VPN 名词速查：先把配置与流量路径分开
VPN 新手名词速查最容易混淆的是订阅、节点、协议、分流与全局模式。它们并非同一层的开关：订阅提供配置，节点描述连接目标，协议决定通信方式，分流规则决定请求走哪里。
日常所说的 VPN，有时指系统级隧道服务，有时指通过代理客户端使用的国际线路订阅。代理客户端也可能借助虚拟网卡接管流量，但不能因此把所有产品、协议和接管方式视为同一种技术。排查问题前，先确认正在用哪款客户端，以及它实际接管了哪些应用。
| 名词 | 实际含义 | 不能据此推断 |
|---|---|---|
| 订阅链接 | 客户端获取节点或完整配置的地址 | 导入成功不等于已开始代理 |
| 节点 | 包含服务器地址、认证与协议参数的连接条目 | 名称中的地区不一定是入口所在地 |
| 协议 | 客户端与服务器通信时遵循的方式 | 协议名称不能直接代表速度排名 |
| 策略组 | 由手动选择或自动策略决定使用哪个连接目标 | 选中策略组不代表它一定走代理 |
| 规则模式 | 按域名、地址或其他条件决定请求去向 | 规则未命中时仍取决于兜底策略 |
| 全局模式 | 将已接管的请求交给统一策略处理 | 不代表设备上所有应用都已被接管 |
| 系统代理 | 向遵循系统代理设置的应用提供代理入口 | 部分应用可能忽略该设置 |
| TUN 模式 | 通过虚拟网络接口接收并处理流量 | 是否完整接管仍取决于路由与排除项 |
订阅链接与节点：配置从哪里来
流量套餐是服务权益，订阅链接是配置入口。购买或开通套餐后，客户端仍需要知道服务器在哪里、使用什么协议、如何认证。这些信息通常由订阅提供。更新订阅，是重新获取配置，不是给套餐续费，也不是重置流量。
订阅内容可能只是节点列表，也可能是包含策略组、规则和 DNS 设置的完整配置。客户端接受的格式不同，不能把某种格式的链接粘贴到任意客户端后就期待自动兼容。若导入时报格式错误，应先核对面板给出的客户端分类和导入说明。
节点则是列表里的具体连接条目。客户端可能先连接入口服务器，再经中转到出口服务器；目标网站通常看到的是出口地址。因此，“日本”这样的节点标签可能描述出口地区，不能仅凭名称推断整条路径，更不能推断网站一定接受该出口。
面板能显示套餐，而客户端没有节点，优先检查订阅是否复制完整、网络能否获取配置、客户端是否支持该格式。节点列表存在但无法连接，则继续检查套餐状态、节点选择和客户端报错，两类问题不要混在一起处理。
协议名称：兼容性比名字更重要
Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 是不同的代理协议或协议方案，不是可以随意互换的标签。连接两端需要支持相应实现，认证信息、传输设置与服务器配置也必须匹配。只修改客户端显示的协议名称，无法完成转换。
加密、传输与代理协议不是同义词
Shadowsocks 提供加密代理能力；VMess 有自身的认证和加密机制。Trojan 通常借助 TLS 建立安全传输；VLESS 本身不提供载荷加密，需要结合合适的安全传输配置使用。Hysteria2 与 TUIC 基于 QUIC，底层依赖 UDP，所在网络对 UDP 的限制会影响可用性。
这些差异能帮助理解兼容性，却不足以给所有网络环境排出速度顺序。最终体验还取决于出口、路径拥塞、客户端实现与本地网络。网页访问顺畅，也不能直接证明游戏 UDP 或持续传输任务同样顺畅。
选择客户端时，要核对当前版本和内核是否支持订阅里的具体协议及传输组合。支持某个协议，不代表支持它的所有扩展配置。导入后出现“不支持的节点”时，优先按官方说明更新客户端或选择兼容格式，不要盲目删除认证、证书校验等字段。
IEPL 专线、中转与直连：描述的是路径
协议描述怎样通信，线路类型描述流量怎样经过网络。直连通常指客户端直接连接目标代理服务器；中转通常是在入口接收连接，再转发至后续服务器。中转路径更长并不必然更慢，直连环节更少也不保证高峰时段更稳定。
IEPL 是 International Ethernet Private Line，即国际以太网专线，指运营商提供的专用以太网连接服务。在订阅服务语境中，标注 IEPL 往往是在说明路径中的某一段，而不是从用户设备到目标网站的所有环节都位于专线内。
用户到入口的本地网络、出口到网站的公共网络，以及服务商的容量安排，仍会影响体验。线路标签也不是加密协议：即使使用专线，传输安全仍需结合实际协议和客户端设置判断。
