VPN 名詞速查：訂閱、節點、協定、分流一次講明白

訂閱：一條連結如何變成一整頁節點

訂閱（subscription）在用戶端裡通常只佔一行網址欄。它指向的不是某台伺服器，而是一份節點清單：用戶端向這個位址發出 HTTPS 請求，把回傳內容解析成節點，並依固定週期自動更新。

回傳內容的格式由伺服器端決定，常見兩種。一種是一串 Base64 編碼的多行 URI，每行一個節點，以 ss://、vmess://、trojan:// 等開頭；另一種是 Clash 系用戶端使用的 YAML 設定，把節點、策略組與分流規則寫在同一份檔案裡。

訂閱位址裡通常帶一段隨機字串，伺服器端靠它識別帳號。這決定了訂閱連結的性質：它等同於帳號憑證。拿到連結的人可以直接匯入使用，流量也記在同一個帳號上。需要在新裝置上使用時，從帳號面板重新複製一次，不要讓連結長期留在聊天記錄裡。

手動新增節點是另一條路徑：把位址、連接埠、加密方式、密碼或使用者 ID 逐項填進用戶端。它適合臨時接入單台伺服器，問題是節點參數一變就要重新填。

匯入訂閱的標準流程：

1. 在用戶端找到「訂閱」或「設定」入口，選擇新增。
2. 貼上訂閱連結，填一個方便辨識的名稱。
3. 手動觸發一次更新，確認節點清單出現，數量與預期一致。
4. 選一個節點接通，再打開 IP 檢測頁核對出口地區。

節點：地區只是標籤，線路類型才是品質

節點（node）是用戶端最終接入的那台伺服器，設定欄位包括位址、連接埠、加密方式與憑證。節點名稱裡的地區，例如「新加坡 01」，表示落地出口的大致位置——它是一個標籤，不是品質指標。

同一個地區可以掛著三類線路，價格與穩定性差別很大：

• 直連：用戶端直接連接伺服器的公網位址。路徑最短，成本最低，全程走公共網際網路，晚間尖峰路由抖動時會跟著波動。
• 中轉：用戶端先連中轉入口，再由中轉機轉發到落地機。入口通常離使用者更近，落地出口仍按目標地區。多了一跳，但把最不確定的一段挪到了可控的一段。
• IEPL 專線：兩端之間走電信業者點對點專線，不經過公共網際網路路由。延遲曲線平、抖動小，成本最高，通常按頻寬計費。

三類線路的對照：

以 VPNWI 的訂閱為例，線路規模如下：

選節點之前，可以先在伺服器頁看一遍各地區線路與即時延遲，再決定用哪一條。什麼時候需要動它：預設選延遲測試裡排前面的節點；出現卡頓先換節點，而不是先改協定；同一地區有多個節點時，優先選中轉或專線。

協定：從 Shadowsocks 到 Hysteria2，各自解決什麼

協定決定用戶端與節點之間怎麼加密、怎麼握手、走 TCP 還是 UDP。它不改變出口位置：同一台節點換協定，落地地區不變，變的是傳輸方式。

常見協定按出現順序排：

• Shadowsocks：輕量加密代理，使用 AEAD 加密套件，例如 aes-128-gcm、chacha20-ietf-poly1305。開銷小，適合低規格裝置與路由器；只做加密轉發，不做流量偽裝。
• VMess：V2Ray 系的原生協定，用 UUID 標識使用者，參數項目較多，欄位寫錯會直接連不上。
• VLESS：VMess 的簡化後繼，協定本身不做加密，把加密與偽裝交給外層 TLS，握手開銷更小。
• Trojan：把流量偽裝成標準 HTTPS，通常落在 443 連接埠，對鏈路上的中間設備來說與一般網站存取沒有差別。
• Hysteria2 與 TUIC：基於 QUIC 的協定，走 UDP。弱網與丟包環境下重傳策略更積極，延遲與吞吐表現更好；代價是依賴 UDP，網路對 UDP 不友善時反而不如 TCP 系協定穩定。

在訂閱檔案裡，一個節點就是一行這樣的 URI：

ss://<加密方式>:<密碼>@<伺服器位址>:<連接埠>#<節點名稱>
vmess://<Base64 編碼的 JSON>
trojan://<密碼>@<網域>:443?sni=<網域>#<節點名稱>

