VPN新手名词速查:订阅、节点、线路、协议、分流一次讲明白

这份 VPN新手名词速查，从订阅、节点、线路、协议和分流讲起。先记住它们的关系：订阅提供配置，客户端读取配置，节点是连接对象，线路是经过的路径，协议负责通信，分流决定哪些请求走哪里。

理解这些词，不是为了背技术清单，而是为了遇到“导入成功但不能访问”“网页正常而应用失败”时，知道应该检查哪一层。下面先拆开界面里的名称，再把它们接成可执行的使用步骤。

订阅链接与付费订阅：同名，不是同一件事

付费订阅是计费关系，决定账户可以使用的服务与流量。订阅链接则是客户端获取配置的入口，通常包含节点参数，也可能包含策略组、分流规则和 DNS 设置。付费完成，不等于配置已经进入客户端；复制了链接，也不等于客户端已经开启连接。

在兼容的客户端里导入订阅后，客户端会请求链接内容并保存配置。之后点击“更新订阅”，通常是在刷新节点和规则，不是在续费。账户到期、流量用尽、链接被重置，或者当前网络无法访问配置地址，都可能导致更新失败，应分别核对。

订阅链接也不能随意贴到公开讨论区。链接中可能包含账户识别凭据，获得链接的人可能使用对应配置。排查问题时，应隐藏完整链接和令牌；如果已经公开，先查看面板是否提供重置入口，再重新导入。

“导入成功”只说明客户端接受了配置。是否能建立连接、目标应用是否经过代理、网站是否允许访问，还需要继续验证。

节点、地区与出口：列表里实际在选什么

节点是客户端连接的服务端入口或配置项。节点名称里的地区通常用来提示出口位置，但名称本身不是检测结果。入口可能位于较近的网络，经过中转后才从其他地区访问目标网站，因此入口地址和网站看到的出口地址不一定相同。

出口 IP 是目标网站观察到的网络来源。它可能影响网站展示的地区内容，但不能单独决定账户资格、支付地区或平台许可。切换到某地区节点，不代表账户地区也随之改变，更不能据此推断平台一定可用。

节点旁边的延迟测试，一般只是某种探测请求的往返耗时。不同客户端可能测试不同地址，也可能只测到连接路径的一部分。显示有响应，可以作为候选依据，却不能直接换算下载速度，更不能证明长时间会话稳定。

IEPL 专线、中转与直连：区别在路径

直连通常指客户端直接连接服务端，不额外经过服务商安排的中转入口。这里的“直”描述连接结构，不是地理上的最短距离。实际流量仍会经过运营商网络，国际出口拥塞和路由变化都可能影响体验。

中转是在客户端与出口之间增加转发环节。它可能改善入口可达性，也可能引入新的瓶颈。判断中转线路是否合适，要看实际使用时的连接、持续传输和故障恢复，而不是只看名称里有没有“优化”。

IEPL 是国际以太网专线，属于网络传输服务，不是代理协议。标注 IEPL 的线路，通常表示服务商在某段传输路径上使用此类专线；它不意味着从本地设备到目标网站的每一段都被专线覆盖。本地无线网络、接入运营商和出口到目标网站的路径仍然重要。

因此，线路类型和协议应分开看：同一种协议可以运行在不同路径上，同一类路径也可以承载不同协议。需要比较时，尽量保持设备、网络和目标应用一致，再观察是否容易断开或出现重连。

Shadowsocks、VMess、Trojan、VLESS：协议不是速度排名

协议定义客户端与服务端怎样交换数据。支持某协议，不代表支持所有配置写法、传输方式和扩展功能；客户端使用的核心及其版本也会影响兼容性。以下是概念说明，不代表 VPN37 提供其中每一种协议。

• Shadowsocks：一种加密代理协议，常用于转发应用流量。客户端和服务端需要使用兼容的加密方式及参数。
• VMess：提供认证和加密的代理协议，常见于相关代理核心。部分配置对系统时间有要求，设备时间异常时值得检查。
• Trojan：通常依托 TLS 建立加密连接，证书校验与服务器名称配置很重要。连接失败时，不应把关闭证书校验当成常规解决方法。
• VLESS：本身不提供数据加密，通常配合 TLS 等安全传输方案使用。不能看到名称就认定通信已经加密，也不能脱离完整配置判断安全性。
• Hysteria2 与 TUIC：基于 QUIC 的代理方案，依赖 UDP 通信。当前网络对 UDP 的限制会影响可用性，不能因为它们采用 QUIC 就认定一定更快。

