订阅、节点、协议这三个词，几乎是新手第一次打开客户端时同时撞上的三堵墙：界面上要填一条订阅链接，下面列着一排节点，每个节点后面还挂着 SS、VMess、Trojan 之类的缩写。这篇 VPN 新手名词速查按「从拿到链接到真正能用」的顺序，把订阅、节点、线路类型、协议、分流与全局模式逐个拆开，每个词给一句定义和一个常见误解，末尾附一张速查表和一份首次配置的检查清单。
订阅链接：一条地址里装了什么
订阅链接（subscription URL）本质上是一个 HTTPS 地址，打开它返回的不是网页，而是一份节点清单：可能是 Base64 编码的多行节点串，也可能是某个客户端专用的 YAML 或 JSON 配置。客户端里的「添加订阅」做两件事——把这条地址存下来，解析出清单里的几十条节点填进列表。
它和「手动添加节点」的区别在维护方式。手动添加要逐项填地址、端口、密码、加密方式、传输层，一个字符错了就连不上；订阅是批量下发，服务端增删线路之后，客户端点一次「更新订阅」就能同步。也正因为如此，订阅链接要当成凭据保管：拿到这条地址的人，可以把同一批节点导入自己的客户端。
换过线路、客户端提示节点全部超时、或者隔了很久没打开客户端，都先更新订阅再排查。很多「节点全挂」其实是本地列表过期，服务端早就换过入口地址了。
订阅里几个字段分别管什么
- 地址与端口：节点的入口，连不上时第一个要核对的就是这两项。
- UUID 或密码：身份凭据，错一位就会被服务端直接拒绝。
- 传输层：TCP、WebSocket、gRPC 等，决定流量以什么形式发出。
- TLS 与 SNI：是否套一层 TLS，以及握手时声明的域名。
- 加密方式：Shadowsocks 一类协议会单独列出，如 AEAD 系列算法。
新手最容易忽略的是传输层和 TLS 这两项：同一个节点，地址和端口都对，但该用 WebSocket 的地方填了 TCP，表现就是一直转圈，而不是明确报错。
节点与线路：直连、中转、专线的区别
节点（node）是客户端列表里可选的一条出口，线路（route）是流量从本地到落地服务器实际走的那条路径。日常说话时两个词经常混着用，但讨论「为什么这条快、那条慢」时，真正起作用的是线路。
| 线路类型 | 流量路径 | 特点 | 适合 |
|---|---|---|---|
| 直连 | 本地 → 落地服务器，走公网 | 结构简单，延迟取决于公网质量，晚高峰波动明显 | 日常浏览、对成本敏感 |
| 中转 | 本地 → 入口节点 → 落地服务器 | 入口就近接入，回程走优化路径，高峰期更稳 | 跨洲访问、晚间观影 |
| IEPL 专线 | 本地 → 专线入口 → 落地，不走公网 | 延迟与丢包稳定，成本最高 | 直播、语音会议、长连接 |
这张表里没有绝对的好坏。专线的价值是稳定，不是「更快」；同一条公网直连线路在凌晨可能比专线还快，只是晚高峰波动大。把两者混为一谈，就会出现「买了专线怎么没提速」的落差。
列表里几十条节点如果都指向同一台落地服务器，切换只是换了入口，落地拥塞时照样慢。判断顺序应该是先看落地位置，再看线路类型，最后才看列表长度。
以 VPNJM 为例，线路覆盖 100+ 国家、共 220+ 条，某一条具体是直连、中转还是 IEPL 专线，在线路列表里会单独标注，选之前先看清这一列，比反复试节点省时间。
协议：Shadowsocks、VMess、Trojan、VLESS 怎么分
协议决定客户端和服务器之间怎么加密、怎么握手。列表里 SS、VMess、Trojan、VLESS、Hysteria2 这些缩写就是协议名。协议选错，地址和端口再对也连不上；传输层或 TLS 配错，则常表现为连上了却没有流量。
| 协议 | 传输基础 | 关键特点 | 容易踩的点 |
|---|---|---|---|
| Shadowsocks | TCP / UDP，AEAD 加密 | 结构轻、开销小、配置项少 | 不支持原生多路复用 |
| VMess | TCP / WebSocket / gRPC 等 | 传输层选择多，可叠加 TLS | 校验客户端与服务端时间，偏差过大会认证失败 |
| VLESS | 同上，通常配 TLS 或 Reality | 本身不做内置加密，开销比 VMess 小 | 外层 TLS 没配好就没有加密保护 |
| Trojan | TLS，通常走 443 端口 | 流量形态与普通 HTTPS 一致 | 需要域名和有效证书 |
| Hysteria2 / TUIC | QUIC，基于 UDP | 丢包严重时表现好，拥塞控制较激进 | UDP 受限的网络里可能完全不通 |
