訂閱、節點、協議這三個詞，幾乎是新手第一次打開客戶端時同時撞上的三堵牆：介面上要填一條訂閱連結，下面列著一排節點，每個節點後面還掛著 SS、VMess、Trojan 之類的縮寫。這篇 VPN 新手名詞速查按「從拿到連結到真正能用」的順序，把訂閱、節點、線路類型、協議、分流與全域模式逐項拆開，每個詞給一句定義和一個常見誤解，末尾附一張速查表和一份首次設定的檢查清單。
訂閱連結：一條網址裡裝了什麼
訂閱連結（subscription URL）本質上是一個 HTTPS 網址，打開它回傳的不是網頁，而是一份節點清單：可能是 Base64 編碼的多行節點字串，也可能是某個客戶端專用的 YAML 或 JSON 設定。客戶端裡的「新增訂閱」做兩件事——把這個網址存下來，解析出清單裡的幾十條節點填進列表。
它和「手動新增節點」的差別在維護方式。手動新增要逐項填位址、連接埠、密碼、加密方式、傳輸層，一個字元錯了就連不上；訂閱是批次下發，伺服器端增刪線路之後，客戶端點一次「更新訂閱」就能同步。也正因為如此，訂閱連結要當成憑證保管：拿到這個網址的人，可以把同一批節點匯入自己的客戶端。
換過線路、客戶端提示節點全部逾時、或者隔了很久沒打開客戶端，都先更新訂閱再排查。很多「節點全掛」其實是本地列表過期，伺服器端早就換過入口位址了。
訂閱裡幾個欄位分別管什麼
- 位址與連接埠：節點的入口，連不上時第一個要核對的就是這兩項。
- UUID 或密碼：身分憑證，錯一位就會被伺服器端直接拒絕。
- 傳輸層：TCP、WebSocket、gRPC 等，決定流量以什麼形式送出。
- TLS 與 SNI：是否套一層 TLS，以及握手時宣告的網域名稱。
- 加密方式：Shadowsocks 這類協議會單獨列出，如 AEAD 系列演算法。
新手最容易忽略的是傳輸層和 TLS 這兩項：同一個節點，位址和連接埠都對，但該用 WebSocket 的地方填了 TCP，表現就是一直轉圈，而不是明確報錯。
節點與線路：直連、中轉、專線的差別
節點（node）是客戶端列表裡可選的一條出口，線路（route）是流量從本地到落地伺服器實際走的那條路徑。日常說話時兩個詞經常混著用，但討論「為什麼這條快、那條慢」時，真正起作用的是線路。
| 線路類型 | 流量路徑 | 特點 | 適合 |
|---|---|---|---|
| 直連 | 本地 → 落地伺服器，走公網 | 結構簡單，延遲取決於公網品質，晚間尖峰波動明顯 | 日常瀏覽、對成本敏感 |
| 中轉 | 本地 → 入口節點 → 落地伺服器 | 入口就近接入，回程走最佳化路徑，尖峰時段更穩 | 跨洲存取、晚間觀影 |
| IEPL 專線 | 本地 → 專線入口 → 落地，不走公網 | 延遲與封包遺失穩定，成本最高 | 直播、語音會議、長連線 |
這張表裡沒有絕對的好壞。專線的價值是穩定，不是「更快」；同一條公網直連線路在凌晨可能比專線還快，只是晚間尖峰波動大。把兩者混為一談，就會出現「買了專線怎麼沒提速」的落差。
列表裡幾十條節點如果都指向同一台落地伺服器，切換只是換了入口，落地壅塞時照樣慢。判斷順序應該是先看落地位置，再看線路類型，最後才看列表長度。
以 VPNJM 為例，線路覆蓋 100+ 國家、共 220+ 條，某一條具體是直連、中轉還是 IEPL 專線，在線路列表裡會單獨標註，選之前先看清這一欄，比反覆試節點省時間。
協議：Shadowsocks、VMess、Trojan、VLESS 怎麼分
協議決定客戶端和伺服器之間怎麼加密、怎麼握手。列表裡 SS、VMess、Trojan、VLESS、Hysteria2 這些縮寫就是協議名。協議選錯，位址和連接埠再對也連不上；傳輸層或 TLS 設錯，則常表現為連上了卻沒有流量。
| 協議 | 傳輸基礎 | 關鍵特點 | 容易踩的點 |
|---|---|---|---|
| Shadowsocks | TCP / UDP，AEAD 加密 | 結構輕、開銷小、設定項少 | 不支援原生多工 |
| VMess | TCP / WebSocket / gRPC 等 | 傳輸層選擇多，可疊加 TLS | 需核對客戶端與伺服器時間，偏差過大會驗證失敗 |
| VLESS | 同上，通常搭配 TLS 或 Reality | 本身不做內建加密，開銷比 VMess 小 | 外層 TLS 沒設好就沒有加密保護 |
| Trojan | TLS，通常走 443 連接埠 | 流量形態與一般 HTTPS 一致 | 需要網域與有效憑證 |
| Hysteria2 / TUIC | QUIC，基於 UDP | 封包遺失嚴重時表現好，壅塞控制較積極 | UDP 受限的網路裡可能完全不通 |
