VPN 新手入門指南：訂閱、節點、線路與分流一次看懂

這份 VPN 新手入門指南先說明幾個概念之間的關係：訂閱提供設定檔，客戶端讀取設定檔，節點是可選的代理入口，線路決定流量經過的網路路徑，分流則決定哪些請求經由代理。這些並不是同一回事。釐清各自的用途，才能判斷該更新訂閱、切換線路，還是檢查應用程式設定。

日常討論中的「VPN」常被用來泛指跨境網路存取工具，但系統 VPN、應用程式代理與代理協定並不相同。以下依實際使用流程說明相關名詞；協定介紹屬於一般技術知識，不代表 VPNGF 支援所有協定或客戶端。

訂閱、節點與線路速查

可以把整個流程想成出遊：客戶端像導航軟體，訂閱像服務提供的路線資料，節點像可選的入口，線路則像實際行經的道路。這個比喻只用來區分各自的用途，不能據此推斷速度或隱私能力。

先了解各名詞的用途，再確認需要進行哪些操作
名詞	實際意義	新手注意事項
訂閱服務	帳戶所享有的服務權益，可能包含使用期間或流量額度。	帳戶有效，不代表客戶端已匯入正確的設定檔。
訂閱連結	客戶端取得設定檔的網址，通常附有存取憑證。	它不是安裝檔，也不是一般網頁的書籤網址。
節點	設定檔中可選的代理連線項目，包含位址、驗證資訊與協定參數。	顯示的地區通常用來表示出口位置，實際情況請以服務說明為準。
線路	從使用者的網路到代理入口、出口及目標服務所經過的網路路徑。	地區相同的節點，實際網路路徑也可能不同。
協定	客戶端與代理伺服器建立連線及傳輸資料時遵循的規則。	客戶端核心必須支援設定檔使用的協定。
分流規則	依網域、位址或其他條件，決定請求要交由哪個出口處理。	符合直連規則的請求，不會因為選了節點就自動經由代理傳送。
DNS	將網域名稱解析為網路位址的機制。	解析路徑與連線路徑都需要一併檢查。

節點清單變長，不代表實際涵蓋的地區增加；多個項目可能共用同一出口，也可能只是入口或傳輸方式不同。選擇線路時，應查看地區、線路類型及目標應用程式的實際表現，而不是只計算清單中的項目數。

如何將訂閱連結匯入客戶端

「訂閱」有兩種意思：方案頁面所說的是服務權益，客戶端中的「新增訂閱」指的是設定檔來源。購買或開通服務後，仍須將對應的設定檔匯入客戶端。有效訂閱的使用者可登入 VPNGF 使用者面板，取得客戶端與訂閱資料；行銷頁面不會提供實際訂閱連結。

從可信任的來源取得客戶端。前往使用者面板的客戶端下載區，依作業系統選擇合適的版本。不要只憑軟體名稱相似，就認定它能讀取相同格式的設定檔。
選擇正確的匯入方式。在客戶端中尋找「新增訂閱」、「從連結匯入」或類似選項。如果面板提供客戶端專用格式，請選擇與目前使用的客戶端相符的格式。
完成取得並檢查清單。更新成功後，應該能看到節點或設定項目。若清單是空的，請先檢查連結是否完整、訂閱是否有效，以及客戶端是否支援該設定檔格式。
啟用設定檔並選擇出口。成功匯入只表示資料已儲存，還需要啟用目前的設定檔、選擇線路，並依系統提示允許必要的網路權限。
確認目標應用程式的連線情況。開啟實際要使用的網站或應用程式，再查看客戶端的連線紀錄。不要把「訂閱更新成功」當成「所有應用程式都已經使用代理」。

更新訂閱是重新取得設定檔，不是儲值，也不一定會重設手動設定。有些客戶端會一併更新規則與節點，有些則只會重新整理節點清單。更新前請先確認軟體的運作方式，以免把自行新增的規則誤認為服務端設定。

IEPL 專線、中轉與直連

這些名詞描述的是網路路徑，不是代理協定。直連通常是指使用者透過公共網際網路直接連線至代理伺服器；中轉通常會先連到轉送入口，再由該入口將流量送往出口；IEPL 指國際乙太網路專線，服務可能用它傳送入口與出口之間的流量。實際使用哪一段路徑，須視服務的網路架構而定。

「直連線路」和分流設定中的「直連」特別容易混淆。前者仍可能連線至代理伺服器，只是途中沒有服務方中轉；後者通常表示請求不經代理出口，直接連線至目標。不能只因線路名稱標示直連，就認為客戶端完全沒有使用代理。

專線的主要價值，在於提升特定傳輸路段的可控性。這不代表使用者到入口的本地網路，以及出口到目標網站的網路也都使用專線。無線訊號、電信業者路由、出口壅塞及目標服務狀態仍會影響使用體驗，因此專線無法解決所有連線問題。

實際選擇線路時，先確認目標需要的出口地區，再比較同一地區的線路。視訊會議可留意聲音是否斷續；檔案同步可觀察持續傳輸是否中斷；瀏覽網頁則可檢查載入是否穩定。距離較近可以作為起點，但不能只根據地理距離，就判斷哪條線路一定比較快。

