這份 VPN 新手術語速查會依實際使用流程展開：先取得訂閱連結，再匯入用戶端、選擇節點、確認協定，最後決定使用分流、全域或規則模式。許多連線問題並非線路本身失效，而是把「訂閱」、「節點」、「協定」和「運作模式」視為同一件事，導致排錯時改錯位置。
理解這些概念不需要先研究複雜的網路理論。只要分清楚「設定從哪裡來」、「流量要走哪裡」、「用戶端如何承載流量」以及「哪些請求需要經過線路」，大多數設定項目就能看懂。不同平台的按鈕名稱可能不同，但背後的工作層次基本一致。
先看懂從訂閱到連線的完整流程
一次正常連線通常包含幾層彼此獨立的設定。訂閱負責向用戶端提供節點資料；節點描述可供選擇的連線目標；協定規定用戶端與伺服器如何通訊；線路類型說明資料離開連線入口後經過的網路路徑；分流規則則決定特定請求是否交由節點處理。
| 術語 | 它解決的問題 | 常見誤解 | 排錯時先看哪裡 |
|---|---|---|---|
| 訂閱 | 將可用設定交給用戶端，並允許後續更新 | 把訂閱網址當成一般網頁開啟 | 訂閱是否匯入成功、是否完成更新 |
| 節點 | 提供一組具體的連線設定 | 認為同一地區的節點一定使用相同路徑 | 節點名稱、地區、協定與連線狀態 |
| 協定 | 約定用戶端與伺服器如何交換資料 | 只憑協定名稱判斷實際速度 | 用戶端是否支援對應的協定與傳輸方式 |
| 線路類型 | 描述連線後所經過的網路路徑 | 把線路類型和協定混為一談 | 直連、中轉或 IEPL 專線標示 |
| 分流規則 | 判斷請求要經過節點還是直接連線 | 認為開啟用戶端後所有流量都會自動經過節點 | 規則比對結果與目前的運作模式 |
什麼是訂閱連結，為什麼要匯入用戶端
訂閱連結是服務商產生、供用戶端讀取的設定網址。它可能回傳節點清單，也可能包含分組、規則與 DNS 設定的完整設定。用瀏覽器直接開啟後出現文字、下載提示或無法閱讀的內容，不代表連結損壞，因為它主要是給相容的用戶端使用，而不是給網頁瀏覽器使用。
匯入時，用戶端會要求訂閱內容，解析其中的伺服器位址、連接埠、協定參數與節點名稱，然後儲存為本機設定。之後執行「更新訂閱」時，用戶端會重新取得服務端提供的版本。更新通常會同步新增、調整或移除的節點，但本機手動修改是否保留，取決於用戶端的合併方式。
- 在服務頁面複製訂閱連結，不要只截取其中一部分。
- 開啟適用於目前平台的用戶端，找到訂閱、設定或設定檔入口。
- 選擇從 URL 匯入，將完整連結貼到對應的輸入框。
- 儲存後執行更新，確認用戶端中出現節點或策略群組。
- 選取節點，再開啟系統代理或 TUN 等接管方式。
- 使用實際需要存取的網站或應用程式，驗證分流結果。
訂閱連結通常帶有用於識別訂閱的憑證，應像密碼一樣妥善保存。將連結發到公開論壇、截圖展示完整網址，或匯入來源不明的線上轉換工具，都可能讓設定遭他人讀取。如果懷疑連結已外洩，應在服務頁面重設訂閱，而不是只在用戶端刪除舊設定。
節點、伺服器和線路類型不是同一個概念
用戶端中的「節點」是一組可供選擇的連線參數。它通常包含顯示名稱、伺服器位址、連線埠、協定及驗證資訊。節點名稱中常見的地區、線路或用途標籤，是協助選擇的說明，不代表節點名稱本身參與網路傳輸。
「伺服器」偏向實際承載服務的主機或入口；「節點」則是使用者在用戶端看到的設定單位。同一台伺服器可以承載不同協定設定，同一地區也可能存在多條完全不同的線路。因此，看到兩個節點都標示同一座城市，不能據此認定它們的入口、出口與中間路徑一致。
直連、中轉與 IEPL 專線分別代表什麼
