VPN 新手入门，先分清订阅、节点、分流、全局与规则模式：订阅提供配置，节点决定连接目标，模式决定流量走向。它们各管不同环节，不能互相替代。下面按实际配置顺序说明，再给出可执行的检查方法。
从订阅到节点：配置里分别装着什么
订阅链接是获取客户端配置的入口，常带有用于识别账户权限的令牌。客户端请求这个地址后，可能得到节点列表，也可能得到包含策略组、DNS 和分流规则的完整配置，具体取决于订阅格式。它不是普通介绍页面，也不一定能直接交给系统自带的 VPN 设置使用。
节点是客户端能够连接的代理端点，配置里通常包含服务器地址、端口、协议和认证信息。列表中的地区名称往往描述出口地区，但应以服务说明为准；入口、服务器实际位置与出口位置并不总是相同。多个名称也不一定代表完全独立的物理设备。
策略组则是一层选择逻辑。例如，某个组允许手动选节点，另一个组可能按健康检查结果自动选择。导入成功后，如果规则指向的策略组没有选到可用节点，仍可能无法访问。更新订阅主要是刷新配置，不等于恢复套餐权限，也不保证保留所有本地修改。
协议、线路与客户端不是同一件事
协议描述客户端与服务端如何通信；线路描述流量经过什么路径；客户端负责执行配置。行业里常把这类工具统称为 VPN，但代理协议不等于系统级 VPN 协议。应用也可能借助系统 VPN 接口接管流量，因此系统出现 VPN 标记，并不能反推出正在使用哪种代理协议。
| 名词 | 实际作用 | 容易混淆的地方 |
|---|---|---|
| 订阅链接 | 让客户端获取或更新配置 | 不是客户端安装包，也不是网页访问凭证 |
| 节点 | 提供可连接的代理端点 | 名称、数量不能单独说明速度与稳定性 |
| 代理协议 | 约定连接、认证与数据传输方式 | 协议名称不代表线路质量 |
| 线路类型 | 描述直连、中转或专线等网络路径 | 路径标签不是目标网站的访问保证 |
| 规则与策略组 | 决定请求走哪条路径、使用哪个节点 | 切换模式不一定覆盖所有应用流量 |
Shadowsocks 是加密代理协议；VMess、Trojan、VLESS 各有不同的认证与传输设计。Trojan 通常使用 TLS，VLESS 本身不负责加密，安全传输需要看配套配置。Hysteria2 与 TUIC 基于 QUIC，底层依赖 UDP，所处网络若限制 UDP，使用体验可能受到影响。这些区别用于判断兼容性，不适合直接排成速度榜。
客户端必须支持订阅采用的格式、协议与相关传输选项。即使名称里都写着 VLESS，不同传输和安全参数也可能有兼容差异。选择客户端时先看服务提供的适配说明，不要为了追求某个协议名，随意把配置交给陌生的在线转换网站。
直连、中转与 IEPL 专线怎么区分
在线路介绍中，直连通常指设备直接连接境外代理服务器；中转通常先连接入口服务器，再由入口转发到出口。中转多了路径环节，却可能通过更合适的路由改善体验，因此不能简单理解为“跳数多就一定慢”。
IEPL 指国际以太网专线，通常用于描述线路中的跨境承载段。它不表示设备到目标网站的整条路径都在专线上，也不代表公共互联网出口永远没有拥塞。选线时要同时关注本地接入、跨境段、出口网络和目标服务，而不是只看节点名称。
这里还有一个同名陷阱：分流规则里的“直连”，通常指请求不经过代理节点，直接访问目标；它与“直连线路”里的直连不是同一层概念。阅读配置时，先确认讨论的是访问策略还是节点路径。
全局与规则模式：决定请求走向
规则模式按照域名、IP、进程或其他条件，把请求分到直连、代理或拒绝等策略。常见做法是让本地服务直连，把需要国际线路的服务交给代理。规则一般有匹配顺序，前面已经命中的请求，通常不会继续由后面的规则重新决定；最终如何处理还取决于客户端的规则机制与兜底策略。
