VPN 新手最容易混淆的不是按鈕位置，而是訂閱、節點、協定與分流之間的關係。訂閱負責將設定交給用戶端，節點代表可選擇的連線端點，協定規定通訊方式，分流則決定哪些連線經過代理路徑。釐清這些層次後，匯入失敗、已連線卻無法開啟網頁、切換節點仍然卡頓等問題都會更容易定位。
日常討論中，「VPN」常被用來泛指網路加速、加密通道與代理服務，但實際用戶端可能使用系統 VPN 介面，也可能只設定系統代理，或透過 TUN 虛擬網卡接管流量。名稱相近，不代表運作位置完全相同。判斷設定是否合適，應查看流量如何進入用戶端、如何選擇線路，以及如何完成網域解析，而不是只看應用程式首頁顯示的「已連線」。
| 名詞 | 實際作用 | 常見誤解 | 排查重點 |
|---|---|---|---|
| 訂閱 | 向用戶端提供節點設定，並在更新時同步變更 | 把訂閱連結當成一般下載網址或公開分享內容 | 連結是否完整、用戶端是否支援對應格式 |
| 節點 | 代表一個可選擇的伺服器入口及其連線參數 | 把節點名稱直接等同於完整網路路徑 | 出口地區、入口品質、線路類型與目前負載 |
| 協定 | 規定用戶端與伺服器如何驗證、封裝及傳輸資料 | 認為協定名稱本身就能決定速度 | 用戶端相容性、傳輸層、網路對 UDP 的支援 |
| 分流 | 依網域、IP、應用程式或規則集選擇代理或直連 | 認為全域模式一定比規則模式穩定 | 規則命中、DNS 解析路徑與預設策略 |
訂閱連結到底包含什麼
訂閱連結通常是用戶端讀取設定的入口。用戶端存取該網址後，會取得一個或多個節點的名稱、伺服器位址、連接埠、協定、驗證參數及傳輸選項，再將這些內容轉換成可選擇的設定。部分訂閱使用通用編碼文字，部分則回傳特定用戶端可識別的結構化格式，還有些會依請求用戶端回傳不同內容。
訂閱不是協定。一個訂閱可以同時包含 Shadowsocks、VMess、Trojan、VLESS、Hysteria2 或 TUIC 節點；同一種協定也可能由不同訂閱提供。訂閱同樣不是目前正在使用的伺服器。匯入只是將設定寫入用戶端，真正連線時仍需選擇節點，並讓用戶端啟動系統代理、虛擬網卡或系統提供的網路延伸功能。
訂閱連結應視為存取憑證。取得連結的人通常可以讀取其中的連線設定，因此不宜放入公開截圖、公開文件或可被搜尋引擎收錄的頁面。複製時也要留意聊天工具是否截斷結尾字元，以及瀏覽器是否將特殊字元轉義。若用戶端提示格式錯誤，先檢查連結是否完整，再確認匯入入口是「訂閱」而非「單一節點」。
為什麼用瀏覽器開啟後只看到一串文字
訂閱網址主要供用戶端讀取，不一定提供適合人眼瀏覽的網頁。瀏覽器顯示編碼文字、設定欄位或觸發檔案下載，並不代表連結已失效。正確做法是複製完整網址，在相容用戶端中選擇「從 URL 匯入」、「新增訂閱」或意思相近的入口。若服務提供 QR Code，也要確認掃描入口支援訂閱，而不是只支援單一節點設定。
- ✅ 訂閱網址來自帳戶面板或可信任的服務頁面
- ✅ 複製內容包含完整協定標頭與後續字元
- ✅ 匯入入口明確標示訂閱、遠端設定或 URL
- ✅ 匯入後主動更新，並確認是否出現節點清單
- ❌ 不要在公開截圖中展示完整訂閱網址
- ❌ 不要將設定匯入來源不明的線上轉換頁面
節點、出口與線路不是同一個概念
