VPN新手名词速查：订阅、节点、线路、协议、分流一次讲明白

VPN新手名词速查，先分清各个词负责什么：订阅提供配置，节点是连接入口，线路描述传输路径，协议约定通信方式，分流决定请求走哪里。它们相互配合，却不是同一个东西。看到“已连接”也不代表所有应用都经过了所选出口。

日常所说的 VPN，有时也泛指用于网络访问的代理服务。严格来说，系统级虚拟网络与应用代理的工作范围不同。本文按客户端中常见的实际用法解释名词，不把某种协议、线路名称或模式当作服务质量保证。

订阅、节点与客户端

付费订阅是计费关系，订阅链接是配置入口。前者决定流量额度与使用周期；后者让客户端取得服务端提供的连接配置。日常说“更新订阅”，通常指重新获取配置，不等于续费，也不会自行重置套餐流量。

客户端是运行这些配置的软件。节点是其中可供选择的连接项目，可能包含服务器地址、端口、认证信息、协议及传输参数。节点名称只是便于识别的标签，不能仅凭名称确认实际出口、网络路径或目标平台的识别结果。

同一订阅链接能否在不同客户端中使用，要看配置格式和内核支持情况。导入后只出现节点列表，也不代表规则、DNS 和策略组已经齐全。有的订阅提供完整配置，有的只提供节点信息，具体应以服务说明和导入结果为准。

线路：IEPL 专线、中转与直连

线路讨论的是数据经过哪里。用户到入口、入口到出口、出口到目标网站，各段都可能影响体验。客户端显示的地区往往描述出口位置，不一定说明入口位置；连接经过的路径，也未必能从节点名称完整推断。

直连线路与规则中的直连

在线路分类里，直连通常表示客户端经公共互联网直接连接境外服务端，没有额外配置的中转入口。它仍然可能经过运营商的正常路由。这里的“直连线路”仍可承载代理流量，与分流规则里“绕过代理直接访问目标”的直连，不是一个含义。

中转线路

中转是在客户端与出口之间增加转发环节。它可能改善入口可达性或绕开不理想的路径，也可能引入新的拥塞点。是否更适合当前网络，要看入口质量、中转链路和出口负载，不能只凭“中转”这个标签判断速度。

IEPL 专线

IEPL 通常指国际以太网专线，用于连接不同地点的网络。服务使用 IEPL，通常描述其中某段承载路径，并不意味着从用户设备到目标网站的整段访问都在专线上。家庭网络、酒店 Wi-Fi 和出口到网站的链路，仍可能成为瓶颈。

因此，线路类型与稳定性有关，但不能替代实际使用验证。先用相同设备、相同本地网络和相同目标应用比较，再观察高峰时段及持续使用中的表现；不要把一次连接成功当作长期结论。

协议：名称与兼容性

协议约定通信双方如何交换数据。配置中的协议、加密方式、传输方式与 TLS 参数属于相关但不同的层次。仅知道协议名称，通常不足以手动重建可用节点；更稳妥的方式是使用服务提供、且适配当前客户端的配置。

• Shadowsocks：常见的加密代理协议。客户端与服务端需要使用匹配的加密方法和认证参数；不同版本或扩展的支持情况可能不同。
• VMess：常见于 V2Ray 生态的代理协议。实际连接还取决于配置的传输方式及相关参数，不能只复制服务器地址。
• Trojan：通常结合 TLS 承载代理通信。证书验证、服务器名称与认证信息是否匹配，都会影响连接结果。
• VLESS：协议自身不提供流量加密，安全性取决于与之搭配的安全层及完整配置。不能把名称中的差异直接解释为安全等级高低。
• Hysteria2 与 TUIC：均基于 QUIC 技术，通常需要网络允许相应 UDP 通信。若当前网络限制 UDP，即使节点配置正确，也可能无法正常建立连接。

以上是通用术语说明，不是 VPNKM 的协议支持清单。客户端是否支持某种协议，要同时看应用版本、内核版本和具体配置。系统时间明显不准确，也可能影响涉及证书或时间校验的连接；遇到错误时应先读日志，再决定是否更换配置。

分流：规则模式与全局模式

分流是在客户端接收到请求后，判断它应该直连、进入代理策略组，还是被拒绝。规则可以依据域名、目标 IP、进程或其他条件匹配，具体能力取决于客户端。许多配置按顺序匹配，较早命中的规则会影响最终去向，因此规则并非堆得越多越好。

