这份 VPN名词解释先给结论：订阅负责提供配置，节点是可选择的连接入口，线路是流量经过的路径，协议规定连接方式，分流决定哪些请求走哪条路。它们不是同一种东西，遇到连接问题时，也需要分别检查。
日常讨论常把代理客户端、加密代理和 VPN 放在一起说，但它们的工作层次不完全相同。系统显示 VPN 连接图标，可能只是客户端借用了系统的虚拟网络接口，不代表底层必然使用某种传统 VPN 协议。理解下面这些词，比只看应用名称更有用。
订阅与客户端：配置从哪里来
“订阅”有两个常见含义。套餐页里的订阅服务是计费安排；客户端里的订阅链接则是获取配置的地址。购买了某种计费套餐，不等于已经完成客户端设置；导入了配置，也不代表账户一定还有可用流量。账户状态和本地配置要分开核对。
订阅链接通常含有身份凭据。客户端读取链接后，会获得节点、连接参数，有时还包括策略组、分流规则或 DNS 设置。具体能导入什么，取决于链接输出格式和客户端支持范围。它不是安装包，也不是用浏览器打开后就自动生效的网络开关。
所谓“更新订阅”，通常是重新获取远端配置，不是给账户续费。服务调整节点后，本地列表可能需要更新；但手动添加的规则是否保留，要看客户端如何合并配置。操作前应保存自己的修改，不要把更新当作没有影响的刷新。
节点与线路：选项名称不是完整路径
节点是客户端中一个可选择的连接配置，通常包含服务器地址、端口、认证信息和协议参数。同一个地区可能有不同节点；不同名称也可能共用部分基础设施。因此，节点数量不能直接换算成独立服务器数量，更不能代表实际可用带宽。
线路描述的是设备到目标服务之间的传输路径。流量可能先到入口，再经过中转，最后从出口访问网站。入口是连接进入服务网络的位置，出口是目标网站看到的来源。节点名称标注的地区究竟指入口还是出口，需要看服务说明，不能只凭名称猜。
海外访问国内内容时，先确认选择的是回国加速方向；访问国际网站时，再核对国际线路与出口地区。地理位置接近不一定路径更短，目标平台也可能根据账号地区、内容版权和出口识别作出不同判断。
| 术语 | 通常指什么 | 不能据此推断什么 |
|---|---|---|
| 直连 | 设备直接连接所选服务器，不经过服务另设的应用层中转入口。 | 不代表物理路径笔直，也不代表一定更快；仍会经过运营商网络。 |
| 中转 | 先连接入口，再由入口转发到后续服务器或出口。 | 增加转发环节不必然更慢，实际表现取决于各段路径与负载。 |
| IEPL 专线 | 国际以太网专线，通常用于连接约定端点，可能承担线路中的跨境传输段。 | 不代表设备到网站全程都是专线，也不自动包含额外加密或流媒体访问保证。 |
这些是概念解释，不是 VPNBig 每条线路的配置声明。选线时应以实际说明和目标服务测试为准。客户端的延迟探测只反映特定探测方式下的响应情况，不能替代文件传输、视频播放或工作应用的实际体验。
协议：连接双方怎样通信
协议规定客户端与服务端如何认证、封装和传输数据。Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 是常见名称，但不是可以随意互换的开关。客户端支持某个协议，还需要服务端提供匹配配置，才能建立连接。
- Shadowsocks：加密代理协议，连接需要匹配的加密方法与凭据；不同实现对具体方法的支持可能不同。
- VMess：带有自身认证与加密机制的代理协议，通常还会配合传输层设置使用。
- Trojan：通常通过 TLS 承载代理流量，证书验证、服务器名称与认证信息都需要正确配置。
- VLESS：协议本身不提供流量加密，通常配合 TLS 或 REALITY 等安全层使用，不能把它的名字直接理解成加密保证。
- Hysteria2 与 TUIC：基于 QUIC 的代理方案，依赖 UDP 网络条件；客户端和服务器也要支持对应实现。
TLS、WebSocket、gRPC、QUIC 等词可能和代理协议同时出现，它们描述安全层或传输方式，不都是同一层的替代选项。节点名称里堆叠的缩写越多，不意味着效果越好；正确匹配、客户端兼容和当前网络条件才是重点。
如果所在网络限制 UDP，依赖 QUIC 的方案可能连接受阻；这不等于账户失效，也不等于所有节点都不可用。应先查看客户端错误信息，再按服务提供的配置切换兼容方案，而不是自行修改不理解的协议参数。
分流、规则与全局模式