節點是用戶端中的一個連線項目，通常由地區、伺服器與協定參數組成。出口是目標網站最終看到的公網 IP 所在位置。線路則描述資料從本地到入口，再到出口所經過的網路路徑。節點名稱寫著某個地區，通常是在表示出口位置，但無法僅憑名稱判斷中間經過哪些電信商、是否使用中轉，以及晚間壅塞時路徑會如何變化。
直連線路表示用戶端直接連往境外伺服器入口，路徑較短、結構簡單，但表現更取決於本地電信商到目標網路的國際互聯品質。中轉線路會先連往較近或品質更穩定的入口，再由中轉網路傳送至出口。這樣可以避開部分不理想的公網路由，不過多一段轉送也代表服務端調度與入口品質更為重要。
IEPL 專線通常是指營運方在入口與出口之間配置的國際乙太網路專線資源。它關注的是傳輸路徑，不是用戶端協定，也不等同於網站所見的加密方式。用戶端仍可能使用 Shadowsocks、Trojan 或其他協定連線至入口。專線是否適合目前情境，還要結合本地到入口的路徑、出口網路、目標網站互聯品質與實際時段判斷。
| 線路類型 | 路徑特徵 | 適合優先觀察的指標 | 常見限制 |
|---|---|---|---|
| 直連 | 本地直接存取境外節點入口 | 本地電信商路由、跨境壅塞、出口互聯品質 | 尖峰時段可能受到公網路徑波動影響 |
| 中轉 | 先到中轉入口，再轉送至目標出口 | 入口距離、轉送路徑、出口地區 | 入口異常會影響同組多個出口 |
| IEPL 專線 | 入口與出口之間使用配置好的專線傳輸資源 | 本地至入口品質、出口互聯、調度方式 | 不能只憑「專線」名稱推斷所有時段的表現 |
節點是設定入口，線路是傳輸路徑，出口是目標網站看到的位置。選擇地區解決「從哪裡存取」，選擇線路解決「如何抵達」。
節點清單中的「倍率」、「流量係數」或類似欄位通常與流量計費方式有關，不是速度倍數。若介面同時顯示延遲，延遲也只代表用戶端到測試目標的回應時間，不能完整反映影片傳輸量、網頁首字節或持續下載表現。測試節點時，應在相同本地網路與相近時段下比較，並以目標應用程式的實際體驗為準。
常見協定名稱分別代表什麼
協定決定用戶端與伺服器如何交換資料，但速度並不是協定名稱的固定屬性。同一協定放在不同伺服器、不同傳輸層與不同線路上，結果可能完全不同。選擇協定首先受用戶端支援、伺服器設定與目前網路環境限制，其次才是封裝開銷與壅塞控制方式。
Shadowsocks、VMess 與 VLESS
Shadowsocks 是加密代理協定，設定相對直接，用戶端生態也很完整。它主要處理代理轉送，不會自動替使用者決定分流規則；是否接管應用程式流量，仍由用戶端模式與系統設定決定。選擇加密方法時必須與服務端一致，不能只在用戶端單方面更改。
VMess 屬於 V2Ray 生態中的協定，包含身分驗證與時間相關的檢查機制，常與 TCP、WebSocket 等傳輸方式搭配。VLESS 採用更精簡的驗證設計，本身不負責內容加密，實際部署通常會搭配 TLS、REALITY 或其他安全傳輸方式。看到 VLESS 設定時，應將協定、傳輸方式、安全層與伺服器名稱視為一組參數理解，漏掉其中任何一項都可能無法連線。
Trojan、Hysteria2 與 TUIC
Trojan 通常運行於 TLS 之上，外觀接近一般加密網站流量。它依賴正確的伺服器名稱、憑證與 TLS 設定；時間錯誤、網域解析異常或憑證不相符都可能導致交握失敗。名稱中的「Trojan」是協定名稱，不能據此判斷用戶端來源或軟體行為。
