VPN新手術語速查：訂閱、節點、線路類型、協議、分流、全域與規則模式一次搞懂

VPN 新手術語看起來很多，但真正需要先搞懂的只有幾組關係：訂閱負責把設定交給用戶端，節點是用戶端中可選擇的連線入口，線路類型描述資料如何抵達出口，協議規定用戶端與伺服器如何通訊，而分流、全域和規則模式則決定哪些流量需要經過連線。把這些層次分開後，安裝、選線和排查問題都會清楚許多。

最常見的誤解，是把「節點」「線路」「協議」和「用戶端」視為同一件事。例如，一個節點可以使用 VLESS 協議，也可能被服務商標示為中轉線路；同一份訂閱也能匯入不同平台的相容用戶端。它們彼此相關，卻分別解決不同問題。

訂閱、訂閱連結與用戶端分別是什麼

訂閱不是付款週期，而是一份動態設定清單

在代理用戶端的語境中，「訂閱」通常是指一份由伺服器維護的設定清單。內容可能包含節點名稱、伺服器位址、連接埠、協議參數、驗證資訊和傳輸設定。用戶端透過訂閱連結取得這些內容，再轉換成可選擇的節點清單。

因此，「匯入訂閱」不代表安裝網路驅動程式，也不代表已經成功連線。匯入只完成設定讀取。使用者仍需選擇節點、啟用連線，並確認系統流量是否由用戶端接管。若訂閱可以匯入但所有節點都無法連線，應分別檢查訂閱是否過期、用戶端是否相容對應協議、系統時間是否正確，以及目前網路是否限制相關傳輸方式。

訂閱連結通常帶有可識別帳戶或方案的憑證，應按照與帳戶密碼同等的程度妥善保管。不要把完整連結放進公開截圖、論壇貼文、瀏覽器同步筆記或共用文件。需要在另一台裝置上使用時，應從可信的帳戶面板重新複製，而不是透過公開管道轉發。

更新訂閱與重新匯入的差異

「更新訂閱」是讓用戶端重新請求同一個訂閱網址，以取得服務端目前提供的節點和參數。線路名稱變更、舊節點移除或協議參數調整後，更新通常比手動修改本機設定更合適。

「重新匯入」則是把訂閱作為新的設定來源加入用戶端。不同用戶端處理同名訂閱的方式不同：有些會覆蓋原設定，有些會並列儲存，有些則會保留使用者自建的規則。操作前應確認本機是否有手動修改，以免更新時被訂閱內容取代。

• ✅ 從帳戶面板複製完整訂閱連結，不要手動刪改連結中的字元。
• ✅ 在用戶端中使用「從 URL 匯入」或意思相近的入口。
• ✅ 匯入後先更新訂閱，再檢查節點清單是否出現。
• ✅ 連線至節點後，分別驗證網頁存取、DNS 解析和常用應用程式。
• ❌ 不公開訂閱 QR Code、完整連結或包含驗證欄位的設定檔。
• ❌ 不要把「匯入成功」直接視為「所有流量都已經經過連線」。

節點、伺服器與出口 IP 的關係

節點是用戶端提供給使用者的邏輯連線項目。一個節點至少要包含可連線的目標與協議參數，但節點名稱不一定等於實際的實體伺服器名稱。服務商可以依地區、線路類型或用途命名節點，也可以讓多個節點入口共用後端資源。

伺服器是承載接入、轉發或出口功能的運算資源。一次連線可能只經過接入伺服器和出口，也可能包含額外的中轉環節。用戶端通常不會完整呈現內部拓撲，因此不能只憑節點名稱判斷資料實際經過多少網路設備。

出口 IP 是目標網站最後看到的來源位址。它通常對應鏈路末端的出口，而不是使用者本地網路位址，也不一定與入口伺服器位於同一個網路。判斷地區是否符合預期時，應查看出口 IP 的地區辨識結果，並結合目標服務的實際表現。不同資料庫可能對同一個 IP 給出不同的地區或電信商標籤，因此單一查詢結果只能作為參考。

