VPN 常见名词解释:订阅、节点、IEPL、全局与规则模式

这篇 VPN 常见名词解释，从订阅、节点、IEPL、全局与规则模式讲起。它们分别对应配置来源、连接目标、传输路径和流量选择，不能互相替代。理解这些层次，比记住客户端里的每个开关更有用。

日常说的 VPN 有时也泛指代理订阅服务。严格来说，网络层隧道与应用层代理不是同一种实现。客户端显示“已连接”，可能只代表代理入口启动，并不说明所有软件都已通过该入口访问网络。

订阅链接、套餐与客户端配置

套餐是计费与用量安排，订阅链接是获取配置的入口。付费套餐决定可用流量及其重置方式；客户端中的“订阅”通常指一组可更新的连接配置。两者同名，但不是同一件事。流量包也可能通过订阅链接导入，并不因此变成按月计费。

客户端访问订阅链接后，会读取服务器地址、端口、协议参数，以及可能附带的策略组和规则。部分链接只提供节点清单，部分提供完整配置，具体取决于服务端输出格式。更新订阅主要是刷新配置，不会替你重置套餐流量。

订阅格式必须与客户端内核兼容。同一链接在不同客户端里可能需要选择对应格式；导入失败不一定意味着账户异常，也可能是配置语法或协议支持不匹配。应从用户面板的说明或使用教程确认导入方式，不要随意把链接交给陌生转换网站。

订阅链接常含账户专属凭据，应按密码处理。分享截图前遮住完整链接、二维码和令牌；怀疑泄露时，通过面板提供的功能重置，或向工单客服确认处理方式。

节点、入口与出口 IP

节点是客户端可选择的连接配置，不一定对应独占服务器。多个节点可能共用入口，也可能最后使用相同出口。节点名称里的地区通常用于提示出口位置，但名称本身不是网络路径或地理位置的验证结果。

入口是设备首先连接的服务端地址；出口是目标网站看到的公网来源地址。存在中转时，入口与出口可能位于不同地区。因此，客户端连接地址的所在地与网站识别到的地区不同，并不必然是配置错误。

出口 IP 的地区信息也可能因数据库不同而出现差异。目标平台还可能结合账户资料、支付地区、历史登录与设备环境判断访问资格。切换地区节点只能改变部分网络条件，不能保证第三方服务的账户资格或内容可用性。

策略组则是选择节点的方法。手动选择由用户决定出口；自动选择通常按探测结果挑选候选项；故障转移在当前候选不可用时尝试其他项。频繁自动切换可能改变会话出口，需要稳定登录环境时，应先了解策略组行为。

IEPL 专线、中转与直连

这些词描述传输路径，不是加密协议。直连通常指设备直接连接境外服务端；中转在路径中加入转发环节；IEPL 是国际以太网专线，属于承载网络资源。用于代理服务时，专线一般只是路径中的一段，设备到入口的本地接入仍然存在。

中转不等于专线，也不一定更慢：它增加了转发环节，却可能绕开质量较差的公网路径。专线也不等于设备到目标网站全程独占，更不能仅凭标签推断晚高峰体验。选择时应查看线路说明，并在自己常用网络和业务场景下验证。

协议、传输与加密分别管什么

协议规定客户端与服务端怎样交换数据和完成认证；传输层决定数据怎样在网络上传送；加密保护相应链路上的数据。客户端能读取某种订阅格式，不代表其内核支持其中全部协议。版本与具体参数同样影响兼容性。

• Shadowsocks：加密代理协议，需要客户端与服务端使用兼容的加密方法和参数。它不是完整的网络层 VPN。
• VMess：具有认证与加密机制的代理协议，可搭配不同传输方式。导入时仍需匹配服务端配置。
• Trojan：通常在 TLS 连接内承载代理流量，需要正确配置服务端名称并校验证书。
• VLESS：轻量代理协议，本身不提供载荷加密，通常结合 TLS 等安全传输配置使用。
• Hysteria2：基于 QUIC 的代理协议，依赖 UDP 网络条件，客户端和服务端须支持对应实现。
• TUIC：同样基于 QUIC，支持流量代理；与 Hysteria2 不是同一协议，配置不能互换。

以上是概念解释，不代表 VPNLet 提供全部协议。“支持 UDP”也不表示所有应用都会自动使用 UDP 代理，还要看规则、接管方式与客户端能力。不要为消除连接报错而随意关闭证书校验；这会削弱对服务端身份的验证。

