VPN是什么?新手名词速查:订阅、节点、协议与分流一次讲明白

VPN是什么？严格说，它是通过公共网络建立虚拟专用连接的技术。日常讨论里，人们也常用 VPN 泛指代理客户端和订阅服务。要读懂这些产品，先分清订阅、节点、协议与分流：它们分别解决配置从哪里来、连接谁、怎样通信、哪些请求走哪条路径的问题。

这些概念不在同一层。节点多，不等于出口地址彼此独立；协议新，不等于本地网络一定更快；客户端显示已连接，也不等于所有应用都经过它。下面从实际导入和访问流程解释，避免把套餐规格、线路名称与客户端功能混为一谈。

VPN 与代理：先看接管范围

传统 VPN 通常通过隧道把设备接入另一张网络。代理则由中间服务代为转发特定连接。现代客户端可能同时提供系统代理与虚拟网络接口，因此两者在使用界面上很接近，但不能只凭应用名称判断其工作方式。

系统代理通常向操作系统或应用提供代理设置，是否遵循取决于应用自身。有些程序会绕过系统代理。TUN 模式通过虚拟网络接口接管流量，再交给客户端处理，覆盖范围通常更广，但仍受路由、排除项、权限以及协议支持影响。

移动系统常把这类连接统一显示为 VPN 状态，这只能说明相关网络功能已启用。它不证明出口地区、分流结果或 DNS 路径正确。浏览器能访问而其他应用失败时，应先检查接管范围，不要直接判断服务端故障。

名词速查：配置到访问的对应关系

名词	实际含义	容易混淆的地方
客户端	在设备上读取配置、建立连接并执行规则的软件。	软件能安装，不代表能读取所有订阅格式。
订阅链接	供客户端获取或更新节点及相关配置的地址。	不是付款周期，也不一定包含完整分流规则。
节点	一组可连接的服务配置，包含地址、端口、认证与协议等信息。	不同名称可能共用入口、出口或部分链路。
入口与出口	入口负责接收连接，出口负责向目标网站发起访问。	网站识别的地区通常更接近出口，而非入口所在地。
协议	客户端与服务端通信时遵循的格式和交互方式。	协议名称本身不能说明线路带宽与拥塞程度。
策略组	把候选节点组织起来，供手动选择、自动测试或故障切换使用。	自动选择结果受测试目标与客户端实现影响。
分流规则	依据域名、地址、进程等条件决定直连、代理或拒绝。	规则命中代理组后，还要看组内实际选中了什么。
DNS	把域名解析为网络地址的机制。	网页连接与域名查询可能经过不同路径。

可以把访问过程理解为：客户端接到请求，识别目标，匹配规则，选择策略组，再连接对应节点。实际执行时，DNS 解析可能发生在不同阶段，也可能由远端完成。排查时沿着这条链路逐层确认，比反复更换节点更有依据。

订阅链接与付费订阅不是一回事

付费订阅描述套餐关系，例如按月提供流量。订阅链接则是配置入口；更新它是在刷新配置，不是在续费。链接通常带有身份凭据，拿到它的人可能读取节点并消耗账户流量，应像密码一样保管。

常见配置形态包括单节点分享链接、节点集合和完整配置文件。单节点链接一般只描述连接参数；完整配置还可能携带策略组、规则和 DNS 设置。不同客户端的配置语法并不通用，导入成功也未必代表每个字段都被支持。

先从官方说明确认设备平台与推荐客户端，在 F4VPN 可从面板下载入口获取客户端信息。
在面板选择与客户端匹配的订阅格式，使用客户端的订阅导入功能，不要把链接粘贴到公开转换网站。
更新后检查节点列表是否出现，并查看提示或日志，确认没有不支持字段、解析失败等错误。
选择策略组中的节点，确认系统代理或相应接管模式已启用，再分别测试需要代理和应该直连的应用。

直连、中转与 IEPL 专线的区别

线路类型描述的是网络路径，不是客户端使用的协议。直连线路通常指设备直接连接境外服务入口，跨网络传输依赖沿途公网路径。这里的“直连线路”仍可能提供代理转发，与规则中的“直连目标网站”不是同一个意思。

中转线路通常增加一个接入或转发环节，让设备先到入口，再由入口连接后续节点。这样可以调整接入与跨区域路径，但多了一段转发并不必然更慢，也不天然更稳。表现取决于入口质量、后段链路、负载和出口。

IEPL 专线是国际以太网专用线路的常见称呼，通常用于描述服务商链路中的专用传输段。即使中间一段使用专线，设备到入口、出口到网站也未必是专用链路。“专线”不能直接推出整条访问路径没有拥塞，更不能代替客户端到目标网站的实际测试。

