VPN新手名词速查，先抓住一条关系：订阅提供配置，节点是连接入口，协议决定通信方式，分流决定请求走哪条路。连接成功却打不开网站，往往需要沿着这条关系排查，而不是反复更换客户端。
日常所说的 VPN 客户端，可能是系统级隧道工具，也可能是借助系统网络接口接管流量的代理客户端。两者不应仅凭名称混为一谈。下面讲的是通用配置概念，不代表 VPNWish 提供文中提及的所有协议或客户端功能；实际支持范围以面板与使用教程为准。
订阅链接与套餐不是同一个概念
套餐是服务权益，通常涉及流量、计费周期和使用条件。订阅链接则是客户端获取配置的地址。它可以返回节点列表，也可能同时包含策略组、分流规则和 DNS 设置，具体取决于服务端输出格式及客户端支持能力。
“更新订阅”通常是重新拉取配置，不等于续费，也不代表当前连接已经切换。有的客户端会保留原来选中的节点；有的需要重新选择策略组。更新之后，应该检查节点列表是否变化、配置是否启用，再确认当前出口。
订阅链接常带有访问凭据，应像密码一样保存。向客服提供截图或日志前，遮住完整链接及其中的令牌。若已经公开，优先使用面板提供的重置功能，并更新各设备上的配置。
同一个链接未必适合所有客户端。客户端可能接受完整配置文件，也可能只接受节点分享链接。导入时提示格式错误，应先核对教程中的客户端名称与订阅类型，不要把链接交给来源不明的在线转换站处理。
节点、线路、出口分别指什么
节点通常是客户端里可选的连接配置，里面包含服务器地址、端口、认证信息与协议参数。线路描述数据经过的网络路径。出口则是目标网站看到的公网地址及其对应网络位置。它们相关，但不是同一个东西。
一个名称带有“日本”的节点，可能先接入本地或邻近地区的入口，再通过中转抵达日本出口。因此，入口地址所在地、节点标签与网站识别出的出口地区可能不同。标签可以帮助选择，但不能替代实际连接后的检查。
| 名词 | 主要作用 | 不能据此推断 |
|---|---|---|
| 订阅 | 向客户端分发节点或完整配置 | 导入成功不等于已经连接 |
| 节点 | 提供具体连接参数 | 名称不等于实时可用状态 |
| 线路 | 承载入口至出口的传输路径 | 类型不等于实际应用速度 |
| 出口 | 作为访问目标服务时的公网身份 | 地区匹配不等于获得内容访问权限 |
| 策略组 | 把手动选择、自动检测或故障切换组织起来 | 选中组名不一定固定到某个节点 |
选择时先看目标服务需要哪个地区，再比较相应节点的实际表现。不要只追求列表里的最低延迟：入口探测很快，后续出口拥塞时，网页和视频仍可能缓慢。反过来，延迟稍高的节点也可能更适合持续下载。
IEPL 专线、中转与直连怎么区分
直连通常指客户端直接连接境外服务端，不额外经过服务商安排的代理中转入口。它仍会经过运营商路由和互联网交换网络。“直连”不是物理上的一跳到达，也不意味着路径永远最短。
中转是在客户端与最终出口之间加入转发环节，用于组织接入路径、跨地区传输或连接管理。路径安排得当可能改善体验；若入口拥塞或绕路，也可能拖慢连接。因此，不能简单断言中转一定优于直连。
IEPL 通常指国际以太网专线，可作为服务商网络中的承载链路。产品标注使用 IEPL，并不表示从用户设备到目标网站的整条路径都属于专线。家庭宽带、无线网络、入口接入与最终网站响应，仍会影响体验。
把线路类型当作筛选信息，不当作速度保证。在实际使用时段，用同一个网站或应用比较加载、播放与断线情况；只改变节点，保留其他条件，才能判断差异来自哪里。
协议与客户端内核是什么关系
协议约定客户端与服务端如何认证、传输和保护数据。客户端内核负责实现这些协议，并处理规则匹配、连接复用等工作。界面看起来相似的客户端，支持的协议、传输参数和配置格式可能完全不同。
- Shadowsocks：加密代理协议，常用于转发 TCP 与 UDP 流量。能否使用某种加密方法，需要客户端与服务端共同支持。
- VMess：带认证的代理协议。系统时间异常可能影响认证，排查时应确认设备时间正确，而不是只重置密码。
- Trojan：通常使用 TLS 保护客户端与服务端之间的连接。证书校验和服务器名称设置都属于关键参数。