Hysteria2 基於 QUIC 與 UDP，並採用適合高延遲、容易波動網路的壅塞控制思路。TUIC 同樣基於 QUIC 與 UDP，強調多路複用與連線管理。它們在支援 UDP 的網路中可能有較好的傳輸表現，但辦公室網路、公共網路或部分路由設備可能限制 UDP；此時連線失敗不一定是訂閱失效，也可能是底層網路不允許相應流量通過。
| 協定 | 常見傳輸基礎 | 設定注意事項 | 遇到連線問題時 |
|---|---|---|---|
| Shadowsocks | 通常基於 TCP 與 UDP | 加密方法、密碼、伺服器參數 | 核對加密方法與用戶端支援情況 |
| VMess | 可組合多種傳輸方式 | 身分參數、傳輸方式、時間校準 | 檢查系統時間與所有傳輸欄位 |
| VLESS | 常與 TLS 或 REALITY 搭配 | 安全層、伺服器名稱、傳輸參數 | 不要只複製伺服器位址和連接埠 |
| Trojan | 通常為 TLS over TCP | 密碼、網域、憑證與 TLS | 檢查解析結果與伺服器名稱 |
| Hysteria2 | QUIC 與 UDP | 驗證、TLS、UDP 可達性 | 更換網路，判斷是否存在 UDP 限制 |
| TUIC | QUIC 與 UDP | 驗證、憑證、多路複用設定 | 確認用戶端版本支援對應設定 |
分流規則、全域模式與 TUN 模式如何選擇
分流回答的是「這條連線要走哪裡」。規則模式會依網域、IP、應用程式、連接埠或規則集，將請求交給代理、直連或攔截策略。全域模式通常會讓用戶端能接管的流量盡量經過目前的代理節點。直連模式則繞過代理。三者是路由決策，不是協定類型，也不會改變訂閱中的伺服器設定。
日常使用較適合先從規則模式開始。本地服務、區域網路裝置與不需要跨境存取的網站可以直連，需要指定出口地區的目標再經過代理。這樣能減少不必要的繞行，也能避免本地網站因出口地區變更而觸發額外驗證。若規則遺漏導致目標無法存取，可暫時切換全域模式進行比對；若全域可用而規則不可用，問題大多出在規則命中或 DNS 路徑，而不是節點本身。
系統代理通常會接管遵循作業系統代理設定的應用程式。部分遊戲、命令列工具、獨立更新程式與採用自有網路堆疊的軟體可能忽略系統代理。TUN 模式透過虛擬網卡接管更廣泛的 IP 流量，因此適合需要涵蓋這類應用程式的情境，但也更容易與其他網路延伸功能、防火牆、虛擬機網路或企業管理策略產生衝突。
DNS 洩漏為什麼與分流有關
存取網域名稱前，系統通常需要先將網域解析為 IP。若網頁流量經過代理，但 DNS 請求仍交給本地網路，解析方仍能看到查詢的網域，而且可能回傳與代理出口不相符的地區結果。這類現象通常稱為 DNS 洩漏。它不一定會造成斷網，更常見的結果是網站地區判斷異常、解析到不適合的位址，或規則因取得不同 IP 而走錯路徑。
用戶端常見的處理方式包括代理 DNS 查詢、使用遠端解析、依網域規則選擇解析器，或透過虛擬 DNS 位址搭配 TUN 轉送。設定時不應只關注「DNS 位址填什麼」，還要確認請求實際從哪條路徑送出、解析結果由哪套規則使用。瀏覽器的加密 DNS 功能也可能繞過用戶端設定，需要配合具體應用程式檢查。
不同平台的用戶端為何表現不同
