VPN 是什麼？新手必懂名詞整理：訂閱、節點、協定與分流一次看懂

VPN 是什麼？嚴格來說，它是一種透過公共網路建立虛擬專用連線的技術。在日常討論中，VPN 也常泛指代理客戶端和訂閱服務。想看懂這類產品，得先分清訂閱、節點、協定與分流：它們分別處理設定來源、連線對象、通訊方式，以及哪些請求走哪條路徑。

這些概念並非同一個層面。節點多，不代表出口 IP 各自獨立；協定新，不代表本地網路一定更快；客戶端顯示已連線，也不代表所有應用程式都經過它。以下從實際匯入與連線流程說明，避免混淆方案規格、線路名稱與客戶端功能。

VPN 與代理：先看流量接管範圍

傳統 VPN 通常透過通道讓裝置連入另一個網路；代理則由中間服務代為轉送特定連線。現代客戶端可能同時提供系統代理與虛擬網路介面，因此兩者在操作介面上看起來很相似，但不能只憑應用程式名稱判斷運作方式。

系統代理通常會為作業系統或應用程式設定代理，是否採用取決於應用程式本身。有些程式會略過系統代理。TUN 模式則透過虛擬網路介面接管流量，再交由客戶端處理，涵蓋範圍通常較廣，但仍會受到路由、排除項目、權限與協定支援影響。

行動作業系統常將這類連線統一顯示為 VPN 狀態，但這只能表示相關網路功能已啟用，無法證明出口地區、分流結果或 DNS 路徑正確。如果瀏覽器能連線、其他應用程式卻失敗，應先檢查流量接管範圍，不要直接認定是伺服器故障。

名詞速查：從設定到連線的對照關係

名詞	實際含義	常見混淆
客戶端	在裝置上讀取設定、建立連線並執行規則的軟體。	軟體可以安裝，不代表能讀取所有訂閱格式。
訂閱連結	供客戶端取得或更新節點及相關設定的網址。	不是付款週期，也不一定包含完整的分流規則。
節點	一組可供連線的服務設定，包含位址、連接埠、驗證資訊與協定等。	不同名稱的節點可能共用入口、出口或部分網路路徑。
入口與出口	入口負責接收連線，出口則負責向目標網站發出請求。	網站判定的地區通常較接近出口所在地，而非入口所在地。
協定	客戶端與伺服器通訊時遵循的格式與互動方式。	協定名稱本身無法說明線路頻寬或壅塞程度。
策略組	將候選節點整理成組，方便手動選擇、自動測試或故障切換。	自動選擇結果會受到測試目標與客戶端實作方式影響。
分流規則	依網域、位址、程序等條件，決定直連、代理或拒絕連線。	規則命中代理策略組後，還要確認組內實際選中了哪個節點。
DNS	將網域名稱解析為網路位址的機制。	網頁連線與網域查詢可能走不同路徑。

可以把連線流程理解為：客戶端收到請求、辨識目標、比對規則、選擇策略組，再連上對應節點。實際運作時，DNS 解析可能發生在不同階段，也可能由遠端完成。排查時沿著這條流程逐步確認，比一再更換節點更有依據。

訂閱連結和付費訂閱是兩回事

付費訂閱說明的是方案內容，例如按月提供流量；訂閱連結則是匯入設定的入口。更新訂閱連結是在更新設定，不是續約。連結通常含有身分憑證，取得連結的人可能讀取節點並消耗帳戶流量，請像密碼一樣妥善保管。

常見設定形式包括單一節點分享連結、節點清單與完整設定檔。單一節點連結通常只包含連線參數；完整設定還可能附帶策略組、規則與 DNS 設定。不同客戶端的設定語法未必通用；即使成功匯入，也不代表每個欄位都受到支援。

先查看官方說明，確認裝置平台與建議使用的客戶端；F4VPN 的客戶端資訊可從面板下載入口取得。
在面板選擇與客戶端相符的訂閱格式，並使用客戶端內建的訂閱匯入功能；不要將連結貼到公開的轉換網站。
更新後確認節點清單是否已顯示，並查看提示或記錄，確認沒有欄位不支援、解析失敗等錯誤。
選擇策略組中的節點，確認系統代理或相應的流量接管模式已啟用，再分別測試需要代理與應該直連的應用程式。

直連、中轉與 IEPL 專線的差異

線路類型描述的是網路路徑，不是客戶端使用的協定。直連線路通常指裝置直接連至境外服務入口，跨網路傳輸則仰賴沿途的公共網路路徑。這裡的「直連線路」仍可能提供代理轉送，與規則中的「直連目標網站」並非同一概念。

中轉線路通常會增加一個接入或轉送環節，讓裝置先連到入口，再由入口連至後續節點。這能調整接入方式與跨區路徑，但多一段轉送不一定比較慢，也不代表一定更穩定。實際表現取決於入口品質、後段路徑、負載與出口。

IEPL 專線是國際乙太網路專線的常見稱呼，通常用來描述服務商網路中的專用傳輸區段。即使中間某一段使用專線，裝置到入口、出口到網站也不一定是專用鏈路。「專線」不能直接代表整條連線路徑不會壅塞，更不能取代客戶端到目標網站的實際測試。

