VPN名词速查：订阅、节点、线路、协议、分流与全局模式一次讲明白

这份 VPN名词速查先给结论：订阅负责提供配置，节点是可选的连接端点，线路是流量经过的网络路径，协议规定通信方式，分流规则决定请求走哪里。全局模式通常只是把客户端接管的流量统一交给代理，并不等于设备上的所有通信都已被接管。

这些名词属于不同层级，不能互相替代。节点能显示在列表里，不代表配置仍然有效；客户端显示已连接，也不代表目标网站一定可以访问。把配置、接管方式、规则和网络路径分开看，才容易判断问题出在哪里。

订阅与客户端：配置从哪里来

套餐订阅是账户的服务权益，涉及计费、流量和有效期；订阅链接是客户端获取配置的地址。日常交流常把两者都叫“订阅”，因此“订阅到期”和“订阅更新失败”说的可能完全不是同一件事。

客户端访问订阅链接后，会读取节点地址、认证信息以及兼容格式中的其他配置。具体是否包含分流规则、策略组或 DNS 设置，取决于服务提供的内容和客户端支持的格式。导入成功只说明客户端接受了配置，不能据此断定每条线路都能连接。

客户端是运行配置的软件，内核是其中处理代理协议、路由和连接的部分。外观相似的客户端可能使用不同内核，同一款客户端的不同版本也可能支持不同功能。遇到“不支持协议”提示，应核对客户端与内核版本，而不是反复导入相同链接。

节点与线路：端点不等于整段路径

节点通常指客户端列表中的一个配置项，包含服务器地址、端口、协议和认证参数等信息。节点名称只是标签，不是网络拓扑证明。多个名称可能共用入口，也可能使用不同出口；名称中的地区是否对应实际出口，应以服务说明和实际连接结果为准。

入口是设备首先连接的服务端位置，出口是目标网站看到的连接来源。线路则是更宽泛的说法，可能涵盖本地运营商、入口、中间传输与出口。线路质量需要结合实际使用观察，不能只看地区名或协议名。

即使中间传输使用专线，本地接入、入口处理和出口到目标网站的路径仍可能成为瓶颈。低延迟也不等于高吞吐：前者影响交互等待，后者更关系到持续下载或视频传输。丢包和延迟波动同样重要，单次测速不足以概括日常体验。

协议名称：通信方式与兼容性

严格说，VPN 与应用层代理不是同一种技术。日常选购中，“VPN”常被用作网络访问工具的泛称；Shadowsocks、VMess、Trojan、VLESS 等通常属于代理协议，不能因为客户端名称里有 VPN，就认定它使用传统 VPN 隧道。

• Shadowsocks：加密代理协议。客户端与服务端需要匹配的密码和加密方法；具体扩展能力取决于实现。
• VMess：带认证与加密机制的代理协议。它可以搭配不同传输方式，系统时间明显不准也可能影响认证。
• Trojan：通常借助 TLS 建立加密通信。证书验证、服务器名称和认证参数需要匹配，不能仅检查密码。
• VLESS：轻量代理协议，本身不提供内容加密，通常搭配 TLS、REALITY 等安全层使用，需要按完整配置判断。
• Hysteria2 与 TUIC：基于 QUIC 的代理方案，依赖 UDP 通信。UDP 受限的网络可能影响连接，不能把协议名称当作速度承诺。

传输方式与代理协议也应分开理解。例如 WebSocket 是承载通信的一种方式，不是一个可替代全部代理参数的节点类型。手动配置时，协议、传输、安全层和服务端参数要彼此对应。

以上是行业概念，不是 VPNRain 当前支持协议的清单。实际可用协议应以面板提供的订阅和客户端说明为准。排障时不建议随意关闭证书校验；这会削弱对服务端身份的验证，也未必解决真正的配置错误。

分流、规则模式与全局模式

分流是按条件选择请求去向。规则可以根据域名、目标地址、应用进程等信息匹配，再把请求交给直连、代理策略组或拒绝处理。具体支持哪些条件，由客户端与内核决定。

规则模式按配置中的规则处理请求，通常适合日常使用。许多客户端按顺序匹配，较早命中的规则会决定去向；末尾的兜底规则负责处理未被前面规则覆盖的请求。因此，同一节点在不同规则配置下，可能呈现不同的访问结果。