新手不需要背參數，實際的選擇順序是：先確認客戶端支援哪種協議，再看伺服器端提供了哪些，最後才比較線路品質。同一台伺服器可以同時開幾種協議，哪個能連上就用哪個，不必糾結名字聽起來是否高級。
各平台客戶端對協議的支援並不一致：桌面端通常最齊全，行動端受系統網路擴充功能限制，部分基於 UDP 的協議在特定版本上不可用；路由器韌體往往只支援其中一兩種。匯入訂閱之前先確認客戶端能辨識清單裡的協議，比匯入之後再逐條試要省事。
值得關注的是協議有沒有走 TLS、憑證是否有效、客戶端版本是否過舊，而不是名字聽起來是否唬人。VLESS 單獨使用時並不內建加密，安全性來自它外層的那層 TLS。
分流規則、全域模式與 DNS 洩漏
模式（mode）決定一條流量到底走不走代理，常見三檔：全域模式把全部流量送進節點；規則模式按規則表判斷，命中的走節點、其餘直連；直連模式相當於暫時關掉代理。排查問題時用全域，日常用規則。
規則表怎麼寫
規則按類型比對，常見的有 DOMAIN（精確網域）、DOMAIN-SUFFIX（網域後綴）、IP-CIDR（網段）、GEOIP（依國家或地區的 IP 資料庫）和 PROCESS-NAME（依行程，一般只有桌面端支援）。規則由上往下比對，先命中先執行，所以把例外寫在前面，比在末尾堆更多規則有用。行動端還有一層依應用程式分流的設定，可以只讓指定應用程式走節點。
DNS 洩漏是怎麼回事
DNS 洩漏指的是網域名稱解析請求沒有走代理通道，而是交給了本地網路。它帶來兩個後果：一是造訪了哪些網域對本地鏈路上的人是可見的；二是 CDN 會依解析來源分配節點，可能把你指到遠處的伺服器，表現就是「明明連上了卻很慢」。檢查方法有兩個：看客戶端裡 DNS 是否設定為跟隨代理或遠端解析；連上之後打開 IP 查詢，確認解析伺服器歸屬地與出口 IP 的地區是否一致。
它會把本地網路銀行、公司內網系統一起繞出去，部分服務會因此觸發風控或直接拒絕登入。除非正在排查問題，日常保持規則模式即可。
速查表：十個最常被問到的名詞
下面這張表按「設定時會看到、出錯時會用到」的順序排列，左邊是名詞，中間是一句話解釋，右邊是新手最容易產生的誤解。
| 名詞 | 一句話解釋 | 常見誤解 |
|---|---|---|
| 訂閱連結 | 批次下發節點清單的網址 | 當成帳號密碼保存，或隨手轉傳給他人 |
| 節點 | 客戶端列表裡可選的一條出口 | 以為條數越多，線路品質就越好 |
| 入口 / 落地 | 本地最先連上的伺服器 / 流量最終出網的伺服器 | 兩個詞混著用，排查時說不清哪一段慢 |
| IEPL 專線 | 不走公網的國際專線 | 以為專線一定比公網直連更快 |
| 傳輸層 | TCP、WebSocket、gRPC 等承載方式 | 只核對位址連接埠，忽略了傳輸層這一項 |
| TLS / SNI | 外層加密與握手時宣告的網域 | 以為填了網域就等於設好了憑證 |
| 分流規則 | 依網域、IP、行程決定走不走代理 | 以為開了代理，所有流量就都走節點 |
| DNS 洩漏 | 解析請求沒有走代理通道 | 以為只有 IP 位址會曝光，網域無所謂 |
| UDP 轉發 | 節點是否允許 UDP 流量通過 | 以為和遊戲、語音通話沒有關係 |
| 流量重置 | 依開通日每月重置，不是自然月 | 以為每月 1 號自動歸零 |
首次設定的檢查清單
把上面的名詞對上號之後，第一次設定按這個順序走一遍，絕大多數「連不上」和「連上沒速度」都能在幾步內定位。
- ✅ 先更新訂閱，確認列表不是過期快取。
- ✅ 逐項核對協議、連接埠、傳輸層，三項與下發的設定一致。
- ✅ 打開遠端解析或跟隨代理的 DNS 設定，減少洩漏。
- ✅ 用規則模式起步，只讓需要的網域走節點。
- ✅ 連上後打開 IP 查詢，確認出口地區與所選節點一致。
- ❌ 不要靠「把所有節點試一遍」判斷品質，先看落地位置與線路類型。
- ❌ 不要在全域模式下登入本地網路銀行或公司內網系統。
- ❌ 不要把「能打開網頁」當成唯一驗證標準，分應用程式、分網域的結果可能不同。
一句話串起來：訂閱是名單，節點是出口，線路是路徑，協議是說話方式，模式決定誰走這條路。第一次設定時按這個順序檢查，比反覆更換節點更容易找到問題出在哪一層。
名詞本身不難，難的是它們在同一個介面上同時出現。下一次客戶端裡再冒出看不懂的縮寫，可以先判斷它屬於哪一層：是名單（訂閱）、是出口（節點與線路）、是說話方式（協議），還是路由規則（模式與分流）。歸到層裡，再對照速查表，多數疑問當場就能解開。