全局模式通常把客户端已经接管的请求统一交给指定代理策略，适合临时验证规则是否误判。但“全局”不是“整台设备所有流量必定经过代理”。如果桌面端只启用了系统代理，不遵循系统代理设置的应用仍可能直接联网。
TUN 模式通过虚拟网络接口接管更多 IP 流量，常用于覆盖不支持系统代理的程序。它不等于更快，也不天然解决 DNS、路由排除或其他 VPN 冲突。移动端客户端通常借助系统 VPN 接口工作，桌面端则可能分别提供系统代理与 TUN 开关，不能照着另一平台的界面机械操作。
从获取订阅到首次连接的操作顺序
- 确认账户状态。在用户面板核对套餐权限与剩余流量，再进入客户端下载区域。VPNUnit 的客户端入口位于用户面板下载页，平台适配信息以面板为准。
- 获取适配的配置。选择与客户端匹配的订阅格式。若提供一键导入，核对系统即将打开的应用；手动导入则将链接粘贴到客户端的订阅或远程配置入口。
- 检查导入结果。确认配置已启用、节点列表存在、策略组有有效选择。若提示格式错误，先核对格式和客户端版本，而不是反复更换节点。
- 授权并连接。移动端按系统提示允许添加 VPN 配置；桌面端按客户端说明启用系统代理，或在确有需要时启用 TUN。不要同时运行多个会接管流量的网络工具。
- 验证实际业务。访问目标网站，测试登录、页面资源及实际功能。若要核对出口地区，可对比可信的 IP 查询结果，但不要把出口变化当作所有应用均已接管的证明。
订阅链接应按账户凭证保管。不要公开完整链接、二维码或含令牌的截图，也不要粘贴到公开排障帖。若怀疑已经泄露，到面板查看是否支持重置订阅；排障时提供错误类型和脱敏日志即可。更完整的操作入口可查看快速上手。
DNS、出口 IP 与连接验证
DNS 用来把域名解析为可连接的地址。网页请求经过代理，不代表 DNS 查询必然沿同一路径处理；这取决于系统设置、客户端 DNS 模式、分流规则以及应用自身的加密 DNS 配置。DNS 泄漏通常指查询意外绕过预期的保护路径，而不是只要出现本地解析器就一定配置错误。
核对时，先明确期望：国际服务的解析应怎样处理，本地服务是否有意使用本地解析。然后结合客户端日志、DNS 检测结果与实际访问表现判断。检测站显示的是测试条件下观察到的解析行为，不能替所有应用下结论。
出口 IP 也有类似边界。浏览器查询到的地址只能说明这次网页请求的出口；命令行工具、游戏或独立应用可能走不同路径。若应用支持自己的代理设置，应核对它是否使用了正确的本地代理地址，或是否已由客户端接管。
常见故障：先分层，再换节点
- ✅ 订阅无法更新：核对链接是否完整、账户权限是否有效，以及本地网络能否访问订阅地址。更新失败不必然意味着已有节点全部失效。
- ✅ 有节点但无法连接：检查客户端兼容性、系统时间、认证错误和 UDP 支持等条件，再尝试其他适配节点。
- ✅ 浏览器正常，其他应用失败：先查应用是否遵循系统代理、是否有独立代理设置，再考虑 TUN 接管范围，不要直接认定线路故障。
- ✅ 全局可用，规则模式失败：查看目标域名命中了哪个策略组，同时检查解析结果和兜底规则。确认误判后再做最小范围的规则调整。
- ✅ 部分网站正常，目标平台仍报错：核对账户地区、平台政策和错误提示。网络连通与平台授权是不同问题，切换出口不保证获得访问资格。
延迟测试只能反映特定检测方式下的响应，不能替代下载、视频播放或长连接测试。排障时记录所用网络、客户端、模式、节点和错误现象，每次只改一个条件；这样更容易区分本地接管问题、规则问题与线路问题。
新手配置的保留原则
理解这些术语后，选服务时也能问得更具体：支持哪些客户端和订阅格式，线路类型如何说明，配置如何更新，故障如何提交。需要比较使用条件时，可查看套餐说明；遇到配置问题，可从支持页面获取处理入口。