全局模式、规则分流与 TUN

全局模式决定已被客户端接管的流量如何选择出口，不负责保证接管所有应用。常见代理客户端会把这部分流量统一交给所选代理策略。若某个软件不遵循系统代理设置，它可能根本没有进入客户端，自然也不受全局模式控制。

规则模式按域名、目标 IP、应用进程等条件匹配，将请求交给代理、直连或拒绝策略。规则的处理顺序很重要，较早命中的条件可能决定最终去向。把规则模式理解成“国外代理、国内直连”有助入门，但实际配置往往更具体。

系统代理通常向支持它的应用提供代理地址；TUN 模式则通过虚拟网卡接管 IP 流量，覆盖范围往往更广。是否支持进程识别、UDP、IPv6 与 DNS 接管，仍取决于平台、内核、权限和配置。TUN 与规则模式并不冲突，可以同时工作。

Windows 与 macOS 的部分桌面软件会忽略系统代理，需要应用内单独设置或使用合适的 TUN 配置。Android 与 iOS 常通过系统 VPN 接口承载流量，但分应用能力和后台限制不同。Linux 还需留意终端环境变量、路由与系统解析服务，浏览器可访问不代表命令行工具也已接管。

DNS 解析与泄漏是什么意思

DNS 把域名转换成 IP 地址。DNS 泄漏通常指解析请求没有按预期进入指定链路，而是交给了其他解析器。结果可能是解析行为暴露给非预期网络，或返回与代理出口不匹配的地址，导致访问异常。

但规则模式下的直连解析不一定是泄漏：如果配置本就要求某些域名本地解析，这是策略选择。关键是对照预期路径，而不是看到本地解析器就判定失败。浏览器的加密 DNS、系统解析器和客户端 DNS 功能也可能互相影响。

检查时先确认客户端的 DNS 接管设置，再查看浏览器是否自行使用其他解析服务，并核对 IPv6 路由。可以用 DNS 检测页面辅助观察，但解析器显示的地区不等同于真实传输路径。单次网页检测也不能证明所有应用的解析都符合预期。

延迟、带宽与超时的区别

延迟描述请求往返所需时间，带宽描述链路可承载的数据量，实际吞吐量则受整条路径与业务端限制。低延迟不必然带来更快下载；网页能打开，也不表示持续传输一定顺畅。

客户端的“延迟测试”可能测量 ICMP 响应，也可能通过代理请求某个网址。不同方法的结果不可直接混比，更不等同于目标应用的响应速度。超时则只说明某个操作未在设定时间内完成，原因可能在解析、连接、握手或远端处理阶段。

排错应看日志停在哪个阶段。域名解析失败先检查 DNS；握手失败核对协议、证书和系统时间；连接建立后仍无内容，再检查规则与目标服务状态。不要只根据列表里一个探测结果判断整条线路。

从导入到访问的检查顺序

把术语放回实际操作，可以按“账户与配置 → 节点连接 → 流量接管 → 目标访问”的顺序排查。每次只修改一类设置，保留原配置，避免同时更换协议、节点和 DNS 后无法判断原因。

• ✅ 在用户面板确认套餐状态与剩余流量，区分套餐有效性和客户端订阅更新时间。
• ✅ 从可信入口获取客户端，按其支持的格式导入订阅，确认节点清单已经出现。
• ✅ 手动选择目标地区节点，启动连接，并检查日志是否出现配置或认证错误。
• ✅ 使用规则模式访问目标应用，核对请求命中的策略与实际出口，避免只看连接开关。
• ✅ 某个应用失败时，检查系统代理、应用内代理或 TUN 接管情况，再核对 DNS 与 UDP 需求。
• ✅ 仍无法解决时，通过用户面板工单提供系统、客户端版本和脱敏报错，保留完整订阅链接的私密性。

在 VPNLet，月订阅按开通日每月重置流量；流量包用完为止，永久不过期。选择前可对照套餐价格，线路范围可查阅线路列表。连接故障与第三方账户限制是不同问题，提交用户面板工单时应说明具体表现。

记住这条关系即可：订阅负责提供配置，节点决定连接目标，线路描述传输路径，协议负责双方通信，分流规则决定请求去向。再把 DNS 和流量接管单独检查，客户端里的多数设置就能找到对应位置。