全局模式通常把已被客户端接管的请求交给指定代理策略。它适合临时排查规则问题，但不能让不支持 UDP 的节点突然获得 UDP 能力，也不能自动接管所有绕过代理设置的应用。

系统代理与 TUN 是接管方式

系统代理会设置操作系统提供的代理入口，但应用是否遵循它，取决于应用自身实现。TUN通过虚拟网络接口接管进入相应路由的流量，一般需要额外权限，并可能与其他网络工具发生冲突。

TUN 不等于全局，规则模式也不等于系统代理：前者描述如何接管，后者描述接管后如何分配流量。即使启用了 TUN，路由排除项、应用排除项和地址族支持仍会影响覆盖范围。

DNS、泄漏与出口地区

DNS负责把域名解析为网络地址。网页打不开，可能是域名解析失败，也可能是解析成功后连接目标地址失败。两者表面相似，但修改线路和修改 DNS 的作用并不相同。

DNS 泄漏通常指本应按预期经过指定解析路径的查询，却被送到了其他解析器。例如代理流量已经接管，系统或应用的解析请求仍走本地网络。判断时要对照预期配置，不能看到某个解析器地区不同，就直接断言泄漏。

加密 DNS 保护的是查询传输过程，并不自动保证查询走代理。浏览器内置安全 DNS、系统 DNS 与客户端 DNS 可能并存，需要结合客户端说明检查。部分客户端使用 Fake-IP，也就是先返回用于内部映射的地址，再根据请求恢复域名并决定路由；这个地址不是目标网站的真实出口。

出口地区也不单由节点标签决定。网站可能综合 IP 地区数据库、账户地区、浏览器定位权限和历史会话判断所在地。换线后结果未变，不一定是客户端没有切换，也不能据此承诺某条线路能持续访问特定内容。

订阅导入：从配置到可用连接

VPNRain 提供 Windows、macOS、iOS、Android 与 Linux 平台客户端。登录面板后获取客户端与订阅；iOS 的获取条件以面板实际提示为准。不同平台的权限流程、后台运行和系统接管方式不同，不宜照搬另一平台的按钮名称。

1. 确认配置来源。在面板获取适配当前客户端的订阅，避免把订阅地址填进单节点服务器地址栏。
2. 导入并检查反馈。使用客户端的订阅导入入口，确认没有格式或协议错误。列表为空时先检查获取是否成功。
3. 更新配置。执行订阅更新，确认当前配置已启用。重复新建配置不等于更新原有配置。
4. 选择节点与策略。先使用默认规则，确认代理策略组指向预期节点，而不是直连或其他自动选择结果。
5. 完成系统授权。按客户端提示开启系统代理或所需接管模式，再访问目标网站进行验证。
6. 按现象排查。保留错误提示与发生条件，每次只改一个设置，便于判断改动是否有效。

Android 的 VPN 授权通常用于建立本地流量接管接口，不足以说明远端采用何种协议。iOS 需要按系统提示允许网络配置；桌面系统可能同时存在系统代理和 TUN 设置；Linux 的图形与命令行环境还可能使用不同代理变量。具体操作应参考使用教程。

常见报错：按层级检查

• ✅ 订阅无法更新：检查链接是否完整、认证是否有效、网络是否能访问订阅地址。订阅服务器与代理节点可能不是同一地址。
• ✅ 节点存在但连不上：核对账户权益、客户端兼容性与错误日志。握手失败、认证失败和连接超时，应分别分析。
• ✅ 全局可用、规则不可用：检查目标域名命中的规则、策略组选择和 DNS 处理，不要先把所有规则删除。
• ✅ 浏览器可用、应用不可用：检查应用是否遵循系统代理、是否有独立代理设置，以及客户端接管范围。
• ✅ 换线后仍异常：检查目标平台状态、账户限制与旧连接；如需提交工单，隐藏订阅凭据及其他敏感信息。

“延迟测试成功”只说明相应测试路径有响应；“连接成功”也可能只是本地代理开始监听。真正的验证应包含目标网站访问和实际应用使用。不要用一个绿色图标替代完整判断。

向工单提交问题时，说明操作系统、客户端版本、接管模式、发生时间和报错内容，比只写“不能用”更容易定位。VPNRain 的联系入口为工单支持，提交截图前请遮挡订阅链接与账户凭据。