用戶端解析這些欄位，產生節點項目。什麼時候需要動它：預設不動；用戶端版本不支援目前協定時換一個；網路對 UDP 限速時，從 QUIC 系切回 TCP 系；只有伺服器端明確給出參數時，才手動修改。

分流：哪些流量走代理，哪些直連

分流（routing）是用戶端按規則替每條連線選出口：走代理、直連，或者拒絕。規則由上而下比對，命中即停。

常見的比對維度有五類：

• 網域後綴：網域以某個字串結尾時命中。
• 網域關鍵字：網域裡包含指定字串時命中。
• IP 網段：按 CIDR 比對，例如內網段直接放行。
• 地區庫：按 IP 歸屬地判斷，常見寫法是 GEOIP,CN,DIRECT 這類規則。
• 行程名稱：桌面端可用，指定某個程式走哪條出口。

一份典型的規則集做三件事：中國大陸網域與中國大陸 IP 直連；其餘流量走代理；串流媒體或特定服務的網域單獨指定節點。

DNS 洩漏：分流管不到的第三條鏈路

分流決定的是連線出口，DNS 解析是另一條鏈路。如果 DNS 查詢沒有跟隨代理，解析請求會由本地網路的 DNS 發出，結果可能被污染，查詢記錄也可能被看到，這就是 DNS 洩漏。

常見處理有兩種：把 DNS 查詢交給代理通道，也就是遠端 DNS；或者用 fake-ip 模式讓用戶端接管解析，只在真正建立連線時才發起網域解析。驗證方法很直接：接通後打開 IP 檢測頁，看解析出的出口地區與所選節點是否一致，再換一個節點複測一次。

分流規則與 DNS 處理都在用戶端一側完成；伺服器端一側的隱私立場是不記錄日誌。什麼時候需要動它：只有出現「該直連的走了代理」或「該走代理的被直連」時才需要改，日常保持預設規則集即可。

全域、規則、直連：三種模式與切換時機

用戶端首頁通常有一個模式開關，三個選項對應三種總策略：

• 規則模式（rule）：按分流規則走，絕大多數時間用這個。
• 全域模式（global）：所有流量都走代理。適合驗證「是否所有請求都從節點出去」，代價是中國大陸網站也繞路。
• 直連模式（direct）：全部不走代理，相當於暫時停用代理但保留用戶端執行狀態，用來區分本地網路問題與節點問題。

切換的判斷順序：

1. 預設保持規則模式。
2. 某個中國大陸網站被誤判走代理時，先檢查規則集，不要直接切全域。
3. 需要驗證出口一致性時，暫時切全域，測完切回規則模式。
4. 網路異常時先切直連：直連正常，問題在節點或代理鏈路；直連也不正常，問題在本地網路。

自我檢查清單：

• ✅ 訂閱連結只在自己的裝置上匯入，不轉發到聊天群組或公開的設定分享站。
• ✅ 接通後先打開 IP 檢測頁，核對出口地區與所選節點一致。
• ✅ 日常保持規則模式，只在排查問題時暫時切全域或直連。
• ✅ 卡頓時先換節點，再考慮動協定與分流規則。
• ❌ 把訂閱連結當作可以隨手分享的設定檔。
• ❌ 長期開著全域模式看中國大陸影片，頻寬繞路且不解決問題。
• ❌ 在公共 Wi-Fi 下用未接管的本地 DNS 解析帳號相關網域。

同一個詞在不同平台的位置

這些概念在所有平台一致，差別只在入口名稱與接管方式。

• Windows 與 macOS：桌面用戶端普遍提供 TUN 模式，用虛擬網卡接管不遵守系統代理設定的程式，分流規則裡可以按行程名稱比對。
• Android：用戶端透過系統 VPN 介面接管流量，部分用戶端支援按應用程式分流，只讓指定應用程式走代理。
• iOS：用戶端從 App Store 安裝，可用性取決於帳號所在的地區；系統透過 VPN 描述檔或 Network Extension 接管流量，分流能力取決於用戶端實作。
• Linux：命令列用戶端與圖形用戶端並存，規則檔案多為 YAML，適合納入版本控管。

換平台不需要重新理解概念，只要在用戶端裡找到對應入口：訂閱在「設定」裡，節點在「伺服器」清單裡，模式開關一般在首頁頂部。各平台的安裝與匯入步驟，使用指南裡有分平台說明。

名詞對照表

六個詞、六個問題，一張表回查：