相同訂閱匯入不同平台後，節點數量、協定支援與可用模式可能不完全一致。原因通常不是訂閱內容變更，而是用戶端實作能力不同。有些用戶端只支援部分協定，有些能辨識訂閱但會忽略陌生欄位，還有些需要另外啟用系統延伸功能才能使用 TUN 或增強模式。
在 iOS 與 iPadOS 上，用戶端需要透過系統網路延伸功能建立連線，首次啟用時會要求新增 VPN 設定。系統狀態列顯示連線圖示，只能表示網路延伸功能已啟動，仍需透過出口位址與目標網站驗證規則是否生效。系統對背景執行與網路延伸功能有明確限制，因此關閉用戶端介面後，實際連線狀態應以系統設定與應用程式內的日誌為準。
Windows 用戶端通常同時提供系統代理與 TUN 模式。瀏覽器可以使用、其他應用程式卻無法使用時，應先判斷後者是否遵循系統代理。啟用 TUN 後若區域網路、虛擬機或企業網路異常，則要檢查路由表、DNS 與防火牆衝突。macOS 的處理思路相近，但網路延伸功能權限、系統代理與應用程式沙盒會影響具體行為。
Android 通常透過系統 VPN 介面接管流量，並可能提供依應用程式分流。若連線在鎖定螢幕後中斷，應檢查系統對背景執行、省電策略與永遠開啟 VPN 的設定，而不是反覆重新匯入訂閱。不同品牌的系統設定位置並不一致，排查時要區分「用戶端程序遭暫停」和「伺服器無法連線」。
從匯入到驗證的操作順序
初次設定時，不要同時修改協定、DNS、規則與系統代理。一次變更多個變數，發生問題後很難判斷是哪一層造成。更穩妥的做法是先完成最小可用設定，再逐步加入分流或 TUN 功能。
- 取得訂閱：從帳戶面板複製完整訂閱網址，不經過來源不明的轉換頁面。
- 選擇用戶端：確認用戶端支援訂閱中使用的協定，並適用於目前的作業系統。
- 匯入並更新：使用訂閱或遠端設定入口匯入，接著執行一次更新，確認節點清單已出現。
- 選擇節點：先依目標出口地區選擇，再結合直連、中轉或 IEPL 專線類型判斷路徑。
- 啟動基本模式：優先使用用戶端建議的規則模式，確認瀏覽器可以存取目標頁面。
- 驗證出口與 DNS：檢查出口地區是否符合預期，並確認網域解析沒有繞過既定路徑。
- 涵蓋其他應用程式：只有在應用程式不遵循系統代理時，才考慮 TUN 或依應用程式接管。
驗證時需要將「連線成功」與「目標可用」分開。用戶端顯示交握成功，表示它可能已與節點建立連線；目標網站仍可能因 DNS、分流、出口地區或自身服務狀態而無法存取。反過來，某個網頁能開啟，也不代表所有應用程式都經過相同路徑。可以分別檢查瀏覽器、目標應用程式與系統網路設定。
連線失敗時逐層排查
- ✅ 先更新訂閱，確認節點設定不是舊快取
- ✅ 再切換同地區的不同節點，區分單一節點問題與本地網路問題
- ✅ 檢查系統時間、伺服器名稱、TLS 與傳輸參數是否完整
- ✅ 對 Hysteria2、TUIC 等協定更換網路，測試 UDP 是否可達
- ✅ 暫時使用全域模式比對規則模式，判斷是否為分流遺漏
- ✅ 檢查 DNS 解析路徑，再判斷是否需要調整遠端解析設定
- ❌ 不要在未記錄原始設定的情況下，同時更換協定、DNS 與執行模式
日誌比首頁狀態提供更多資訊。常見線索包括 DNS 解析失敗、連線逾時、TLS 交握失敗、驗證遭拒、規則命中直連或虛擬網卡啟動失敗。閱讀日誌時先找到最早出現的錯誤，因為後續錯誤往往只是前一個問題造成的連鎖結果。若日誌包含訂閱網址、伺服器憑證或完整驗證參數，分享前應先移除敏感內容。