VPN新手入门指南:订阅、节点、线路与分流名词一次讲明白

这份 VPN 新手入门指南先说明一个关系：订阅提供配置，客户端读取配置，节点代表可选的代理入口，线路决定流量经过的网络路径，分流决定哪些请求走代理。它们不是同一个东西。分清这些层次，才能判断该更新订阅、换线路，还是检查应用设置。

日常讨论中的“VPN”常被用来泛指跨境网络访问工具，但系统 VPN、应用代理和代理协议并不等同。下面按实际使用过程解释名词；协议介绍属于通用技术知识，不代表 VPNGF 对所有协议或客户端都提供支持。

订阅、节点与线路速查

可以把整个过程类比成出行：客户端像导航软件，订阅像服务提供的路线资料，节点像可选择的入口，线路像实际走的道路。这个比喻只用于区分职责，不能用来推断速度或隐私能力。

先看名词负责什么，再看需要操作什么
名词	实际含义	新手需要注意
订阅服务	账户所拥有的服务权益，可能包含周期或流量额度。	账户有效，不代表客户端已导入正确配置。
订阅链接	客户端获取配置的地址，通常附有访问凭证。	不是安装包，也不是普通网页收藏地址。
节点	配置中可选的代理连接条目，包含地址、认证与协议参数。	显示的地区通常用于说明出口，具体以服务说明为准。
线路	从用户网络到代理入口、出口及目标服务所经过的网络路径。	地区相同的节点，实际网络路径也可能不同。
协议	客户端与代理服务端建立连接、传输数据的约定。	客户端内核必须支持配置使用的协议。
分流规则	按域名、地址或其他条件决定请求交给哪个出站。	命中直连规则的请求不会因为选了节点就自动走代理。
DNS	将域名解析为网络地址的机制。	解析路径与连接路径需要一起检查。

节点列表变长，不等于实际覆盖地区增加；多个条目可能共享出口，也可能只是不同入口或传输方式。选线时应看地区、线路类型和目标应用的实际表现，而不是只数列表里有多少行。

订阅链接如何导入客户端

“订阅”有两层意思：套餐页说的是服务权益，客户端里的“添加订阅”说的是配置来源。购买或开通服务后，仍要把对应配置交给客户端。有效订阅用户可登录 VPNGF 用户面板获取客户端和订阅资料，营销页面不提供真实订阅地址。

从可信入口获取客户端。进入用户面板的客户端下载区，按操作系统选择适用版本。不要仅凭软件名称相似就判断它能读取同一种配置。
选择正确的导入方式。在客户端寻找“添加订阅”“从链接导入”或同类入口。若面板提供客户端专用格式，应选择与当前客户端匹配的格式。
完成获取并检查列表。更新成功后应能看到节点或配置条目。列表为空时，先查链接是否完整、订阅是否有效，以及客户端是否支持该配置格式。
启用配置并选择出站。导入成功只表示资料已保存，还需要启用当前配置、选择线路，并按系统提示允许必要的网络权限。
验证目标应用。打开实际要使用的网站或应用，再检查客户端连接记录。不要把“订阅更新成功”当作“所有应用已走代理”。

更新订阅是重新获取配置，不是充值，也不一定重置手动设置。有些客户端把规则与节点一起更新，有些只刷新节点列表。更新前应确认软件行为，避免把自己添加的规则误当成服务端配置。

IEPL 专线、中转与直连

这些词描述网络路径，不是代理协议。直连通常指用户通过公共互联网直接连接代理服务端；中转通常先进入一个转发入口，再由它送往出口；IEPL 指国际以太网专线，服务可能将它用于入口到出口之间的传输。具体走哪一段，要看服务的网络架构。

“直连线路”和分流里的“直连”尤其容易混淆。前者仍可能是连接代理服务端，只是途中没有服务方中转；后者通常表示请求不经过代理出站，直接访问目标。不能因为线路名称写了直连，就认为客户端完全没有使用代理。

专线的价值主要在于相应传输段的可控性。它不意味着用户到入口的本地网络、出口到目标网站的网络也都属于专线。无线信号、运营商路由、出口拥塞和目标服务状态仍会影响体验，因此“专线”不是所有访问问题的答案。

实际选线时，先确定目标需要的出口地区，再比较同地区的线路。视频会议应关注声音是否断续，文件同步应观察持续传输是否中断，网页访问应看加载是否稳定。距离较近可以作为起点，但不能单凭地理距离得出哪条线路必然更快的结论。