直連表示用戶端直接連線到目標伺服器入口，中間不經過服務商設定的額外轉發層。其架構清楚，但使用體驗會更直接受到本地電信業者路由、跨網互聯與國際出口波動影響。
中轉線路會先連線到較近或較容易抵達的入口，再由中轉網路送往出口。中轉的價值在於調整網路路徑，而不是改變應用層協定。中轉入口穩定時，可以避開部分不理想的公網路由；如果中轉環節本身壅塞，額外路徑同樣可能成為瓶頸。
IEPL 專線通常是指利用專用國際乙太網路連線承載跨境區段，再結合入口與出口完成連線。它與「使用哪一種代理協定」是兩回事：VLESS 節點可以建立在不同線路上，Trojan 節點也可以透過直連、中轉或專線接入。協定名稱不能取代線路說明。
如何看待 Shadowsocks、VMess、Trojan、VLESS、Hysteria2 與 TUIC
協定規定用戶端與伺服器如何建立工作階段、進行驗證並傳輸資料。協定會影響相容性、傳輸特徵、使用 TCP 或 UDP 的方式，以及用戶端設定，但無法單獨決定最終速度。實際體驗還會受到線路路徑、伺服器負載、本地網路、壅塞控制與應用程式流量類型影響。
| 協定 | 核心特點 | 設定時注意 | 常見適用情境 |
|---|---|---|---|
| Shadowsocks | 結構相對簡潔的加密代理協定，生態成熟 | 加密方式、密碼與外掛參數需要與伺服器一致 | 用戶端廣泛支援時，適合作為通用連線選項 |
| VMess | 常見於 V2Ray 生態，可搭配不同傳輸層使用 | 身分參數、傳輸方式與時間狀態都可能影響連線 | 已有相容設定時可繼續使用，不應只看名稱判斷效能 |
| Trojan | 常與 TLS 結合，透過標準加密連線承載資料 | 網域、憑證驗證與伺服器名稱需要正確匹配 | 適合用戶端完整支援 TLS 參數的設定 |
| VLESS | 驗證層較輕，可組合 TCP、WebSocket、gRPC 等傳輸方式 | VLESS 只是其中一層，TLS、REALITY 與傳輸參數也必須對應 | 適合使用較新 Xray 生態設定的情境 |
| Hysteria2 | 以 QUIC 與 UDP 為基礎，重視複雜網路下的傳輸表現 | 本地網路若限制 UDP，可能無法發揮作用，甚至直接連線失敗 | 可用於封包遺失、抖動較明顯且 UDP 可用的網路 |
| TUIC | 同樣以 QUIC 和 UDP 為基礎，支援並行資料承載 | 需要用戶端版本、驗證參數與壅塞控制設定相容 | 適合服務端明確提供，且目前網路允許 UDP 的情況 |
WebSocket、gRPC、TCP、QUIC 等詞彙經常與協定並列出現，但它們可能處於不同層次。例如 VLESS 可以承載於不同傳輸方式之上，TLS 或 REALITY 則負責連線驗證與加密封裝。匯入訂閱後，通常不需要手動重新組合這些參數；如果自行修改其中一項，而服務端沒有對應設定，連線就會失敗。
所謂「協定越新越快」並不是可靠規則。Hysteria2 和 TUIC 依賴 UDP，在允許 UDP 且網路抖動明顯的環境中可能更合適；在 UDP 受限的辦公室網路、公共網路或特殊連線環境裡，基於 TCP 的設定反而更容易建立連線。正確做法是保留可用的備用協定，並配合目前網路進行測試。
全域模式、規則模式與直連模式如何切換
運作模式處理的是「哪些流量交給節點」。它與節點使用哪種協定無關。同一個 VLESS 節點可以在規則模式下使用，也可以在全域模式下使用。切換模式不會自動改變節點的線路，只會改變用戶端對請求的處理決定。
