VPN新手名词速查：订阅、节点、线路、协议与分流一次讲明白

这份 VPN新手名词速查先给出结论：订阅负责提供配置，节点是连接入口，线路描述数据经过的路径，协议规定通信方式，分流决定哪些请求走哪条路。它们属于不同层面，不能仅凭一个节点名称判断速度、隐私或应用兼容性。

理解这些词，不是为了背参数，而是为了遇到问题时知道该检查哪里。订阅导入失败，优先看链接和格式；节点连接失败，检查网络与协议支持；只有某个应用不通，则先看分流和应用自己的代理设置。

订阅、节点与客户端的关系

在付费页面，“订阅”通常表示一种计费关系；在客户端里，“订阅”通常指可以更新连接配置的地址。两者有关联，却不是同一个东西。流量包用户也可能通过订阅链接获取节点，并不意味着一定按月计费。

订阅链接返回的内容可能包含节点地址、端口、认证信息，也可能包含策略组、分流规则及 DNS 设置。具体提供哪些内容，取决于服务输出格式和客户端支持范围。导入成功后，客户端会把配置转换成可选择的节点或策略组。

节点是一组连接参数，不一定对应一台独立服务器。多个节点可能共享入口或出口；同一地区的节点也可能走不同路径。节点名称里的地区、专线或用途标签是说明信息，实际出口与可用性仍需连接后验证。

订阅链接通常含有访问凭据，应按密码一样保管。不要贴到公开讨论区，也不要交给来源不明的在线转换网站。若链接被公开，应在服务面板查找重置入口或联系支持处理。

IEPL 专线、中转与直连怎么区分

线路描述的是路径，而不是通信协议。客户端到入口、入口到出口、出口到目标网站，每一段都可能影响访问体验。出口位于日本，不代表整个路径都是日本本地网络，也不代表使用了专线。

专线的作用主要在传输路径和容量安排，不会自动改变第三方平台的地区规则。流媒体或 AI 工具还会判断出口地址、账户地区及风控状态。选择线路时先匹配应用需要的地区，再看实际使用是否稳定，不能把“专线”理解成永久可用承诺。

常见协议分别解决什么问题

协议定义客户端与服务端如何认证、封装和传送数据。Shadowsocks、VMess、Trojan、VLESS、Hysteria2 和 TUIC 常见于代理客户端生态，并不等同于传统的整机网络隧道。应用最终是否经过代理，还取决于流量接管方式。

• Shadowsocks：加密代理协议，具体安全属性取决于协议版本与加密方案。它不是浏览器里的 HTTPS，也不会自动让所有应用流量都进入代理。
• VMess：包含认证与加密机制，可配合不同传输方式。配置中出现 WebSocket，不表示天然启用了 TLS，需要分别查看传输与安全层设置。
• Trojan：通常依赖 TLS 保护连接，证书校验和服务端名称匹配很重要。连接报错时，不应把关闭证书校验作为常规解决办法。
• VLESS：协议本体不提供载荷加密，通常与 TLS 或 REALITY 等机制组合使用。仅看到 VLESS 名称，无法判断连接的完整安全配置。
• Hysteria2 与 TUIC：都基于 QUIC，底层依赖 UDP，但两者不是同一种协议。网络对 UDP 的限制会影响连接，不能简单理解为比其他协议必然更快。

客户端能显示协议名称，不代表当前版本支持服务提供的所有选项；订阅格式转换也不能让一个不支持该协议的内核突然获得支持。新手优先使用面板提供的匹配入口，不必为了某个协议名称反复更换软件。

这里介绍的是通用技术概念，不是 VPN72 的协议支持清单。具体可用协议、客户端与线路，以面板实际提供的配置为准。

全局模式、规则模式与 TUN

多数规则代理客户端里的“全局模式”，表示把已经进入客户端的请求交给所选代理策略；“规则模式”则根据域名、目标地址、应用进程或其他条件决定直连、代理或拒绝。规则通常按顺序匹配，并由兜底规则处理未命中的请求，具体逻辑以客户端为准。

这里最容易误解的是“全局”：它通常不保证整台设备的每个应用都被接管。如果游戏、命令行工具或办公软件没有使用系统代理，即使客户端处于全局模式，其流量仍可能不经过客户端。

