这份 VPN新手名词速查先给结论：订阅负责提供配置，节点是连接入口，线路决定经过哪里，协议决定如何传输，分流决定哪些请求走代理。它们属于不同层面，不能拿其中一个名称判断整套服务的速度或隐私表现。
日常所说的“VPN 客户端”也可能实际是代理客户端。传统 VPN 通常建立网络层隧道；代理工具则可能通过系统代理或虚拟网络接口接收流量。界面都能显示“已连接”，但接管范围不一定相同。理解这个区别，比记住一串协议缩写更实用。
订阅、订阅链接与节点
“订阅”有计费和配置两种含义。月订阅描述套餐的有效周期与流量安排；客户端里的“更新订阅”通常指重新获取配置，不等于续费。看到更新成功，只能说明客户端拿到了可读取的内容，不能据此判断套餐余额或每条线路都能连接。
订阅链接是获取配置的地址，可能包含账户专属凭据。客户端通过它取得节点地址、端口、认证信息，有时还会取得规则和策略组。它不是用来浏览网页的普通网址，也不应贴到公开论坛或不明转换网站。需要求助时，应遮住完整链接、令牌和二维码。
节点是客户端中可选择的连接配置。名称里的地区通常指服务标注的出口地区，但入口位置、实际路由与出口位置并不是同一件事。多个名称也可能共用部分基础设施，因此节点条目多，不代表独立物理线路就多。
| 名词 | 实际作用 | 常见误解 |
|---|---|---|
| 套餐订阅 | 规定服务周期、流量与账单安排 | 更新配置就等于续费 |
| 订阅链接 | 向客户端提供可更新的配置 | 任何客户端都能直接读取 |
| 节点 | 保存连接某个入口所需的参数 | 名称中的地区就是完整传输路径 |
| 策略组 | 组织节点并提供手动或自动选择方式 | 自动选择一定符合当前用途 |
专线、中转与直连：看的是路径
线路描述数据如何从本地网络到达出口。直连通常指客户端直接连接境外服务端，不经过服务商安排的境内中转入口；它依然经过运营商网络，并不是设备与服务器之间存在一根独占网线。表现会受本地接入、运营商互联和国际出口拥塞影响。
中转通常先连接较容易到达的入口，再由入口转发到后续节点。它可能改善某段路径，也可能增加转发开销。单看“中转”名称，无法判断后半程是否拥挤，更无法保证所有时间段都有相同体验。
IEPL 是国际以太网专线，强调运营商提供的专用承载链路。订阅服务若使用 IEPL，通常是在整体路径中的某一段使用这种承载，不意味着家庭接入、服务出口到目标网站的全部路段都被专线覆盖。专线也不等于独享带宽，不能仅凭标签推导出稳定性保证。
对于会议、远程桌面和视频播放，连续使用时的丢包、抖动、缓冲情况，比节点列表里一次延迟测试更有参考价值。延迟测试的目标和方式可能不同，也不一定包含目标网站的完整访问路径。
常见协议名称：看兼容，不排输赢
协议规定客户端与服务端怎样交换数据、认证与封装。订阅格式则规定配置如何表达。客户端能读取某种订阅格式，不代表内核实现了配置中的所有协议；同一协议在不同客户端版本中的可用功能也可能不同。
- Shadowsocks：加密代理协议，不是传统网络层 VPN。具体实现支持的加密方法与功能需要匹配，不能只看名称相同就认定兼容。
- VMess：用于代理通信的协议，客户端与服务端需要正确匹配认证和传输配置。它不是线路类型，也不是速度等级。
- Trojan：通常依托 TLS 保护通信。服务器名称与证书校验属于重要配置，遇到证书错误应核对配置，而不是习惯性关闭校验。
- VLESS：协议本身不提供通用的流量加密，安全属性依赖配套的传输安全机制，例如 TLS 或 REALITY。不能把一个名称当成完整安全方案。
- Hysteria2 与 TUIC：基于 QUIC 的代理方案，依赖 UDP 传输。在限制或阻断 UDP 的网络中可能无法连接，不能用别的 TCP 应用正常来排除这种问题。