規則模式：日常使用的常見選擇
規則模式會根據網域、IP、應用程式、連接埠或規則集合判斷流量去向。常見做法是讓本地服務直接連線，讓需要國際線路的請求經過節點。這樣既能減少不必要的繞行，也能避免部分本地網站因出口地區變更而觸發額外驗證。
規則通常依序比對，先符合的規則生效。用戶端中的「代理」、「直連」、「拒絕」通常代表不同處理動作；策略群組則允許多個節點共同成為某條規則的目標。如果某個網站走錯路徑，應查看連線記錄中的命中規則，而不是只檢查目前選取的節點。
DOMAIN-SUFFIX,example.com,PROXY
DOMAIN-SUFFIX,local.example,DIRECT
PROCESS-NAME,browser,PROXY
MATCH,DIRECT上面的內容只是協助理解規則結構的中性示例：網域後綴可以指定使用代理或直連，應用程式程序也可以單獨指定策略，最後的 MATCH 負責處理前面沒有符合的請求。不同用戶端使用的欄位名稱與語法並不完全相同，不能把同一種格式直接貼到所有應用程式中。
全域模式：適合暫時判斷是否為規則問題
全域模式通常會把用戶端已接管的流量統一交給目前的節點。它適合短時間排錯：如果規則模式無法存取，而全域模式可以存取，問題很可能出在規則比對、DNS 結果或策略群組選擇；如果全域模式也失敗，則應繼續檢查節點、協定與本地網路。
「全域」不一定等於裝置上的每一份流量。只開啟系統代理時，不遵循系統代理的應用程式仍可能直接連線；未被 TUN 接管的流量、獨立實作的網路堆疊或特殊系統服務，也可能繞過用戶端。因此，全域描述的是用戶端內部的決策模式，不是對整台裝置流量範圍的絕對說明。
直連模式：快速恢復本地網路路徑
直連模式會讓已接管的請求不再經過遠端節點。它適合用來確認某個本地網站是否因繞行而異常，也可以在暫時不需要國際線路時使用。若要完全停止接管，還應關閉系統代理或 TUN；只把策略切換成直連，用戶端程序本身通常仍在執行。
系統代理、TUN 與 DNS 洩漏分別負責什麼
系統代理是在作業系統中寫入代理位址，讓遵循該設定的應用程式將 HTTP 或 SOCKS 請求交給用戶端。瀏覽器和多數一般應用程式通常能讀取系統代理，但部分遊戲、命令列程式、獨立執行環境或自行實作網路連線的應用程式可能會忽略它。
TUN 模式會建立虛擬網路介面，在 IP 層接管更廣泛的流量，再由用戶端執行路由與分流。它更適合不支援系統代理的應用程式，也更容易統一處理 TCP、UDP 與 DNS 請求。不過，TUN 通常需要系統網路權限，並可能與其他網路過濾工具、企業安全軟體或既有虛擬網卡發生路由衝突。
DNS 負責將網域名稱轉換為 IP 位址。所謂 DNS 洩漏，通常是指原本應由用戶端規則或加密線路處理的網域查詢，卻透過本地電信業者或其他未預期的解析路徑送出。這不僅可能暴露查詢目標，還可能取得與節點出口地區不相符的解析結果，導致網站判定錯誤地區、連線到不適合的位址，或出現頁面能開啟但內容無法使用的情況。
處理 DNS 問題時，要同時檢查用戶端 DNS 設定、系統解析設定與瀏覽器中的加密 DNS。瀏覽器若獨立指定解析服務，可能繞過用戶端原本的分流設計；用戶端若使用 Fake IP 或增強模式，則需要相應的嗅探、映射與排除規則。不要把所有解析異常簡單歸因於節點，因為節點能連線並不代表 DNS 路徑一定正確。
如何看待 Windows、macOS、Android 與 iOS 用戶端差異
