VPN 新手名词速查:订阅、节点、协议、分流一次讲明白

名词速查：先分清每项负责什么

日常交流中的 VPN 常被用来泛指跨境网络连接工具，但具体产品可能使用系统 VPN 隧道，也可能使用代理协议和规则引擎。看到客户端显示“VPN 已连接”，不代表它一定采用某种传统 VPN 协议，更不代表所有应用都已通过同一出口。

实际请求通常先进入客户端，经过规则判断，再按结果选择直连、代理或拒绝连接。选择代理时，客户端才使用相应节点和协议建立连接。订阅则负责提供这些配置，有的订阅还包含规则和策略组。

订阅链接：配置入口，不是付款按钮

“订阅”有计费和技术两种语境。套餐页的月订阅指服务计费方式；客户端里的订阅地址，通常是一个能够返回配置的链接。流量包用户也可能通过订阅链接导入节点，不能因为套餐不按月计费，就认为不需要导入订阅。

链接返回的内容可能是节点列表，也可能是含策略组、DNS 和分流规则的完整配置。不同客户端接受的格式不同，同一个地址未必可以直接用于所有应用。导入失败时，先核对客户端类型和服务提供的导入说明，而不是反复复制同一段内容。

首次导入与后续更新也不同。导入是添加配置来源；更新是重新获取该来源的内容。更新可能改变节点列表，但不一定替换本地手动设置，具体由客户端决定。套餐信息发生变化后，可先更新订阅，再检查账户状态与客户端显示是否一致。

节点与线路：地区标签不是整段路径

节点通常是一组可用连接参数，界面上以地区、城市或用途命名。节点名便于选择，但并非技术证明。名称写着东京，可能是在说明出口位置；客户端最先连接的入口，则可能位于其他地区。判断访问网站看到的出口，应结合实际出口地址，而不是只看节点名称。

直连通常指设备直接连接境外入口，不额外经过服务安排的中转入口；它仍会经过运营商网络和互联网路由。中转则先接入一个入口，再由入口转发到后续服务器。中转可能改善部分网络条件，也可能增加路径，不能直接等同于更快。

IEPL 通常指国际以太网专线。在订阅服务的线路说明中，它往往描述路径中的专线段，并不意味着从家中路由器到目标网站的每一段都是专线。本地接入质量、入口负载、出口和目标网站仍会影响体验。

因此，“日本节点”“IEPL 线路”和“某种协议”可以同时描述同一个连接：地区说明出口，线路类型说明路径安排，协议说明通信方式。挑选时先满足目标地区要求，再在自己的网络和常用时段验证，不把标签当作流媒体或办公平台一定可用的保证。

协议名称：先看兼容性，再看网络条件

Shadowsocks、VMess、Trojan、VLESS、Hysteria2 和 TUIC 是常见的代理协议或相关实现体系，并不是套餐等级。客户端必须支持相应协议及配置方式，服务端也必须匹配。不能在客户端把协议随意改成另一个名称，就期待原节点继续工作。

• Shadowsocks：常见加密代理协议，连接双方需要匹配加密方式和认证信息。具体能力取决于实现与版本。
• VMess 与 VLESS：都常见于代理工具生态，但属于不同协议。VLESS 本身不提供内容加密，常配合 TLS 等安全传输使用，不能只看名称就判断连接保护方式。
• Trojan：通常利用 TLS 保护传输。证书验证与服务端名称配置很重要，不应为解决报错而长期跳过验证。
• Hysteria2 与 TUIC：都使用基于 UDP 的 QUIC 技术，但并非同一协议，也不能互换配置。所在网络对 UDP 的限制可能影响连接。

不要把“协议较新”理解为“任何环境都更快”。客户端核心是否支持、网络是否允许相关传输、服务器负载以及目标服务响应，都会影响结果。本文用于解释名词，CitiVPN 实际提供的协议与客户端支持情况，以面板和使用说明为准。

分流与全局：先判断流量有没有进入客户端

规则模式按条件处理请求，常见条件包括域名、目标地址和进程。规则通常按顺序匹配，命中后执行直连、代理或拒绝等动作，未命中的请求由兜底规则处理。办公软件访问异常时，既可能是目标域名没被覆盖，也可能是进程没有进入代理。

全局模式一般把已经进入代理引擎的流量交给选定的代理策略处理。它不等于所有软件必然被接管，也不必然包含所有 UDP 或 DNS 请求。系统代理通常影响遵循系统代理设置的应用；忽略该设置的程序，可能仍然直接连接。

TUN 模式通过虚拟网络接口接收流量，可以覆盖更多不遵循系统代理的应用，但其范围仍受路由、排除项、权限和客户端实现影响。TUN 是流量接管方式，全局与规则是处理策略，两者不在同一个层级。

Windows、macOS 和 Linux 客户端可能分别提供系统代理与虚拟网卡选项，支持范围因应用和核心而异。iOS 与 Android 常通过系统提供的 VPN 接口承载流量，界面上出现 VPN 标识也不能代替规则验证。Android 的按应用分流是否可用，要看客户端；桌面平台也不能默认拥有相同功能。

DNS 与出口：连接成功后仍要验证

DNS 查询负责寻找域名对应的地址，网站连接负责传输后续内容，两者可能走不同路径。如果预期查询由指定解析方案处理，实际却经本地网络发出，就可能出现通常所说的 DNS 泄漏。它需要结合预期配置判断，不能只凭检测页出现陌生地区就下结论。

浏览器的加密 DNS、系统 DNS、客户端内置解析和企业网络策略可能相互影响。网站打不开而其他应用正常时，应检查浏览器是否使用了独立解析设置。使用 Fake-IP 的客户端还可能先返回虚拟地址，再由客户端完成后续映射；这类地址不等于网站真实出口。

可以先用我的 IP核对当前浏览器看到的出口，再结合客户端日志确认规则匹配与 DNS 处理。出口正确只说明该次检测请求的路径符合预期，不能证明其他应用也相同。网络连接配置也不会替代网站登录验证、账户权限或平台自己的地区政策。

新手操作清单：按故障所在层排查

首次使用时，不要同时修改协议、DNS 和规则。保留可恢复的原配置，每次只调整与当前问题相关的设置，再重试同一目标。这样才知道变化来自哪里，也方便向支持人员描述问题。

• ✅ 先核对账户与套餐状态，再从面板取得适合当前平台的客户端和订阅说明。
• ✅ 按客户端要求导入订阅，确认出现节点列表；更新失败时检查格式、链接有效性与错误提示。
• ✅ 选择符合用途的地区，使用默认推荐配置连接；不要手动改写不理解的协议参数。
• ✅ 打开目标应用，核对出口和连接日志，区分“节点连不上”与“请求没有走代理”。
• ✅ 单个网站异常时，检查规则、DNS 和平台要求；所有应用异常时，再检查本地网络与客户端连接状态。
• ✅ 反馈问题时说明平台、客户端名称、所选节点与现象；分享日志前遮盖订阅地址和认证凭据。

CitiVPN 无需邮箱地址，用户名与密码即可创建账户。客户端下载统一从面板下载入口获取；登录后获取订阅。Windows、Android、macOS 和 Linux 登录可获取客户端，iOS 需有效套餐。更具体的导入流程可查看新手指引，遇到配置疑问可继续查阅帮助中心。

最后记住这条判断顺序：订阅有没有取到配置，节点能不能连接，应用有没有被接管，规则与 DNS 是否符合预期。把问题放回对应层处理，比反复换节点更容易找到原因。