在相同设备、本地网络和目标服务下，观察页面加载、连接中断和应用报错。保留不同路径的备用选择。节点名称、线路类型与协议名称可以帮助分类，但不能替代实际使用验证。
分流规则与全局模式：谁决定请求去向
规则模式会根据配置中的条件选择策略，例如让本地服务直连，让指定国际网站走代理，或拒绝某些请求。常见规则条件包括域名、域名后缀、目标地址范围和进程；具体支持范围取决于客户端。多数规则引擎按顺序匹配，但仍应以所用客户端的文档为准。
策略组是规则与实际节点之间的选择层。规则可能把请求交给一个组，而该组再使用手动选定的节点，或者依据配置自动选择。排查时只看“当前节点”可能不够，还要确认目标请求命中了哪条规则、进入哪个策略组、最终选了什么出口。
全局模式通常把已进入客户端的请求交给统一策略，便于检查是否存在规则误分流。但有的客户端允许该策略选择直连，所以“全局”也不是代理一定生效的证明。更重要的是，它一般不会自动让原本绕过客户端的应用开始遵循系统代理。
日常用规则，排查时暂时切换
如果同一节点在全局模式下能打开目标网站，而规则模式下失败，应检查规则命中记录、策略组和 DNS 行为。如果两种模式都失败，则继续检查节点连接、本地网络与目标服务本身。切换模式只是定位手段，不应把全局模式当成所有故障的长期解决办法。
需要访问局域网设备或本地业务时，还应留意绕过规则。随意替换整个规则文件可能影响原有的本地访问路径。修改前保留可恢复的配置，尽量只调整与故障相关的条件。
系统代理、TUN 与 DNS：连接成功仍可能漏接应用
Windows 与 macOS 客户端常见系统代理和虚拟网卡接管选项。浏览器通常较容易遵循系统代理，但命令行工具、游戏或自带网络栈的应用可能另用配置。Linux 的桌面环境代理设置与终端环境也可能分开，需要按具体应用检查，而不是只看桌面状态图标。
Android 与 iOS 上，部分代理客户端通过系统提供的 VPN 接口接管流量，系统会显示相应连接标识。这个标识说明接管接口已启用，不代表底层一定使用某种传统 VPN 协议。按应用排除、路由设置和系统限制，仍可能改变实际覆盖范围。
DNS 负责把域名解析为地址。即使网页连接经过代理，域名查询仍可能走向不符合预期的解析器；在需要让查询也沿指定路径发送的场景，这通常被称为 DNS 泄漏。判断时要结合预期策略，不能把任何本地 DNS 查询都直接判定为故障。
浏览器的加密 DNS、系统解析器与客户端 DNS 模块可能同时存在。看到检测页上的解析器名称，也不能单独证明流量路径完整。应结合客户端连接记录、DNS 配置和应用设置，确认查询由谁发出、走哪条路径。不要为了让检测结果看起来一致，就盲目关闭证书校验或复制来源不明的 DNS 配置。
从导入到验证：新手操作检查单
把上述名词放回实际流程，排查会更直接。每完成一个环节就核对结果，不要同时换节点、改规则和改 DNS，否则难以知道是哪项改动起了作用。
- 确认面板状态。查看套餐是否可用，再获取适合当前客户端的订阅入口。VPNWorth 账户只需用户名与密码，无需邮箱地址；客户端与订阅信息以登录后面板提供的内容为准。
- 核对客户端来源与兼容性。从面板指引的渠道获取客户端，确认平台、版本和协议支持。不要仅凭软件名称相似就导入相同格式。
- 导入并更新配置。按客户端说明粘贴订阅或使用支持的导入方式。看到节点列表后，检查是否还有解析错误，避免把部分导入当成完整成功。
- 选择策略并启用接管。选定节点或策略组，开启所需的系统代理或虚拟网卡功能。需要系统授权时先阅读提示，确认授权对象就是正在使用的客户端。
- 验证目标应用。先检查浏览器出口，再打开真正需要使用的应用。失败时查看连接记录，区分订阅获取失败、服务器连接失败、规则直连和目标服务拒绝。
- 保留可恢复状态。确认可用后再逐项调整规则或 DNS。分享诊断信息前遮盖订阅令牌、认证内容及个人信息，必要时通过面板工单提交问题。
- ✅ 列表里有节点：说明配置已被读取，还需要验证连接。
- ✅ 浏览器出口符合预期：说明这次浏览器请求使用了相应路径。
- ❌ 全局模式已开启：不能据此认定所有应用和 DNS 都已接管。
- ❌ 节点名称写着专线：不能据此推断任何目标网站都能正常访问。
记住这条关系即可：订阅提供配置，客户端执行配置，节点承接连接，协议负责通信，规则决定去向，接管方式决定覆盖范围。遇到问题时沿这条链逐层检查，比反复切换开关更容易找到原因。更多操作说明可查看使用教程与使用手册。