以上是术语说明，不代表 XixiVPN 提供列表中的所有协议。实际支持范围应以用户面板提供的配置、客户端说明和当前版本为准。不要为追逐某个协议名称，随意把订阅交给来源不明的工具转换。
全局、规则与 TUN：谁接管哪些流量
规则模式会按域名、目标地址、进程或其他条件决定直连、代理或拒绝。具体支持哪些条件，取决于客户端与内核。常见配置让本地服务直连、需要代理的服务走指定策略组，但规则是否生效还取决于匹配顺序和最终兜底规则。
全局模式通常表示把已经进入代理内核的请求统一交给某个代理策略，并不必然代表整个设备的全部流量。若只有系统代理开启，不遵循系统代理设置的应用仍可能直接连接。把模式切成全局，却没有把目标应用的流量接进来，问题可能仍然存在。
TUN 是虚拟网络接口接管方式，通常能覆盖更多应用流量，需要相应的系统权限与路由配置。它和规则模式并不互斥：TUN 负责把流量接进来，规则负责决定流量出去的方向。是否接管 DNS、是否处理 IPv6，也要看具体配置。
判断原则：先确认流量是否进入客户端，再检查匹配了什么规则，最后检查被选中的节点。不要一遇到应用连接失败，就同时更换协议、线路和分流模式。
客户端导入：按顺序完成检查
桌面端常见系统代理与 TUN 两类接管方式，开机启动也不等于自动连接，相关权限和配置仍需确认。移动端常通过系统提供的 VPN 接口建立接管通道，系统显示 VPN 标识不代表客户端使用的是某一种传统 VPN 协议。不同平台的菜单名称不必完全一致。
- 从可信入口获取客户端。先核对操作系统和版本要求。XixiVPN 的客户端入口位于用户面板；iOS 获取链接需要有效套餐，其他平台登录后即可获取客户端。
- 选择匹配的配置格式。在面板按客户端指引复制订阅链接，再使用客户端的导入或添加配置功能。不要把登录页面地址误当作订阅地址。
- 确认配置已加载。检查是否出现节点和策略组。解析失败应先排查格式与兼容性；节点已出现但无法连接，则继续检查认证、网络与套餐状态。
- 开启合适的接管方式。按指引启用系统代理或 TUN，并选择可用节点。若有其他网络接管工具同时运行，先排查路由或端口冲突。
- 验证实际用途。既检查网页，也检查原本需要使用的应用。可到我的 IP核对出口，但不能把浏览器的结果当成所有应用的结果。
- 保留可复查的信息。记录出问题的应用、所用模式、错误提示与发生环境。提交支持请求前，清除日志中的账户凭据和订阅地址。
DNS 泄漏与匿名无日志的边界
DNS 用于把域名解析为地址。所谓 DNS 泄漏，通常指本应按隧道或代理方案处理的解析请求，却通过预期之外的本地网络路径发出。规则中明确安排的本地直连解析，不一定就是泄漏；判断前必须先知道配置预期。
浏览器可能启用加密 DNS，客户端也可能接管 DNS，两者叠加时需要确认实际解析路径。测试页面能提供线索，却不能单凭出现某个解析器名称就下最终结论。还应结合浏览器设置、客户端 DNS 模式和 IPv6 路由检查。
XixiVPN 的隐私口径是“匿名无日志”。这属于服务策略陈述，不代表访问网站时登录的账户、浏览器 Cookie 或设备特征会自动消失。订阅凭据保护、系统更新和网站账户管理仍需分别处理。
- ✅ 导入前确认客户端来源，订阅链接仅交给可信客户端。
- ✅ 连接后分别验证出口、目标应用与解析路径，不只看状态图标。
- ✅ 排查时逐项改变设置，记录变化后是否改善。
- ❌ 不把“全局模式”理解成所有流量必然已被接管。
- ❌ 不把专线标签、协议名称或无日志策略理解成绝对保证。
记住这条顺序即可：套餐决定使用条件，订阅交付配置，客户端接管流量，规则选择去向，节点与线路完成传输。需要继续操作时，可先看新手指引；要比较入口和地区，再查看线路列表。先确定问题属于哪一层，再改对应设置，通常更容易得到可复查的结果。