- VLESS：本身不提供载荷加密，常与 TLS 或 REALITY 等安全机制配合使用。不能把协议名称直接等同于加密方案。
- Hysteria2 与 TUIC：基于 QUIC，依赖 UDP 网络可达性。若当前网络限制 UDP，相关节点可能无法连接。
协议新旧不等于线路优劣。可达性、服务端配置、承载路径与客户端实现都会影响结果。导入失败时先查兼容性；连接失败时再查网络、凭据和传输参数。不要为了消除报错，随意关闭证书验证。
TLS 可以保护设备与服务端之间的连接，但不能替代目标网站自身的 HTTPS。访问网站时仍应检查地址和证书提示，也不能将加密连接理解为对所有隐私风险的统一解决方案。
规则分流、全局模式与 TUN
规则模式按照域名、地址、进程或地区规则，把请求交给不同策略：直接连接、代理连接或拒绝。规则通常按顺序匹配，所以一条过于宽泛的前置规则，可能让后面的细分规则失效。
全局模式通常把客户端接管到的请求统一交给所选代理策略，适合临时判断问题是否来自分流。但“全局”不必然覆盖设备上的全部应用：如果客户端只设置了系统代理，不遵循系统代理的应用仍可能直连。
TUN 是利用虚拟网络接口接管 IP 流量的一种方式，不是节点协议，也不是出口地区选项。开启它常需要额外权限，并可能与其他 VPN、路由工具或网络过滤软件冲突。DNS 是否被接管，还要看具体配置。
日常使用可先采用服务提供的规则配置。某个应用异常时，临时切换全局进行对照：若全局正常而规则模式异常，重点查规则命中、策略组和 DNS；若都异常，再检查节点和应用自身要求。测试结束后恢复适合日常使用的模式。
DNS 解析与泄漏怎样理解
DNS 把网站域名转换为可连接的地址。域名解析成功，不代表后续连接一定成功；解析到不合适的地址，也可能让同一节点下的某个网站单独出问题。浏览器、系统与代理客户端还可能各自持有缓存。
所谓 DNS 泄漏，通常是指解析请求没有按预期走受控路径，而是交给了其他解析器。这会让相关解析方看到查询的域名，但不能直接等同于其看到了 HTTPS 网页正文。是否构成泄漏，应结合预期策略判断，不能只凭出现本地解析器就下结论。
浏览器的安全 DNS、系统 DNS 与客户端 DNS 设置需要一起检查。泄漏测试显示的是测试期间观察到的解析出口，不是完整隐私审计。若使用按地区分流，本地站点与国际站点采用不同解析路径也可能是预期行为。
不要同时修改系统 DNS、浏览器设置和客户端规则。每次只改一个环节，记录修改前后的表现；否则即使恢复访问，也很难确认真正原因。
从导入到排查的操作顺序
知道名词之后，实际操作应把“获取配置”“启用连接”“验证应用”分开。VPNWish 用户登录后获取订阅；除 iOS 外，登录即可下载客户端，iOS 下载需有效套餐。客户端入口见使用教程，不要把订阅链接当成安装包。
- 核对平台与客户端。桌面系统可能需要授权网络扩展或虚拟接口；移动系统通常通过系统 VPN 配置授权。权限弹窗的名称可能不同，以当前系统提示和教程为准。
- 导入对应配置。使用客户端的订阅或配置导入入口，等待更新完成。先检查是否生成节点列表，再启用这份配置。
- 选择出口并连接。明确策略组实际选中的节点。自动选择组可能自行更换出口，需要固定地区的场景应注意这一点。
- 验证实际应用。先访问普通网页，再打开目标服务。网站地区还可能受账号、授权、缓存与风控影响，不能只看公网地址。
- 保留必要诊断信息。记录系统、客户端版本、节点名称、错误提示与发生场景。分享日志时遮住凭据，联系支持入口进一步核对。
- ✅ 导入报错：先核对订阅格式和客户端兼容性，不急着换线路。
- ✅ 已连接但网页异常：检查当前策略、DNS 与系统时间，再比较其他节点。
- ✅ 只有某个应用异常：确认它是否遵循系统代理，以及是否需要额外流量接管。
- ❌ 不把测速延迟、节点名称或线路标签当作应用访问成功的保证。
最后记住这套分工：订阅负责交付配置，协议负责通信，节点与线路负责连接路径，规则负责请求去向，DNS 负责域名解析。按层检查，比同时重装客户端、清空规则和修改网络设置更容易找到原因，也更方便向支持人员描述问题。