VPN 名词速查：订阅、节点、协议、分流一次讲明白

订阅：一条链接如何变成一屏节点

订阅（subscription）在客户端里通常只占一行地址栏。它指向的不是某台服务器，而是一份节点列表：客户端向这个地址发起 HTTPS 请求，把返回内容解析成节点，并按固定周期自动更新。

返回内容的格式由服务端决定，常见两种。一种是一串 Base64 编码的多行 URI，每行一个节点，以 ss://、vmess://、trojan:// 等开头；另一种是 Clash 系客户端使用的 YAML 配置，把节点、策略组与分流规则写在同一份文件里。

订阅地址里通常带一段随机字符串，服务端靠它识别账号。这决定了订阅链接的性质：它等同于账号凭据。拿到链接的人可以直接导入使用，流量也记在同一个账号上。需要在新设备上使用时，从账号面板重新复制一次，不要让链接长期停留在聊天记录里。

手动添加节点是另一条路径：把地址、端口、加密方式、密码或用户 ID 逐项填进客户端。它适合临时接入单台服务器，问题是节点参数一变就要重新填。

导入订阅的标准流程：

1. 在客户端找到「订阅」或「配置」入口，选择新增。
2. 粘贴订阅链接，填一个便于识别的名称。
3. 手动触发一次更新，确认节点列表出现，数量与预期一致。
4. 选一个节点接通，再打开 IP 检测页核对出口地区。

节点：地区只是标签，线路类型才是质量

节点（node）是客户端最终接入的那台服务器，配置字段包括地址、端口、加密方式与凭据。节点名称里的地区，例如「新加坡 01」，表示落地出口的大致位置——它是一个标签，不是质量指标。

同一个地区可以挂着三类线路，价格与稳定性差别很大：

• 直连：客户端直接连接服务器的公网地址。路径最短，成本最低，全程走公共互联网，晚高峰路由抖动时会跟着波动。
• 中转：客户端先连中转入口，再由中转机转发到落地机。入口通常离用户更近，落地出口仍按目标地区。多了一跳，但把最不确定的一段挪到了可控的一段。
• IEPL 专线：两端之间走运营商点到点专线，不经过公共互联网路由。延迟曲线平、抖动小，成本最高，通常按带宽计费。

三类线路的对照：

以 VPNWI 的订阅为例，线路规模如下：

选节点之前，可以先在服务器页看一遍各地区线路与实时延迟，再决定用哪一条。什么时候需要动它：默认选延迟测试里靠前的节点；出现卡顿先换节点，而不是先改协议；同一地区有多个节点时，优先选中转或专线。

协议：从 Shadowsocks 到 Hysteria2，各自解决什么

协议决定客户端与节点之间怎么加密、怎么握手、走 TCP 还是 UDP。它不改变出口位置：同一台节点换协议，落地地区不变，变的是传输方式。

常见协议按出现顺序排：

• Shadowsocks：轻量加密代理，使用 AEAD 加密套件，例如 aes-128-gcm、chacha20-ietf-poly1305。开销小，适合低配设备与路由器；只做加密转发，不做流量伪装。
• VMess：V2Ray 系的原生协议，用 UUID 标识用户，参数项较多，字段写错会直接连不上。
• VLESS：VMess 的简化后继，协议本身不做加密，把加密与伪装交给外层 TLS，握手开销更小。
• Trojan：把流量伪装成标准 HTTPS，通常落在 443 端口，对链路上的中间设备来说与普通网站访问没有区别。
• Hysteria2 与 TUIC：基于 QUIC 的协议，走 UDP。弱网与丢包环境下重传策略更激进，延迟与吞吐表现更好；代价是依赖 UDP，网络对 UDP 不友好时反而不如 TCP 系协议稳定。

在订阅文件里，一个节点就是一行这样的 URI：

ss://<加密方式>:<密码>@<服务器地址>:<端口>#<节点名>
vmess://<Base64 编码的 JSON>
trojan://<密码>@<域名>:443?sni=<域名>#<节点名>