協定與加密不是線路等級

Shadowsocks、VMess、Trojan、VLESS、Hysteria2 與 TUIC 是常見代理方案中的協定名稱。它們處理的是客戶端與伺服器如何溝通；IEPL、中轉與直連描述的則是網路如何承載這些連線。同一種協定可以部署在不同線路上，同一條線路也可能提供不同協定的設定檔。

Shadowsocks：以約定的加密方式承載代理流量，客戶端與伺服器的驗證資訊及加密參數必須一致。
VMess：具備自身的驗證與資料保護機制，也可搭配不同的傳輸方式。設定時不能只複製伺服器位址，還要保留完整參數。
Trojan：常見部署方式會使用 TLS 承載代理連線。憑證驗證與伺服器名稱設定是重要環節。
VLESS：協定本身不提供資料加密，須一併了解部署時使用的安全傳輸機制，不能只憑協定名稱判斷連線是否受到保護。
Hysteria2 與 TUIC：這兩種方案以 QUIC 為基礎，通常仰賴 UDP 網路環境。如果目前的網路限制 UDP，改用這類協定不一定能解決連線問題。

新手不必先挑選「最強的協定」。較可靠的做法是先確認客戶端相容性，再使用服務提供的完整設定檔，最後以目標應用程式進行測試。任意修改傳輸方式、憑證設定或驗證欄位，往往會讓原本可用的設定檔無法連線。

規則模式與全域模式

規則模式會依條件選擇出口，例如讓日常使用的本地服務直連，並讓需要國際出口的請求使用指定代理群組。全域模式通常會將客戶端接管的請求統一交由選定的出口處理；但這不代表裝置上的所有流量都一定會被接管。

系統代理主要影響遵循系統代理設定的應用程式。部分遊戲、命令列工具或其他軟體可能不會讀取這項設定。TUN 模式透過虛擬網路介面接管更多流量，但仍會受到路由、排除項目、權限及客戶端實作方式影響。遇到應用程式未經代理連線時，應先確認接管範圍，再決定是否切換至全域模式。

例如，瀏覽器可以正常連線，但程式開發工具卻連不上，原因可能是該工具使用獨立的代理設定，也可能是目標網域符合直連規則。這時應查看連線紀錄中的網域、符合的規則及使用的出口，不要只靠反覆切換節點排查。

✅ 日常使用時先保留規則模式，確認本地服務與目標國際服務分別採用預期的連線路徑。
✅ 某個應用程式發生異常時，查看它是否產生連線紀錄，以及紀錄顯示使用了哪個出口。
✅ 暫時切換至全域模式有助於比較，但測試時應維持相同的目標及流量接管方式。
❌ 不要同時啟用多個會接管網路流量的客戶端，以免代理設定與路由互相覆蓋。

如何檢查 DNS 與不同平台

DNS 負責將網域名稱轉換成位址。如果連線流量經由代理，但 DNS 查詢仍透過不符合預期的本地路徑送出，就可能洩露查詢的網域名稱，這種情況通常稱為 DNS 洩漏。這與出口位址是否變更是不同問題，也不能只根據檢測網站顯示的 DNS 伺服器地區就下結論。

檢查時應一併確認客戶端的 DNS 設定、系統解析設定、瀏覽器的安全 DNS，以及實際連線紀錄。瀏覽器內建的加密 DNS 可能使用獨立路徑；IPv6 流量也需要符合客戶端的接管策略。加密解析只保護對應的解析傳輸環節，不會自動確保所有流量都經由同一個代理出口。

在 Windows 和 macOS 上，應區分系統代理與虛擬網路介面模式；Linux 桌面環境的代理設定不一定會套用到終端機工具。Android 客戶端通常透過系統 VPN 介面接管流量，也要留意省電限制及個別應用程式的排除設定。iOS 客戶端通常使用系統提供的網路延伸機制，是否支援特定規則或協定則視軟體而定。

「已連線」只代表某個連線環節正常。較完整的確認方式是：目標應用程式能正常運作、出口地區符合需求、連線紀錄顯示使用預期的出口，而且解析路徑與規則策略一致。VPNGF 的匿名無日誌政策屬於服務隱私政策，不能取代本地客戶端設定檢查，也不代表瀏覽器帳戶及網站活動無法被關聯。

新手排查問題的順序

沒有節點清單，先檢查訂閱是否成功取得及格式是否相容；有節點但無法連線，檢查設定檔是否啟用、權限及目前的網路；瀏覽器正常但應用程式異常，檢查流量接管範圍與分流設定；只有特定網站異常，再查看出口地區、解析結果及目標服務本身。每次只調整一項設定，才能更容易確認真正影響結果的環節。

聯絡客服前，可記下作業系統、客戶端名稱、線路名稱、發生問題的應用程式及錯誤訊息。請勿傳送完整訂閱連結。一般操作可參考快速上手，線路類型請查看線路說明，帳戶與服務問題可前往支援頁面。