延遲、頻寬與穩定性不是同一個指標

延遲表示資料往返所需的時間，通常受實體距離、路由繞行、網路壅塞和無線環境影響。頻寬描述單位時間內能傳輸的資料量。穩定性則更重視抖動、封包遺失、連線中斷，以及長時間使用時的波動。

低延遲節點不一定有更高的下載速度，高頻寬線路也不一定適合需要穩定互動的會議或遠端操作。用戶端清單中的延遲測試往往只檢測接入點或特定探測位址，不能完整代表存取目標網站時的表現。選線時應以實際任務為準：網頁和即時通訊更重視回應速度與穩定性，大型檔案傳輸更依賴持續吞吐量，即時音訊與視訊還會受到抖動和封包遺失影響。

IEPL 專線、中轉與直連如何區分

線路類型描述用戶端流量從本地網路到遠端出口的大致路徑。它不是協議名稱，也不是加密演算法。Shadowsocks、VMess 或 Trojan 都可以運作在不同線路上；反過來，同一種線路也可能承載不同協議。

直連的優點是鏈路邏輯清楚，少一個中轉調度環節；不足之處是更容易受到公網跨境路由變化影響。使用者所在區域、接入電信商和遠端伺服器位置都會改變結果，因此同一個直連節點在不同網路中的表現可能明顯不同。

中轉線路會先把流量送到一個接入點，再由服務商的轉發網路送往出口。中轉的價值在於重新組織路徑，而不是自動提升所有情境的速度。入口與使用者之間很穩定，但中轉到出口的鏈路若出現壅塞，實際體驗仍會下降。

IEPL 是國際乙太網路專線相關的業界術語。面向一般使用者的節點清單中，「IEPL 專線」通常表示服務商使用了相應的企業網路資源，或以此標示線路類別，但僅憑名稱無法核實完整拓撲、容量和調度策略。選購或排查時，應把它視為線路說明，而不是保證對任何目標網站都維持相同表現。

常見協議有什麼差異

協議規定用戶端與服務端如何建立工作階段、驗證身分、封裝資料和傳輸流量。能否使用某個協議，取決於服務端是否提供相應設定，也取決於用戶端是否實作相關功能。不能把某種協議的連結直接匯入完全不相容的用戶端。

Shadowsocks

Shadowsocks 是加密代理協議，設定通常包含伺服器、連接埠、加密方式和密碼。它實作成熟、用戶端支援廣，適合一般網路代理情境。不同實作支援的加密套件和擴充能力可能不同，匯入失敗時應先核對用戶端版本與設定欄位，而不是任意更換密碼或連接埠。

VMess 與 VLESS

VMess 是 V2Ray 生態中常見的代理協議，設定會涉及使用者識別碼、傳輸方式和安全參數。VLESS 採用更輕量的協議設計，通常需要搭配 TLS、REALITY 或其他安全傳輸設定。兩者名稱相近，但設定欄位不能互換；用戶端顯示「相容 V2Ray 核心」也不代表支援所有傳輸組合。

Trojan

Trojan 通常運作於 TLS 連線之上，設定重點包括伺服器網域、連接埠、密碼、憑證驗證和傳輸參數。憑證名稱不相符、系統時間錯誤或略過必要的網域設定，都可能導致交握失敗。關閉憑證驗證雖然有時能讓錯誤暫時消失，卻會削弱對服務端身分的驗證，不應作為一般解決方式。

Hysteria2 與 TUIC

Hysteria2 和 TUIC 都利用基於 QUIC 的傳輸能力，通常更重視高延遲、抖動或存在封包遺失時的傳輸效率。它們依賴 UDP 通訊；若目前網路嚴格限制 UDP，可能出現無法交握、連線後沒有流量或頻繁回退的問題。此時應先換到允許 UDP 的網路進行驗證，再判斷是節點故障還是本地環境限制。

這兩類協議也不是在所有網路中都一定更快。若網路本身穩定、目標距離較近，傳統 TCP 與 TLS 的組合可能已經足夠。協議選擇應以連線成功率、持續傳輸和應用程式相容性為依據，不應只比較名稱的新舊。

