VPN新手名词速查：订阅、节点、线路、协议、分流一次讲明白

这份 VPN 新手名词速查先给出关系：订阅负责提供配置，节点是可选的连接入口，线路描述网络路径，协议规定通信方式，分流决定哪些请求走哪条路。客户端把这些配置执行起来。理解这条链，比背诵节点名称更有助于完成导入、选择线路和排查故障。

名词对照：先分清每层负责什么

客户端里相邻的按钮，未必属于同一层。节点能连通，不代表应用已经使用代理；订阅能更新，也不代表套餐仍有可用流量。遇到问题时，应先判断问题属于配置、连接还是请求路由。

订阅：付费关系与配置地址不是一回事

“订阅”有两种常见含义。套餐页的月订阅指计费方式；客户端里的添加订阅，通常指添加配置来源。前者决定使用权益，后者让软件知道该连接哪里、采用什么参数。导入成功不代表已经开通套餐，删除本地订阅也不等于停止计费。

订阅链接通常包含访问凭据。客户端请求这个地址后，取得节点列表，有些配置还包含策略组和规则。具体内容取决于服务提供方与导入格式。更新订阅是重新取得配置，不是更新客户端软件，也不会自动改变套餐额度。

链接应从登录后的账户页面取得。VPNDream 的客户端与订阅登录后获取，iOS 下载需有效套餐。不同客户端接受的订阅格式可能不同，应选择官方教程对应的入口，不要把链接随意粘贴到陌生的在线转换页面。

订阅链接应按凭据保管。分享截图前遮住完整地址、二维码与令牌。怀疑泄露时，使用账户内提供的重置功能，或联系支持；重置后还要替换各设备保存的旧链接。

节点与线路：入口、出口和中间路径

节点通常包含服务器地址、端口、协议和认证信息。点击一个节点，相当于选择一组连接参数。它的显示名称便于识别，但不是完整的网络拓扑说明。出口位于某地区，不代表设备从本地到出口之间没有经过其他网络。

直连通常表示客户端直接连接目标代理服务器，不经服务提供方另设的中转入口；流量仍会经过运营商网络。中转则先到接入服务器，再转发到出口。多了一段路径可能改善路由，也可能引入额外负载，不能简单理解为越多跳越快。

IEPL 指以太网专线服务。在订阅服务的线路描述中，通常表示某段骨干传输采用专线承载。它描述的是传输路径，不等于设备到目标网站的每一段都是专线，更不代表网站响应时间固定。当地接入、出口负载与目标服务状态仍然会影响体验。

协议：兼容性先于名称偏好

VPN 是常见的产品类别称呼，但订阅客户端使用的未必都是操作系统原生的 VPN 协议。Shadowsocks、VMess、Trojan、VLESS、Hysteria2 和 TUIC 属于常见代理方案或协议名称，不能仅因客户端显示了 VPN 图标，就把它们视为相同技术。

Shadowsocks 是加密代理协议；VMess 包含认证与加密机制；Trojan 通常使用 TLS 保护传输。VLESS 本身不负责内容加密，需要结合 TLS 等适当的安全传输配置。Hysteria2 与 TUIC 基于 QUIC，网络对 UDP 的处理情况会影响其连接表现。

这些差异不构成固定速度排名。客户端实现、服务端参数、网络限制和路径质量都会改变结果。某客户端支持一种协议，也不代表支持该协议的所有传输组合。导入时报“不支持”，优先检查客户端版本、配置格式与官方兼容说明，不要随意删除安全相关字段。

这里是通用技术解释，不是 VPNDream 的协议支持清单。实际可用类型以账户内提供的配置和客户端说明为准，不应把名词表当作服务能力承诺。

分流：规则模式与全局模式的边界

分流是在请求发出时决定路径。规则可以按域名、目标地址或其他受支持条件匹配，再交给直连、代理策略组或拒绝动作。规则通常有匹配顺序，宽泛规则放在前面，可能让后面的精细规则没有机会生效。

规则模式按照配置逐项判断，适合让本地服务与国际服务采用不同路径。全局模式通常把已被客户端接管的流量交给指定代理策略；直连模式则通常让接管到的请求直接访问。各客户端对模式的具体定义可能不同，应以其说明为准。

关键在“已被接管”。系统代理依赖应用遵循代理设置，有些应用会绕过它；TUN 模式通过虚拟网络接口接管更多流量，但范围仍受路由、权限与配置影响。因此，全局模式不是“设备所有通信必然经过代理”的保证，TUN 也不是某种更快的代理协议。

• ✅ 日常使用先采用官方提供的规则配置，确认本地服务与目标应用都能正常访问。
• ✅ 排查某个应用时，临时对照规则模式与全局模式，观察问题是否随策略改变。
• ✅ 查看客户端连接记录中的命中规则与实际出口，避免只看节点选择按钮。
• ❌ 不要把“换了节点”直接等同于“应用已改走代理”，应用可能仍在直连。

DNS 与隐私：解析路径也属于配置

DNS 把域名解析为地址。访问网站前的解析请求，可能由系统、客户端或应用自己的解析机制处理。应用流量经过代理，不自动意味着 DNS 也沿同一路径发送；浏览器启用独立的加密 DNS 后，还可能与客户端配置产生不同结果。

所谓 DNS 泄漏，通常指解析请求走出了预期的受保护路径。它可能让本地网络上的解析服务获知查询的域名，但不能据此推断对方已读取 HTTPS 页面正文。排查时应结合客户端 DNS 设置、应用设置和连接记录，而不是只看某个检测页面的单项结果。

加密保护也有边界。VPNDream 使用“军工级加密”作为安全主话术，但这不代表恶意网站、钓鱼页面或被泄露的订阅凭据会自动变得安全。账户凭据保管、系统更新与网站证书检查，仍然是独立的安全事项。

客户端导入：按操作顺序检查

Windows、macOS、iOS、Android 与 Linux 的客户端界面和系统权限不同，但配置流程可以共用同一条思路。先确认账户权益与配置来源，再导入，最后验证应用是否走了预期路径。不要一边改规则一边换协议，否则很难判断哪项修改起了作用。

1. 确认入口。登录账户，按照使用教程取得适用客户端。核对平台与配置格式，不从来源不明的附件安装。
2. 导入配置。复制账户内订阅链接，使用客户端的订阅导入入口。导入后确认列表有内容；提示格式错误时，检查是否复制了登录页面地址。
3. 选择策略。更新订阅，选择需要的出口与模式。若配置采用自动选择策略组，手动点击其他节点未必会改变该组的实际选择。
4. 授予必要权限。按官方说明启用系统代理或网络接管功能。移动系统可能弹出 VPN 配置授权，桌面系统可能需要相应权限。
5. 验证应用。打开实际要用的网站或协作工具，结合客户端记录确认命中规则。测试完成后保留有效配置，不同时开启互相冲突的代理工具。

故障定位：根据现象缩小范围

订阅无法更新：先检查本地联网、地址完整性和账户状态，再确认客户端是否支持当前格式。旧链接失效、服务端暂时无法访问和格式不兼容，是不同问题；反复点击更新不能区分原因。

节点能测延迟，网页却打不开：延迟测试可能只验证某个连接环节，不代表域名解析、网页请求和媒体传输都成功。检查 DNS、分流规则与应用接管状态，再对照其他可用节点。

网页可用，会议仍卡顿：网页加载与实时通话的流量特征不同。检查本地无线网络、后台传输、丢包和路径波动，不要仅依据下载峰值判断会议线路。相关问题可通过帮助中心继续排查。