规则模式按配置中的条件选择路径。例如，某类域名走代理，另一些请求直连，未命中的请求再交给兜底策略。策略组是供规则选择的出口集合或选择机制，不是一条新线路；组内若选中了直连，请求就可能绕过代理。

全局模式通常把客户端已接管的请求交给统一策略处理。关键是“已接管”：如果应用没有使用系统代理，也没有被虚拟网络接口接管，仅切换全局模式并不能让它自动进入客户端。全局模式也不等于所有请求都使用同一出口，仍要检查所选策略。

系统代理是告诉遵循该设置的应用，把请求发给本地代理端口。TUN 模式则通过虚拟网络接口接管符合路由条件的流量，覆盖范围通常更广，但仍受排除项、路由和客户端实现影响。模式名称看起来相似，不同应用的实际行为却可能不同。

DNS、出口 IP 与泄漏

DNS 负责把域名解析为可连接的地址。出口 IP 则是目标网站看到的请求来源地址。它们描述不同环节：网页请求经过预期出口，并不能单独证明域名查询也使用了预期路径。

所谓 DNS 泄漏，通常指域名查询离开了预期的解析路径，例如本来希望由代理侧处理，却仍交给了本地网络的解析器。要判断是否存在问题，先明确配置目标；按设计直连的域名使用本地解析，并不必然属于泄漏。

浏览器的安全 DNS、应用内置解析、系统缓存以及客户端 DNS 设置，都可能影响观察结果。检测页面显示的解析器地区，也不能单独证明查询经过了哪里。排查时应结合客户端日志、DNS 配置和应用设置，不要只依据地图或地区标签下结论。

出口验证也应按应用进行。浏览器查到的 IP 只能说明这次浏览器请求的情况；会议软件、命令行工具和下载程序可能使用不同路径。如果网络同时提供 IPv4 与 IPv6，还应确认客户端的接管范围与测试方式一致。

客户端导入与验证步骤

Windows、macOS、iOS、Android 与 Linux 的权限机制和网络设置不同。移动端常见系统 VPN 授权提示；桌面端可能分别提供系统代理与 TUN 开关；Linux 应用则可能需要单独设置代理环境或服务权限。系统出现 VPN 标识，只能说明相关连接或接口已建立，不能代替应用验证。

1. 核对账户与获取方式。确认套餐状态，再按服务提供的方式获取适配配置。VPNKM 的客户端需登录且有有效已购套餐才能获取，订阅在登录后取得；入口见客户端页面。
2. 确认格式再导入。使用客户端的订阅导入或配置导入功能。检查是否成功取得节点、规则和策略组；若报格式错误，先核对客户端兼容性，不要把链接反复提交给陌生转换服务。
3. 选择节点与接管方式。先使用服务建议的配置和模式，完成必要的系统授权。不要同时运行多个会接管网络的客户端，以免难以判断实际生效者。
4. 验证目标应用。检查浏览器出口，再实际打开需要使用的应用。查看客户端是否有对应连接记录、命中了什么规则、最后采用哪个策略。
5. 按层定位错误。节点完全不可连接，先查本地网络、配置和认证；浏览器正常但其他应用异常，重点查接管范围；仅个别网站异常，再查规则、DNS 与目标平台状态。

订阅更新可能替换部分配置，客户端内手动修改的内容是否保留，要看应用实现。修改前先了解配置来源和覆盖关系；排查过程中尽量每次只改一个相关设置，观察结果后再继续，避免把原本可定位的问题变成多个变量叠加。

套餐名词与使用前核对

流量额度、连接设备与线路数量是不同维度。VPNKM 不限台数，但设备共同使用时仍受所选套餐流量额度约束；110+ 国家 / 160+ 线路描述覆盖范围，不代表每个目标网站的访问结果都有保证。

VPNKM 月订阅按开通日每月重置流量，不按自然月统一重置；中途升级的差价折算成剩余天数。流量包则用完为止，永久不过期。具体额度与价格可在套餐页核对，不应把流量包理解为每月自动补充的订阅。

• ✅ 已分清付费订阅与配置订阅，知道更新配置不等于续费。
• ✅ 已核对客户端支持情况，没有把协议名称当作线路质量结论。
• ✅ 已检查策略组与分流结果，分别验证浏览器和实际使用的应用。
• ✅ 已遮盖订阅令牌与认证信息，再提交日志或截图求助。
• ❌ 不仅凭“已连接”、地区名称或一次出口查询判断所有流量的路径。

首次配置可参考新手指引；已经导入但仍无法访问时，继续查阅故障排查。向支持提交问题时，说明系统、客户端、报错内容及已做的检查，比只说“节点不能用”更有助于定位。