全域、規則模式、直連與系統代理

連線至節點後，用戶端還要決定哪些流量交給代理核心。這就是執行模式。不同用戶端的名稱略有差異，但通常可以歸納為全域模式、規則模式和直連模式。

全域模式

全域模式會盡可能讓用戶端接管的流量都經過目前節點。它適合快速驗證節點是否可用，也適合目標應用程式涉及多個網域、暫時難以撰寫規則的情況。缺點是本地服務、台灣本地網站或不需要跨境存取的應用程式也可能繞行遠端，增加延遲並消耗方案流量。

規則模式

規則模式會依照網域、IP、應用程式程序、地區資料庫或自訂條件，決定使用代理、直連或拒絕。它更適合長期使用，但準確性取決於規則品質。現代應用程式經常呼叫登入、內容分發、更新和遙測等不同網域，只加入主網域可能導致頁面能開啟，但登入、圖片或下載失敗。

規則通常會依照用戶端設定的順序比對。若一條範圍很大的規則位於前面，後面的精確規則可能永遠不會生效。排查時可以暫時切換到全域模式：如果全域模式可用而規則模式失敗，問題大多在規則、DNS 或應用程式流量未被接管，而不是節點本身。

直連模式

直連模式讓流量不經過遠端節點，常用於暫停代理而不退出用戶端、驗證本地網路，或測試某個網站是否受到規則影響。需要注意的是，部分用戶端的「直連」仍可能保留本地 DNS、流量統計或虛擬網卡，因此不一定等同於完全關閉軟體。

系統代理與 TUN 模式

系統代理是向作業系統或應用程式提供 HTTP、HTTPS、SOCKS 等代理位址。遵循系統代理設定的瀏覽器和辦公應用程式通常能被接管，但自行建立連線、不讀取系統代理的程式可能繞過它。

TUN 模式透過虛擬網路介面接管更廣泛的 IP 流量，常用於不支援系統代理的應用程式、遊戲啟動器或命令列工具。它的涵蓋範圍更大，也更容易受到路由表、防火牆、其他網路軟體和權限設定影響。啟用 TUN 後若出現區域網路裝置無法存取、網路迴圈或休眠喚醒後斷流，應檢查繞過區域網路設定、虛擬網卡狀態和路由衝突。

應用程式請求
  ├─ 命中直連規則 → 本地網路
  ├─ 命中代理規則 → 用戶端 → 節點 → 目標服務
  └─ 未命中規則   → 依用戶端的最終規則處理

• ✅ 節點測試階段先使用全域模式，確認基本連線是否成立。
• ✅ 日常使用改為規則模式，分開處理本地服務和跨境存取。
• ✅ 某個應用程式無法使用時，檢查它是否遵循系統代理，必要時再評估 TUN。
• ✅ 修改規則後查看用戶端連線記錄，確認請求實際命中了哪條規則。
• ❌ 不要在不了解優先順序時堆疊大量重複規則。
• ❌ 不要同時開啟多個會修改系統代理或虛擬網卡的用戶端。

DNS 洩漏、解析路徑與分流為何會互相影響

DNS 負責將網域名稱轉換為 IP 位址。存取網站時，用戶端必須先知道目標位址，之後才能依照規則決定直連或代理。如果 DNS 請求仍交給本地網路，而實際網頁流量經過遠端節點，就可能造成解析路徑與存取路徑不一致。

所謂 DNS 洩漏，通常是指原本應由代理端或指定解析器處理的 DNS 請求，仍被本地網路中的解析服務看見。它可能暴露查詢過的網域，也可能回傳與出口地區不符的位址，導致內容分發位置異常、存取失敗或分流判斷錯誤。

規則模式尤其依賴正確解析。以網域為基礎的規則可以在解析前比對，但以 IP 或地區資料庫為基礎的規則需要取得解析結果。如果瀏覽器啟用了獨立的安全 DNS，查詢可能繞過用戶端設定；如果 TUN 模式沒有正確接管 DNS，也可能出現網頁流量經過代理，但解析仍走本地的情況。

排查 DNS 問題時，不要只看「網頁能否開啟」。還應同時觀察用戶端記錄中的網域、解析器、命中規則和出口。若更換節點後沒有變化，而切換 DNS 模式後恢復，問題通常不在線路本身。反之，如果 DNS 已按預期處理，但連線目標持續逾時，再檢查節點、協議和網路可達性。