协议与加密不是线路等级

Shadowsocks、VMess、Trojan、VLESS、Hysteria2 与 TUIC 是常见代理方案中的协议名。它们解决的是客户端和服务端如何沟通；IEPL、中转和直连描述的是网络怎样承载这些连接。相同协议可以部署在不同线路上，相同线路也可能提供不同协议配置。

Shadowsocks：通过约定的加密方法承载代理流量，客户端与服务端的认证及加密参数必须匹配。
VMess：具有自身认证与数据保护机制，也可搭配不同传输方式。不能只复制服务器地址而忽略完整参数。
Trojan：常见部署使用 TLS 承载代理连接。证书校验与服务端名称配置是重要环节。
VLESS：协议本身不提供数据加密，需要结合部署中使用的安全传输机制理解，不能仅凭名称判断连接是否受到保护。
Hysteria2 与 TUIC：基于 QUIC 的方案，通常依赖 UDP 网络条件。若当前网络限制 UDP，换成这类协议不一定能解决连接问题。

新手无需先选一个“最强协议”。更可靠的顺序是确认客户端兼容，再使用服务提供的完整配置，最后按目标应用验证。随意修改传输方式、证书设置或认证字段，往往会造成原本可用的配置无法连接。

规则模式与全局模式

规则模式会依据条件选择出站，例如日常本地服务直连、需要国际出口的请求走指定代理组。全局模式通常把客户端接管的请求统一交给选定出站；它并不天然表示设备上的全部流量都被接管。

系统代理主要影响遵循系统代理设置的应用。部分游戏、命令行工具或其他软件可能不读取这项设置。TUN 模式通过虚拟网络接口接管更多流量，但仍受路由、排除项、权限和客户端实现影响。遇到应用不走代理，应先确认接管范围，再决定是否改用全局模式。

例如浏览器访问正常，代码工具却连接失败，原因可能是代码工具使用了独立代理设置，也可能是目标域名命中了直连规则。此时应该观察连接记录中的域名、命中规则与出站，不能仅靠反复切换节点来排查。

✅ 日常使用先保留规则模式，确认本地服务与目标国际服务分别走预期路径。
✅ 某个应用异常时，查看它是否产生连接记录，以及记录使用了哪个出站。
✅ 临时切换全局模式可以帮助对比，但需要保持同一目标与相同接管方式。
❌ 不要同时启用多个会接管网络的客户端，避免代理设置和路由相互覆盖。

DNS 与平台差异怎么检查

DNS 负责把域名变成地址。如果访问连接走代理，但解析请求仍从不符合预期的本地路径发出，就可能暴露所查询的域名，这通常被称为 DNS 泄漏。它与出口地址是否改变是不同问题，也不能仅凭一个检测网站显示的解析服务器地区就下结论。

检查时应结合客户端 DNS 设置、系统解析设置、浏览器安全 DNS，以及实际连接记录。浏览器自带的加密 DNS 可能使用独立路径；IPv6 流量也需要与客户端接管策略一致。加密解析保护的是对应解析传输环节，并不自动保证所有流量都进入同一代理出站。

Windows 和 macOS 上要区分系统代理与虚拟网络接口模式；Linux 桌面代理设置不一定被终端工具继承。Android 客户端常通过系统 VPN 接口接管流量，还要留意省电限制与按应用排除。iOS 客户端通常使用系统提供的网络扩展机制，是否支持某种规则或协议则取决于具体软件。

“已连接”只说明某个连接环节成立。更完整的验证是：目标应用能正常工作，出口地区符合目标要求，连接记录使用了预期出站，解析路径与规则策略一致。VPNGF 的匿名无日志属于服务隐私策略，不能替代本地客户端配置检查，也不等于浏览器账户和网站行为无法关联。

新手排错的判断顺序

没有节点列表，先查订阅获取与格式兼容；节点存在但连不上，检查配置启用状态、权限和当前网络；浏览器正常而应用异常，检查接管范围与分流；只有特定网站异常，再查看出口地区、解析结果及目标服务本身。每次只改一个设置，才容易确认哪个环节真正影响结果。

准备联系支持时，可记录操作系统、客户端名称、线路名称、发生问题的应用与错误提示。不要发送完整订阅链接。常规操作可参考快速上手，线路类型可查看线路说明，账户与服务问题可进入支持页面。