系统代理是把代理地址告知遵循该设置的应用；TUN 模式则通过虚拟网络接口接管符合路由条件的 IP 流量。TUN 不是另一种节点协议，也不等于自动处理所有 DNS、局域网和 IPv6 路径。它通常需要额外权限，并可能与企业 VPN 或其他网络工具产生路由冲突。

日常浏览可以先使用服务提供的规则配置，让需要国际线路的请求走代理，让适合直连的服务保留本地路径。遇到单个网站问题，可临时切换全局模式作对照；如果恢复正常，应继续核对规则和 DNS，而不是长期把所有问题都交给全局模式。

DNS 泄漏与出口地址怎么看

DNS 负责把域名解析成地址。网页流量走了代理，不代表域名解析一定走同一路径。应用、浏览器、操作系统和代理客户端都可能参与解析，浏览器自带的加密 DNS 设置也可能与客户端方案不一致。

在期望 DNS 查询经由指定通道处理时，查询却发往了预期之外的解析器，才是需要排查的泄漏问题。加密 DNS 只说明查询传输受到加密保护，不自动表示它经过代理；测试页面显示某家解析服务，也不能单凭名字判断是否泄漏。

• ✅ 先确定预期：哪些域名应直连解析，哪些应通过代理侧解析。
• ✅ 核对客户端的 DNS 接管设置，以及浏览器是否覆盖了系统或客户端设置。
• ✅ 结合出口地址、解析器信息和客户端连接记录判断，不只看测试页面的单项结果。
• ❌ 不要把“出口地区正确”当成所有应用与所有解析请求都已接管的证明。

IPv6 也需要纳入检查。如果当前配置只处理了部分地址族，应用可能选择另一条可用路径。应根据客户端文档核对路由和 DNS 行为，而不是把关闭 IPv6 当作任何连接问题的通用答案。

从导入到验证的操作顺序

先确认账户权益与客户端兼容，再检查连接和分流，可以减少无效尝试。VPN72 需登录后获取订阅；非 iOS 平台登录即可下载客户端，iOS 客户端入口按面板当前套餐状态提供。实际按钮与安装方式以面板为准。

1. 获取匹配配置。从面板选择对应平台与客户端入口，不要把网页地址误当成订阅链接，也不要随意修改链接中的参数。
2. 导入并更新。使用客户端的订阅或配置导入功能。确认节点列表已出现，再检查是否提示格式、认证或更新失败。
3. 选择出口与策略。按目标应用地区选择节点，启用合适的规则模式，并确认相关策略组没有停留在直连选项。
4. 完成必要授权。系统代理与 TUN 的授权不同，按客户端和系统提示操作；仅从可信来源安装并核对发布信息。
5. 验证真实应用。检查出口地区，然后打开目标服务，观察客户端是否出现对应连接。最后再测试常用的本地网站和局域网资源。

Windows 与 macOS 上，系统代理只影响遵循该设置的应用，不能凭托盘图标判断所有流量。Android 的本地 VPN 接管方式可能包含按应用选择；iOS 常通过系统网络扩展接管流量。Linux 则需分别确认桌面代理、环境变量或 TUN 路由。不同客户端的设置名称并不完全一致。

遇到报错，按层排查

订阅更新失败：先检查本地网络和账户状态，再确认链接是否完整、是否失效，以及导入格式是否匹配。更新失败与节点连接失败不是同一个问题，反复切换节点未必有帮助。

有节点但连不上：核对客户端版本、协议支持和系统时间，再换同地区的其他入口作对照。如果只有基于 UDP 的协议失败，应检查当前网络是否限制 UDP，不要马上认定整个服务不可用。

连接成功但应用不可用：查看应用是否进入代理、规则命中了哪个策略、DNS 是否符合预期。若网络请求已到达目标平台但仍被拒绝，还需考虑账户地区、服务条款和出口风控，不能仅凭“已连接”推断平台一定允许访问。

需要提交支持请求：可整理系统、客户端名称、错误提示、所选节点及复现操作。截图和日志应先遮盖订阅链接、令牌及账户凭据；不要为了排查而公开完整配置。