客户端解析这些字段，生成节点条目。什么时候需要动它：默认不动；客户端版本不支持当前协议时换一个；网络对 UDP 限速时，从 QUIC 系切回 TCP 系；只有服务端明确给出参数时，才手动修改。

分流：哪些流量走代理，哪些直连

分流（routing）是客户端按规则给每条连接选出口：走代理、直连，或者拒绝。规则自上而下匹配，命中即停。

常见的匹配维度有五类：

• 域名后缀：域名以某个字符串结尾时命中。
• 域名关键词：域名里包含指定字符串时命中。
• IP 段：按 CIDR 匹配，例如内网段直接放行。
• 地区库：按 IP 归属地判断，常见写法是 GEOIP,CN,DIRECT 这类规则。
• 进程名：桌面端可用，指定某个程序走哪条出口。

一份典型的规则集做三件事：国内域名与国内 IP 直连；其余流量走代理；流媒体或特定服务的域名单独指定节点。

DNS 泄漏：分流管不到的第三条链路

分流决定的是连接出口，DNS 解析是另一条链路。如果 DNS 查询没有跟随代理，解析请求会由本地网络的 DNS 发出，结果可能被污染，查询记录也可能被看到，这就是 DNS 泄漏。

常见处理有两种：把 DNS 查询交给代理通道，也就是远程 DNS；或者用 fake-ip 模式让客户端接管解析，只在真正建立连接时才发起域名解析。验证方法很直接：接通后打开 IP 检测页，看解析出的出口地区与所选节点是否一致，再换一个节点复测一次。

分流规则与 DNS 处理都在客户端一侧完成；服务端一侧的隐私立场是不记录日志。什么时候需要动它：只有出现「该直连的走了代理」或「该走代理的被直连」时才需要改，日常保持默认规则集即可。

全局、规则、直连：三种模式与切换时机

客户端首页通常有一个模式开关，三个取值对应三种总策略：

• 规则模式（rule）：按分流规则走，绝大多数时间用这个。
• 全局模式（global）：所有流量都走代理。适合验证「是否所有请求都从节点出去」，代价是国内站点也绕路。
• 直连模式（direct）：全部不走代理，相当于临时停用代理但保留客户端运行状态，用来区分本地网络问题与节点问题。

切换的判断顺序：

1. 默认保持规则模式。
2. 某个国内站点被误判走代理时，先检查规则集，不要直接切全局。
3. 需要验证出口一致性时，临时切全局，测完切回规则模式。
4. 网络异常时先切直连：直连正常，问题在节点或代理链路；直连也不正常，问题在本地网络。

自检清单：

• ✅ 订阅链接只在自己的设备上导入，不转发到聊天群或公开的配置分享站。
• ✅ 接通后先打开 IP 检测页，核对出口地区与所选节点一致。
• ✅ 日常保持规则模式，只在排查问题时临时切全局或直连。
• ✅ 卡顿时先换节点，再考虑动协议与分流规则。
• ❌ 把订阅链接当作可以随手分享的配置文件。
• ❌ 长期开着全局模式看国内视频，带宽绕路且不解决问题。
• ❌ 在公共 Wi-Fi 下用未接管的本地 DNS 解析账号相关域名。

同一个词在不同平台的位置

这些概念在所有平台一致，差别只在入口名称与接管方式。

• Windows 与 macOS：桌面客户端普遍提供 TUN 模式，用虚拟网卡接管不遵守系统代理设置的程序，分流规则里可以按进程名匹配。
• Android：客户端通过系统 VPN 接口接管流量，部分客户端支持按应用分流，只让指定应用走代理。
• iOS：客户端从 App Store 安装，可用性取决于账号所在地区；系统通过 VPN 描述文件或 Network Extension 接管流量，分流能力取决于客户端实现。
• Linux：命令行客户端与图形客户端并存，规则文件多为 YAML，适合纳入版本管理。

换平台不需要重新理解概念，只要在客户端里找到对应入口：订阅在「配置」里，节点在「服务器」列表里，模式开关一般在首页顶部。各平台的安装与导入步骤，使用指南里有分平台说明。

名词对照表

六个词、六个问题，一张表回查：