分流就是把请求分配到不同处理方式：直接连接、交给代理、拒绝连接，或送到某个策略组。策略组是选择节点的容器，可以手动选择，也可能按配置进行故障切换。它是决策工具，本身并不是额外的一条物理线路。
规则模式一般按域名、目标 IP、应用进程等条件匹配，具体支持哪些条件由客户端决定。规则通常按顺序处理，较早命中的规则会影响结果；末尾规则负责接住未命中的请求。规则订阅过旧、顺序不合适或域名覆盖不完整，都可能造成目标应用没有按预期走代理。
全局模式通常指“进入这个客户端的流量”统一采用所选策略，不等于设备所有流量都已被接管。若某个应用不遵循系统代理，它可能仍然直连；需要系统级接管时，应检查客户端的虚拟网络接口或 TUN 设置及权限。
回国加速也不适合机械地把全部请求送往同一个出口。国内目标服务与海外本地服务可能需要不同路径。先让目标应用走预期线路，再确认其他应用没有受到影响，通常比反复切换全局模式更容易定位问题。
模式选择结论：日常使用先采用与访问方向匹配的规则配置。临时切换全局模式可以帮助判断分流是否有误，但它不是速度开关，也不是隐私保证。
DNS 与泄漏：域名查询也要核对
DNS 负责把域名转换成连接所需的地址。网页内容走代理，不代表域名查询也走相同路径。如果原本希望经指定解析器或代理处理的查询，意外交给本地网络解析，就可能形成通常所说的 DNS 泄漏。
加密 DNS 主要保护设备到解析器这一段查询传输，不代表解析器看不到查询内容，也不能代替代理规则。浏览器的安全 DNS、系统设置、客户端内置解析和应用自己的解析逻辑可能相互影响，不能只检查一个开关。
排查时先查看客户端的 DNS 策略与连接记录，确认查询和后续连接都按预期处理。若使用检测页面，应了解它展示的是解析器出口位置，不能只凭国家标签判断泄漏；缓存、解析器网络布局也会影响结果。对照预期配置，比盲目追求某个检测标签更可靠。
客户端导入：从配置到实际请求
Windows、macOS、Android、iOS 与 Linux 的系统接口和权限机制不同，同名模式也未必覆盖相同范围。桌面客户端常见系统代理与 TUN 两类接管方式；移动端常借助系统 VPN 接口转发流量；Linux 还要留意路由与解析服务的配合。具体以客户端说明为准。
不要把协议支持、配置格式支持和功能支持混为一谈。客户端能够解析节点，不代表也能读取订阅里的全部规则或 DNS 字段。导入后列表正常但应用无法访问时，兼容性仍然需要检查。
- 从官方入口获取客户端。通过 VPNBig 的客户端下载入口核对可用平台和操作说明，避免使用来源不明的安装文件。
- 确认配置格式。在账户内获取适合该客户端的订阅或配置，不要为了导入成功就把凭据交给陌生转换服务。
- 导入并检查结果。核对节点是否出现、是否报格式错误，再查看账户状态与流量。导入失败时先排除链接被截断、空格混入或格式不兼容。
- 按方向选择节点。区分回国加速与国际线路，启用适合目标服务的规则，并完成系统要求的网络权限授权。
- 用目标应用验证。连接成功后实际打开需要使用的内容，检查出口和规则命中；遇到异常再逐项排查，不同时改动多个设置。
系统中已经运行其他网络工具时，还要检查是否存在代理端口占用、路由冲突或 DNS 设置覆盖。客户端提示“已连接”，通常只能说明某个连接或接口已建立，不能证明所有应用都已经经过它。
排查清单：把问题放回对应层
理解术语的实际价值，是能说清楚哪里出了问题。比起只报告“不能用”，提供系统与客户端名称、连接方式、报错原文、目标应用及出现条件，更便于定位。涉及配置截图时，先遮住凭据；不要发送完整订阅链接。
- ✅ 节点列表为空：检查订阅格式、链接完整性与获取结果，不先归因于线路质量。
- ✅ 节点无法连接：检查账户状态、协议兼容、认证信息，以及当前网络是否允许所需传输方式。
- ✅ 网页能开但某个应用失败：检查应用是否遵循系统代理、规则是否命中，以及是否需要系统级接管。
- ✅ 能连接但内容地区不符：核对出口地区、账号地区与平台规则，不把连接成功等同于内容权限。
- ✅ 怀疑 DNS 路径异常：对照客户端、系统和浏览器的解析设置，再看查询与连接的实际处理路径。
最后记住这条关系：订阅把配置交给客户端，客户端按协议连接节点，流量经过线路到达出口，分流规则决定哪些请求采用这条路径。先确认访问方向，再逐层核对，通常比不断换节点更有效。
需要继续检查具体操作时，可以查看使用指南；如果问题集中在视频播放，转到观影指南按症状排查。概念解释不替代实际配置说明，目标服务的访问规则也仍需遵守。