各平台用戶端的核心任務相同，但權限模型不同。Windows 用戶端通常同時提供系統代理、虛擬網卡與服務模式；macOS 用戶端需要配合作業系統網路延伸功能或代理權限；Android 通常透過系統 VPN 介面建立本機通道；iOS 與 iPadOS 則依賴系統允許的網路延伸能力。介面上都可能顯示「已連線」，實際接管範圍仍由目前模式決定。
桌面版較容易查看連線記錄、規則命中與 DNS 查詢，適合排查訂閱解析與路由問題。行動裝置會受到背景調度與省電策略影響，應用程式切到背景、網路在 Wi-Fi 與行動網路之間切換時，系統可能重新建立通道。此時短暫斷線不一定代表訂閱失效，可以先回到用戶端確認系統通道狀態。
同一份訂閱在不同用戶端中顯示的內容不同，也不一定代表設定遺失。完整設定用戶端可能會展示策略群組、規則與 DNS 模組；僅支援節點訂閱的用戶端可能只擷取伺服器項目。某些協定或傳輸方式需要較新的核心支援，用戶端能匯入節點名稱，卻未必能成功建立對應連線。
選擇用戶端時，應優先核對訂閱格式、協定支援、系統代理與 TUN 能力、規則語法，以及記錄是否清楚。不要只根據介面是否相似來判斷相容性。服務頁面明確提供的用戶端與設定方式，通常更容易保持參數一致。
遇到連線問題時分層排查，不要一次改完所有設定
有效排錯需要對照。一次只改變一個條件，才能知道問題出在訂閱、節點、協定、線路、模式還是 DNS。如果同時更新訂閱、切換協定、開啟 TUN、替換規則並修改系統 DNS，即使連線恢復，也無法判斷真正原因；下次遇到同類問題仍要從頭嘗試。
- ✅ 先確認訂閱能夠更新，用戶端中能看到完整的節點名稱。
- ✅ 選擇一個明確支援的節點，查看連線記錄是否完成握手。
- ✅ 同地區節點異常時，更換不同線路類型進行對照。
- ✅ 規則模式異常時，暫時切換至全域模式，判斷是否為錯誤比對。
- ✅ 瀏覽器可以使用、其他應用程式卻無法使用時，檢查系統代理的接管範圍，並評估是否需要 TUN。
- ✅ 頁面顯示地區不符或網域解析異常時，檢查用戶端、系統與瀏覽器的 DNS 路徑。
- ❌ 不要任意修改訂閱自動產生的驗證、TLS、傳輸層或伺服器名稱。
- ❌ 不要把訂閱連結貼到來源不明的轉換頁面或公開內容中。
如果記錄顯示訂閱請求失敗，問題發生在取得設定階段；如果節點存在但握手失敗，應檢查協定相容性、本地網路限制與節點狀態；如果握手成功但特定網站無法使用，應繼續查看規則、DNS 以及目標網站本身的限制。依層次判斷，比反覆點擊連線按鈕更有效。
將術語放回實際操作，建立穩定的使用習慣
新手最容易把「用戶端顯示已連線」當成全部完成。更準確的判斷應包含幾件事：訂閱已匯入並能更新，選取的節點與目前網路相容，系統代理或 TUN 確實接管目標應用程式，分流規則將請求送往預期策略，DNS 查詢也沒有繞到意外路徑。
節點名稱適合用來快速篩選，但最後仍要看用途。瀏覽網頁與使用 AI 工具更重視互動穩定性；觀看串流影音還涉及出口地區與平台辨識；下載任務則更關注持續傳輸與流量安排。不要因為某個節點在單一情境下可用，就推斷它在所有應用程式中都最合適。
協定也不需要頻繁手動追新。訂閱已提供可運作的參數時，先使用服務端推薦的設定。只有在目前網路出現 UDP 受限、TLS 驗證失敗、用戶端核心不相容等明確現象時，再切換協定或傳輸方式。參數越多，就越應減少沒有依據的修改。
規則模式適合長期保留，但規則需要更新。網站網域、內容傳遞位址與應用程式介面都會變動，舊規則可能遺漏新網域。遇到「首頁能開啟、登入或圖片載入失敗」時，可以查看失敗請求的網域是否被套用到錯誤策略，而不是直接把整台裝置長期改為全域模式。