新手优先使用服务说明列出的兼容客户端和配置格式，不必反复寻找“最强协议”。换协议可能同时改变传输方式和连接行为，排查时一次只改一个因素，才容易知道问题究竟出在哪里。

分流、全局与 TUN：哪些流量会进入连接

规则模式根据域名、目标地址、进程或其他条件选择处理方式，常见结果是直连、交给代理策略组或拒绝连接。规则往往按顺序匹配，前面的规则可能先于后面的规则生效，所以“已经添加规则”并不代表它实际被命中。

全局模式通常把进入代理核心的流量交给统一策略。关键在“进入代理核心”：如果应用绕过了系统代理，切换全局模式也未必能接管它。浏览器能打开网页，而命令行工具仍连接失败，可能是工具没有读取系统代理设置。

TUN 模式通过虚拟网络接口接收系统流量，再由客户端处理，通常比单纯设置系统代理覆盖更广，但仍受路由、权限、排除列表和客户端实现影响。TUN 不是全局模式的同义词：前者偏向流量如何进入客户端，后者偏向进入后怎样选择策略。

Windows 和 macOS 客户端可能同时提供系统代理与 TUN；移动平台常通过系统 VPN 接口接管流量，这里的 VPN 图标表示系统网络接口已启用，不足以说明全部应用都被代理。Linux 的桌面程序与命令行工具也可能采用不同代理设置，应按应用分别核验。

DNS 泄漏、出口检查与连接结果

DNS 用来把域名解析为地址。即使网页内容经过代理，域名查询仍可能走其他网络路径。如果查询没有遵循预期的解析路径，而被本地网络或其他非预期解析服务接收，就可能构成通常所说的 DNS 泄漏。是否偏离预期，要结合客户端模式和规则判断。

使用加密 DNS 可以保护设备到解析服务之间的查询传输，但不自动意味着查询经过代理；解析服务本身仍会处理查询。某些客户端使用 Fake-IP 返回合成地址，再在连接时还原域名，这是分流实现方式，不表示网站真实地址变成了该合成地址。

检查时，可以分别观察出口地区、DNS 解析路径和实际应用表现。检测页面只反映该页面能观察到的请求，不能代表所有应用。浏览器自带的安全 DNS、已有连接和缓存，都可能让结果与客户端设置看起来不一致，应结合日志核对，而不是不停切换节点。

从获取客户端到验证：按顺序完成配置

1. 确认入口和兼容性。从用户面板获取客户端，核对平台与支持的配置格式，不把任意订阅链接交给不兼容的软件。
2. 导入并更新配置。使用客户端提供的订阅入口，查看是否生成节点和策略组。更新失败时先检查账户状态、链接有效性与网络可达性。
3. 选择节点与模式。先按用途选择地区，再确认系统代理或 TUN 是否启用。刚开始可以沿用配置提供的规则，避免同时叠加多套来源不明的规则。
4. 验证实际应用。打开需要使用的网站或工具，查看出口是否符合预期，并在客户端日志中检查该请求命中了什么策略。
5. 逐项定位故障。配置无法更新，先查订阅；节点无法连接，查网络与参数；只有某个应用失败，查接管方式、DNS 和该应用自己的设置。

• ✅ 分享排查截图前，遮住订阅链接、令牌与账户凭据。
• ✅ 保存一份已验证可用的配置思路，更新后异常时先比较变化。
• ✅ 向支持人员说明平台、客户端、网络环境和错误提示，不只描述“不能用”。
• ❌ 不把关闭证书校验、随意安装证书当作通用修复办法。

流量与计费另看账户规则。VPN37 的月流量按开通日每月重置，流量包用完为止、永久不过期；同时在线设备不限台数，不等于套餐流量无限。创建账户无需邮箱地址，用户名与密码即可。具体档位可查套餐价格与流量，操作疑问可查使用教程。