接连接目标代理服务器，路径较直接，但表现仍取决于本地运营商、跨网络路由和服务器状态。
- 中转：先连接中间入口，再由中间入口转发到后续服务器。它可以改变路径，但增加中间环节并不必然更快。
- IEPL 专线：通常指线路中的某段采用国际以太网专线承载。它描述传输资源，不是代理协议，也不代表从设备到目标网站的每一段都是专线。
因此，“有专线”不能推导出所有时段都低延迟，也不能推导出任何平台都能访问。家中无线网络、入口拥塞、出口质量和目标站点策略，仍可能影响结果。判断线路时，应在自己的实际使用时段测试目标应用，并保留同条件下的对照。
协议：通信方式，不是速度排名
Shadowsocks、VMess、Trojan、VLESS、Hysteria2 和 TUIC 都属于常见代理协议名称，不应当成从旧到新、从慢到快的等级表。同名协议也可能采用不同传输方式与附加参数。客户端支持某个名称，不代表支持服务器使用的全部组合。
Shadowsocks 使用密钥和加密方法等参数建立代理通信；VMess 有自己的认证与通信机制；Trojan 通常在 TLS 连接上承载代理流量；VLESS 本身不提供内容加密，需要结合适当的安全传输层理解，不能单凭协议名称判断保护范围。
Hysteria2 基于 QUIC，TUIC 也利用 QUIC 传输。它们依赖 UDP 可达性，网络对 UDP 的限制可能影响连接。不能因为它们采用 QUIC，就承诺比其他协议更快。路径、拥塞控制、服务器资源与客户端实现都会参与决定体验。
新手一般不需要手动把某个节点“改成另一种协议”。服务端必须提供匹配配置。若导入提示不支持，应先检查客户端及其核心版本是否兼容，再确认配置入口是否正确，而不是随意删除 TLS、证书校验或认证字段来消除错误。
分流、规则与全局：决定请求走向
分流是在请求到来时，按条件决定直连、代理或拒绝等处理方式。常见条件包括域名、目标地址和应用进程，但具体支持范围因客户端和系统而异。规则通常按配置规定的顺序匹配，最终使用命中的策略，未命中时再按默认策略处理。
规则模式使用这套判断逻辑，让不同请求选择不同路径。全局模式通常把被客户端接管的请求交给选定代理或策略组，但它并不等于接管整个设备。没有进入客户端的流量，仍不受这个模式影响。
系统代理主要服务于遵循系统代理设置的应用。部分命令行工具需要单独设置代理环境变量，某些应用则自行建立连接。TUN 模式覆盖范围往往更广，但仍受路由、权限、排除项及系统限制影响。切到全局后依然失败，不能直接下结论说节点失效。
策略组是规则与节点之间的选择层。规则可以把某类请求交给“国际访问”这类组，再由组选择具体节点。自动选择通常依据客户端的探测结果，不等于目标网站一定可用；探测地址能够响应，也不证明登录、视频或长连接都正常。
日常使用先理解规则，排查问题再临时对照全局。如果全局可用而规则模式失败，应检查规则命中与策略组选择。若两者都失败，还要检查应用是否被接管、DNS 是否正常以及节点是否可连接，不能只盯着规则文件。
DNS 与隐私：加密连接之外还要检查什么
DNS 负责把域名解析为网络地址。浏览器能否访问网站，不只取决于代理是否连接，也取决于域名如何解析、结果是否可用，以及解析请求走了哪条路径。客户端的 DNS、系统 DNS 和浏览器的加密 DNS 可能同时存在，需要结合实际配置判断。
“DNS 泄漏”通常指本应遵循预期代理或隐私路径的解析请求，却走向了预期之外的解析器或网络路径。但分流配置也可能有意让本地网站在本地解析，所以测试中出现本地解析器，不能脱离规则设计直接判定异常。应先明确哪些域名应代理，再检查它们的解析路径。
遇到异常时，记录测试所用浏览器、连接模式及 DNS 设置。若应用启用了自己的加密 DNS，它可能绕过系统解析配置；但加密 DNS 本身既不代表经过代理，也不代表泄漏。不要为排查 DNS 而关闭网站证书校验，证书告警需要单独核实。
VPNPart 的无日志策略是服务隐私立场，不是对所有环节的匿名保证。登录目标网站、授权应用和浏览器留下的账户状态，仍然会影响网站识别用户的方式。加密传输也不等于隐藏了所有连接元数据。
从导入到验证的操作顺序
下面的步骤按依赖关系排列。前一环节没有确认时，不要同时修改协议、DNS 与规则，否则即使恢复访问，也很难知道真正原因。
- 取得对应平台客户端。从面板的客户端下载入口查看当前支持项。除 iOS 外，登录即可获取客户端；iOS 入口条件以面板当前套餐状态为准。
- 导入本人订阅。使用面板给出的对应格式，确认客户端出现配置与节点。若解析失败，先检查地址是否复制完整、配置格式是否兼容。
- 选择节点与策略组。先固定一个节点进行验证，避免自动切换干扰判断。确认需要代理的策略组确实指向该节点。
- 开启合适的接管方式。桌面端检查系统代理或 TUN；移动端确认系统要求的网络配置授权已完成。不要同时启用会竞争同类隧道入口的应用。
- 验证实际应用。先确认目标网站能够打开，再检查所需功能、出口地区与 DNS 行为。保存报错文字，必要时对照其他节点。
Windows、macOS、Android 与 iOS 的界面和权限机制并不一致。桌面端还可能受防火墙与命令行环境影响；移动端则需留意后台运行限制及其他网络工具的冲突。教程中的某个开关不存在时，应查看当前客户端说明，不必安装多个工具反复叠加。
常见现象与排查边界
- ✅ 节点列表为空：检查订阅下载与解析结果，再确认账户状态和配置入口；这时还没到比较线路速度的阶段。
- ✅ 显示已连接但网页打不开：检查系统接管方式、DNS 与目标策略组，区分“建立连接”和“请求正确经过连接”。
- ✅ 网页能开但某个应用失败：检查该应用是否遵循系统代理、是否使用自己的解析设置，以及目标服务的地区和账户要求。
- ✅ 导入后提示协议不支持：核对客户端核心兼容性和订阅格式，不要通过删除安全参数强行保存配置。
- ✅ 只有高峰时段不稳定：在相近条件下对照节点与本地网络，提交发生时段、客户端信息和已遮蔽凭据的报错。
最实用的记忆方法是：订阅给配置，节点给入口，协议负责通信，规则决定路径，DNS 负责解析。客户端界面再复杂，也可以先把问题归到这些层次。需要进一步操作说明时，可查看使用教程；连接仍有异常时，按排查手册逐项核对。