比较线路时，先确认出口是否符合应用需求，再在同一设备、同一网络与相近时段体验。节点名称只是标签，无法单独证明物理线路、独享资源或网站可用性。F4VPN 的覆盖信息为 90+ 国家、220+ 线路；具体选择应结合线路列表与实际使用情况。

协议名称说明什么，不说明什么

Shadowsocks、VMess、Trojan、VLESS、Hysteria2 与 TUIC 都常见于代理工具生态，但它们并不是可任意互换的配置选项。服务端开放什么协议，客户端就需要支持相应实现、参数及传输方式。下面是通用概念说明，不代表 F4VPN 提供全部这些协议。

Shadowsocks：使用约定的加密方法与凭据转发流量。服务端与客户端必须匹配对应参数，不能只凭服务器地址完成连接。
VMess：包含认证等机制的代理协议，常与不同传输配置配合使用。实现与配置要求需要以客户端说明为准。
Trojan：通常借助 TLS 保护传输。证书验证、服务域名及相关参数会影响连接是否成立，不应为排错长期跳过验证。
VLESS：协议本身不提供载荷加密，需要配合 TLS、REALITY 等合适的安全传输机制；仅看到名称不能判断完整安全属性。
Hysteria2 与 TUIC：均使用 QUIC 相关技术，通常依赖 UDP 网络路径。它们在受限网络中的表现取决于网络是否允许相关流量，不能仅按名称预测速度。

还应区分协议、传输与加密。WebSocket 是一种传输方式，TLS 用于保护通信，TCP 与 UDP 属于底层传输协议范畴。完整节点可能把这些组合在一起，看到某个熟悉字段并不代表其余参数可以省略。

分流、全局模式与规则模式

规则模式按条件为请求选择处理方式。例如本地网络资源直连，特定国际网站使用指定策略组，其余请求走兜底策略。许多客户端按配置顺序匹配规则，较宽泛的规则若放在前面，可能遮住后面的细分规则；具体语法仍需看所用内核。

全局模式通常把客户端已接管的请求统一交给全局策略，但不代表设备所有流量都被接管。如果只启用了系统代理，不遵循它的应用仍可能走原网络。全局策略本身也可能选中直连，因此还要检查策略组内容。

需要让工作网站和视频服务使用不同出口时，规则模式更合适。排查某网站是否因规则误分流时，可以暂时切换模式做对照；测试后恢复原设置，避免本地设备访问、工作网络或其他应用受到影响。

DNS 泄漏与平台差异怎么检查

DNS 泄漏通常指域名查询没有遵循预期的隐私或路由策略，而是发往不希望使用的解析路径。它不等于网页内容一定以明文传输；反过来，网站采用 HTTPS，也不自动解决域名查询路径的问题。

浏览器的加密 DNS、客户端的远程解析、系统缓存与应用内置解析可能同时存在。检测页面显示的解析服务商不同于出口服务商，不足以单独证明泄漏。应结合配置预期、查询路径及客户端日志判断，不要只看检测页上的地区标签。

Windows、macOS 与 Linux 的系统代理设置未必覆盖所有程序，启用虚拟接口还可能涉及权限与路由。iOS 与 Android 的客户端则受系统网络扩展、后台策略和应用功能限制。同一份订阅在不同平台可读，不代表进程规则、DNS 或接管能力完全相同。

✅ 先确认普通网络可用，再检查订阅是否更新成功、凭据是否有效。
✅ 查看失败应用是否进入客户端日志；没有记录时，优先检查接管范围。
✅ 有请求记录时，检查命中的规则、策略组与最终节点，不只看顶部连接开关。
✅ 网页可开但应用失败时，核对应用代理设置、UDP 支持与客户端权限。
✅ 域名解析异常时，检查浏览器与客户端 DNS 设置，修改后重新建立测试连接。
❌ 不同时改协议、DNS、规则和节点；否则即使恢复，也难以确认原因。

如果需要提交工单，可以说明设备平台、客户端名称、当前接管模式、失败应用与脱敏后的错误信息。不要直接贴出完整订阅。需要进一步理解配置层次，可查看线路与协议说明；首次操作则从使用教程开始。

最后把概念与套餐分开看：F4VPN 不限台数，但各设备仍需使用兼容客户端；月订阅流量按开通日重置，流量包则用完为止、永久不过期。创建账户无需邮箱地址，使用用户名与密码即可。选套餐之前，先确认配置能导入、规则符合需求，再比较流量与计费方式。