新手不需要背参数，实际的选择顺序是：先确认客户端支持哪种协议，再看服务端提供了哪些，最后才比较线路质量。同一台服务器可以同时开几种协议，哪个能连上就用哪个，不必纠结名字听起来是否高级。
各平台客户端对协议的支持并不一致：桌面端通常最全，移动端受系统网络扩展限制，部分基于 UDP 的协议在特定版本上不可用；路由器固件往往只支持其中一两种。导入订阅之前先确认客户端能识别清单里的协议，比导入之后再逐条试要省事。
值得关注的是协议有没有走 TLS、证书是否有效、客户端版本是否过旧，而不是名字听起来是否唬人。VLESS 单独使用时并不自带加密，安全性来自它外层的那层 TLS。
分流规则、全局模式与 DNS 泄漏
模式（mode）决定一条流量到底走不走代理，常见三档：全局模式把全部流量送进节点；规则模式按规则表判断，命中的走节点、其余直连；直连模式相当于临时关掉代理。排查问题时用全局，日常用规则。
规则表怎么写
规则按类型匹配，常见的有 DOMAIN（精确域名）、DOMAIN-SUFFIX（域名后缀）、IP-CIDR（网段）、GEOIP（按国家或地区的 IP 库）和 PROCESS-NAME（按进程，一般只有桌面端支持）。规则从上往下匹配，先命中先执行，所以把例外写在前面，比在末尾堆更多规则有用。移动端还有按应用分流的一层设置，可以只让指定应用走节点。
DNS 泄漏是怎么回事
DNS 泄漏指的是域名解析请求没有走代理隧道，而是交给了本地网络。它带来两个后果：一是访问了哪些域名对本地链路上的人是可见的；二是 CDN 会按解析来源分配节点，可能把你指到远处的服务器，表现就是「明明连上了却很慢」。检查方法有两个：看客户端里 DNS 是否设置为跟随代理或远程解析；连上之后打开 IP 查询，确认解析服务器归属地与出口 IP 的地区是否一致。
它会把本地网银、公司内网系统一起绕出去，部分服务会因此触发风控或直接拒绝登录。除非正在排查问题，日常保持规则模式即可。
速查表：十个最常被问到的名词
下面这张表按「配置时会看到、出错时会用到」的顺序排列，左边是名词，中间是一句话解释，右边是新手最容易产生的误解。
| 名词 | 一句话解释 | 常见误解 |
|---|---|---|
| 订阅链接 | 批量下发节点清单的地址 | 当成账号密码保存，或随手转发给他人 |
| 节点 | 客户端列表里可选的一条出口 | 以为条数越多，线路质量就越好 |
| 入口 / 落地 | 本地最先连上的服务器 / 流量最终出网的服务器 | 两个词混着用，排查时说不清哪一段慢 |
| IEPL 专线 | 不走公网的国际专线 | 以为专线一定比公网直连更快 |
| 传输层 | TCP、WebSocket、gRPC 等承载方式 | 只核对地址端口，忽略了传输层这一项 |
| TLS / SNI | 外层加密与握手时声明的域名 | 以为填了域名就等于配好了证书 |
| 分流规则 | 按域名、IP、进程决定走不走代理 | 以为开了代理，所有流量就都走节点 |
| DNS 泄漏 | 解析请求没有走代理隧道 | 以为只有 IP 地址会暴露，域名无所谓 |
| UDP 转发 | 节点是否允许 UDP 流量通过 | 以为和游戏、语音通话没有关系 |
| 流量重置 | 按开通日每月重置，不是自然月 | 以为每月 1 号自动清零 |
首次配置的检查清单
把上面的名词对上号之后，第一次配置按这个顺序走一遍，绝大多数「连不上」和「连上没速度」都能在几步内定位。
- ✅ 先更新订阅，确认列表不是过期缓存。
- ✅ 逐项核对协议、端口、传输层，三项与下发的配置一致。
- ✅ 打开远程解析或跟随代理的 DNS 设置，减少泄漏。
- ✅ 用规则模式起步，只让需要的域名走节点。
- ✅ 连上后打开 IP 查询，确认出口地区与所选节点一致。
- ❌ 不要靠「把所有节点试一遍」判断质量，先看落地位置与线路类型。
- ❌ 不要在全局模式下登录本地网银或公司内网系统。
- ❌ 不要把「能打开网页」当成唯一验证标准，分应用、分域名的结果可能不同。
一句话串起来：订阅是名单，节点是出口，线路是路径，协议是说话方式，模式决定谁走这条路。第一次配置时按这个顺序检查，比反复更换节点更容易找到问题出在哪一层。
名词本身不难，难的是它们在同一个界面上同时出现。下一次客户端里再冒出看不懂的缩写，可以先判断它属于哪一层：是名单（订阅）、是出口（节点与线路）、是说话方式（协议），还是路由规则（模式与分流）。归到层里，再对照速查表，多数疑问当场就能解开。