不同平台的用戶端差異

同一份訂閱在不同平台上顯示的節點大致相同，但流量接管方式和背景限制可能不同。遇到「電腦可用、另一台裝置不可用」時，不應立即認定訂閱失效，而應先比較用戶端核心、系統權限、代理模式和網路環境。

Windows

Windows 用戶端通常同時提供系統代理和 TUN。系統代理適合瀏覽器及遵循系統設定的程式；TUN 更適合需要接管更多應用程式流量的情境。若退出用戶端後網頁仍無法存取，應檢查系統代理是否正確還原。TUN 無法啟動時，則需要查看虛擬網卡、權限、防火牆和其他網路工具是否衝突。

Android

Android 用戶端一般透過系統 VPNService 接管流量，首次連線時會顯示系統授權提示。部分系統會嚴格限制背景活動，導致鎖定螢幕後連線被回收。可依照裝置的電池管理設定允許用戶端持續執行，並確認沒有同時啟用其他佔用系統 VPN 介面的應用程式。

iOS 與 iPadOS

這類平台上的用戶端依賴系統網路延伸功能建立連線。系統狀態列顯示連線標示，只代表延伸功能已啟動，不代表目標節點一定能夠存取。仍需透過實際網頁、用戶端記錄和出口檢查來判斷。若訂閱中的某些協議沒有顯示，通常要核對用戶端支援範圍，而不是反覆匯入同一個連結。

macOS

macOS 用戶端可能使用系統代理、網路延伸功能或虛擬介面。瀏覽器正常但命令列工具無法使用，常見原因是後者沒有讀取系統代理環境。使用 TUN 後若本地開發服務或區域網路存取異常，應檢查路由排除設定和本地位址規則。

從匯入到驗證的完整檢查流程

了解術語後，可以依照以下順序完成一次乾淨的設定。順序很重要：先確認設定來源，再檢查協議相容性，接著建立連線，最後驗證路由與 DNS。若跳過前面的步驟，後續看到的錯誤往往會混在一起。

1. 取得訂閱。登入服務面板，從訂閱或用戶端頁面複製連結。確認沒有複製到多餘空格，也不要在公開工具中展開或轉換訂閱。
2. 選擇相容的用戶端。查看訂閱包含的協議，並確認用戶端支援對應的協議及傳輸方式。只支援 Shadowsocks 的用戶端無法直接讀取完整的 VLESS、Trojan 或 Hysteria2 設定。
3. 匯入並更新。使用 URL 匯入入口加入訂閱，執行更新後檢查節點名稱是否完整。若更新回報驗證錯誤，應返回帳戶面板重新取得連結，不要猜測或修改其中的欄位。
4. 先用簡單模式驗證。選擇一個與目前網路距離合理的節點，暫時使用全域模式。若用戶端提供連線記錄，請保持記錄視窗可見，以便區分 DNS、交握和逾時錯誤。
5. 檢查實際出口。開啟常用網站並查看出口地區是否符合節點說明。不要只依賴用戶端內部的延遲按鈕，因為探測成功不代表目標應用程式的完整請求成功。
6. 切換規則模式。確認基本連線後，再啟用規則分流。分別測試需要代理與需要直連的服務，並查看請求命中結果。
7. 驗證 DNS。確認解析請求由預期元件處理。如果瀏覽器和其他應用程式表現不同，請檢查瀏覽器獨立 DNS、系統代理與 TUN 的接管範圍。
8. 儲存可重現的設定。記錄使用的用戶端版本、模式和關鍵開關，但不要記錄訂閱憑證。出現問題時一次只修改一項，避免無法判斷是哪項修改生效。

掌握這些術語後，用戶端介面就不再是一組孤立的開關。訂閱解決設定分發，節點提供連線入口，線路決定傳輸路徑，協議負責通訊，執行模式負責流量選擇，DNS 則影響網域解析與規則判斷。遇到故障時沿著這條鏈路逐層檢查，通常比頻繁更換用戶端或反覆匯入設定更有效。