比較線路時，先確認出口是否符合應用程式需求，再於同一裝置、同一網路及相近時段實際測試。節點名稱只是標籤，無法單獨證明實體線路、專用資源或網站可用性。F4VPN 覆蓋 90+ 個國家、提供 220+ 條線路；選擇時請參考線路清單及實際使用情況。

協定名稱能說明什麼，又不能說明什麼

Shadowsocks、VMess、Trojan、VLESS、Hysteria2 與 TUIC 都常見於代理工具生態，但不是可以任意互換的設定選項。伺服器提供哪些協定，客戶端就必須支援相應的實作、參數與傳輸方式。以下為通用概念說明，不代表 F4VPN 提供所有這些協定。

Shadowsocks：使用約定的加密方式與憑證轉送流量。伺服器與客戶端必須設定相符的參數，不能只靠伺服器位址建立連線。
VMess：包含驗證等機制的代理協定，常搭配不同傳輸設定使用。實作方式與設定需求請以客戶端說明為準。
Trojan：通常透過 TLS 保護傳輸。憑證驗證、服務網域及相關參數會影響連線是否成功；排查問題時，不應長期略過驗證。
VLESS：協定本身不提供負載加密，需搭配 TLS、REALITY 等合適的安全傳輸機制；只看到協定名稱，無法判斷整體安全性。
Hysteria2 與 TUIC：兩者都採用 QUIC 相關技術，通常仰賴 UDP 網路路徑。在受限網路中的表現取決於網路是否允許相關流量，不能光看名稱就判斷速度。

也要分清協定、傳輸方式與加密。WebSocket 是一種傳輸方式，TLS 用於保護通訊，TCP 與 UDP 則屬於底層傳輸協定。完整節點可能會組合使用這些項目；看到熟悉的欄位，不代表其他參數可以省略。

分流、全域模式與規則模式

規則模式會依條件決定如何處理請求。例如，本地網路資源直連、指定國際網站使用特定策略組，其餘請求則採用預設策略。許多客戶端會依設定順序比對規則，範圍較廣的規則若排在前面，可能會蓋過後續的細項規則；實際語法仍須參考所用核心的說明。

全域模式通常會將客戶端已接管的請求統一交由全域策略處理，但不代表裝置上的所有流量都會被接管。如果只啟用系統代理，不遵循系統代理設定的應用程式仍可能使用原本的網路。全域策略本身也可能選到直連，因此還要檢查策略組內容。

如果想讓工作網站和影音服務使用不同出口，規則模式會比較合適。排查某個網站是否被規則錯誤分流時，可以暫時切換模式進行比對；測試後請還原原本設定，避免影響裝置連線、工作網路或其他應用程式。

DNS 洩漏與不同平台的檢查方式

DNS 洩漏通常是指網域查詢未依照預期的隱私或路由策略處理，而是送往不希望使用的解析路徑。這不代表網頁內容一定以明文傳輸；反過來說，網站採用 HTTPS，也不會自動解決網域查詢路徑的問題。

瀏覽器的加密 DNS、客戶端的遠端解析、系統快取與應用程式內建解析功能可能同時存在。檢測頁面顯示的 DNS 服務商與出口服務商不同，並不足以單獨證明發生洩漏。應依據設定預期、查詢路徑與客戶端記錄綜合判斷，不要只看檢測頁面的地區標籤。

Windows、macOS 與 Linux 的系統代理設定不一定涵蓋所有程式，啟用虛擬介面也可能需要特定權限與路由設定。iOS 與 Android 客戶端則受系統網路延伸功能、背景執行策略及應用程式功能限制。同一份訂閱能在不同平台讀取，不代表程序規則、DNS 或流量接管能力完全相同。

✅ 先確認一般網路連線正常，再檢查訂閱是否更新成功、憑證是否有效。
✅ 查看發生問題的應用程式是否出現在客戶端記錄中；若沒有，優先檢查流量接管範圍。
✅ 如果有請求記錄，請檢查命中的規則、策略組與最後選用的節點，不要只看頂端的連線開關。
✅ 網頁可以開啟但應用程式失敗時，請確認應用程式的代理設定、UDP 支援與客戶端權限。
✅ 網域解析異常時，請檢查瀏覽器與客戶端的 DNS 設定；修改後重新建立測試連線。
❌ 不要同時更改協定、DNS、規則與節點；否則即使恢復正常，也很難確認問題原因。

若要提交工單，請提供裝置平台、客戶端名稱、目前的流量接管模式、發生問題的應用程式，以及已移除敏感資料的錯誤訊息。請勿直接貼上完整訂閱內容。想進一步了解設定層次，可參閱線路與協定說明；第一次操作則可從使用教學開始。

最後，請將服務概念與方案內容分開看：F4VPN 不限裝置台數，但每台裝置仍需使用相容的客戶端；月訂閱流量會在開通日重置，流量包則用完為止，永久不過期。建立帳戶無需電子郵件地址，使用者名稱與密碼即可。選擇方案前，請先確認設定能否匯入、規則是否符合需求，再比較流量與計費方式。