使用 VPN 時，先分清設定來源、連線出口和流量去向。訂閱負責將設定提供給客戶端，節點是可選的連線設定，線路描述流量經過的網路路徑，協定決定通訊方式，分流規則則決定哪些連線要求使用代理。這些概念彼此相關，但不能互相取代。
日常所說的「VPN」也常泛指代理訂閱服務。嚴格來說，系統 VPN 通道與應用程式層級的代理並非同一概念；客戶端是否接管裝置的所有流量，取決於系統權限、執行模式，以及應用程式是否遵循代理設定，不能只看連線圖示判斷。
訂閱、節點與客戶端：各自負責什麼
訂閱連結是取得設定的網址。客戶端連線至該網址後，通常會取得節點清單；部分格式也會包含策略群組、分流規則和 DNS 設定。它不是影音平台的會員訂閱，也不代表連線已建立。成功匯入後，仍須選擇策略、啟動連線，並確認連線要求是否依預期經由代理傳送。
節點是客戶端中的一項連線設定，通常包含伺服器位址、連接埠、驗證資訊與協定參數。節點名稱中的地區通常用來描述出口位置，但名稱只是服務提供者標示的標籤，不能證明實際地理位置。多個名稱可能共用入口或出口，也可能經過不同路徑；節點數量不能直接換算成獨立伺服器數量。
客戶端負責讀取設定並建立連線。訂閱服務提供連線能力，客戶端則提供操作介面與網路處理功能，兩者並不相同。同一項服務可能需要為不同客戶端提供不同的訂閱格式；若直接複製到不相容的軟體，可能會出現錯誤，或有部分設定無法生效。
| 術語 | 實際意義 | 不能據此推斷 |
|---|---|---|
| 訂閱連結 | 提供設定給客戶端的網址 | 匯入後已接管所有應用程式 |
| 節點 | 包含位址與驗證參數的連線選項 | 每個名稱都代表一台獨立實體伺服器 |
| 線路 | 流量從入口到出口經過的網路路徑 | 名稱相同就代表連線表現相同 |
| 協定 | 客戶端與伺服器之間的通訊規則 | 協定越新，在任何網路環境下都越快 |
| 分流規則 | 將連線要求分配給直連、代理或其他策略 | 選擇某地區的節點就會自動改變所有連線要求 |
直連、中轉與 IEPL 專線有何不同
在線路服務的情境中，直連通常指本地網路直接連線至境外接入伺服器，不經過服務提供者另設的中轉入口。路徑較簡單，但實際表現仍會受到本地電信業者、國際出口、目的地網路和使用時段影響。「直連」不代表延遲一定較低，也不代表沒有加密。
中轉是在客戶端與境外出口之間增加轉送環節。客戶端先連線至中轉入口，再由該入口將流量轉送至後續伺服器。這可能改善部分路徑的連線能力或壅塞情況，但也會增加額外環節。入口距離近不代表整條連線速度快，客戶端顯示的測試結果也未必涵蓋連線至最終網站的完整過程。
IEPL 是電信業者提供的國際乙太網路專線服務。用於訂閱服務時，通常表示部分跨區域骨幹路徑採用此類傳輸方式，並非使用者裝置到目標網站的每一段連線都變成專線。家用寬頻、接入節點，以及出口至內容平台的連線仍可能影響使用體驗。
這裡的「直連」有兩種意思：線路介紹中的直連描述服務接入路徑；分流規則中的直連，通常表示該連線要求不經代理，直接透過本地網路存取。看到這個詞時，先確認它出現在哪個設定頁面。
查看不同地區的影音片庫時，還要另外確認出口地區及平台判定的所在地。專線標示不保證一定能觀看特定片庫；平台也可能依帳戶地區、版權範圍和代理偵測結果作出判斷。選擇線路時，應以目標應用程式的實際存取情況為準，而非只比較標籤。
常見協定：先確認相容性，再看連線表現
Shadowsocks、VMess、Trojan、VLESS、Hysteria2 與 TUIC 都可能出現在代理客戶端中，但這些名稱不能任意互換。伺服器使用哪種協定，客戶端就必須支援相應協定及其參數；修改介面中的協定選項，無法自動將現有伺服器轉換成另一種協定。
- Shadowsocks：加密代理協定。客戶端與伺服器必須使用相符的密碼、加密方法及相關擴充設定，不能只看軟體是否標示支援此協定。
- VMess：具備驗證與加密機制的代理協定，可搭配不同傳輸方式使用。傳輸層設定也必須與伺服器一致。
- Trojan：通常透過 TLS 傳輸代理流量。憑證、伺服器名稱與驗證設定都會影響連線是否正常；不宜透過關閉憑證驗證來排除錯誤。
- VLESS：輕量代理協定，本身不提供傳輸加密，通常搭配 TLS 或 REALITY 等安全層部署。只看到 VLESS 名稱，無法判斷完整的傳輸保護方式。
- Hysteria2 與 TUIC：以 QUIC 為基礎的代理方案，會受到 UDP 網路環境影響。若網路限制 UDP 或路徑品質不佳，未必比以 TCP 為基礎的方案更適合。
不要只根據協定名稱排定固定速度名次。實作版本、網路封包遺失、壅塞控制、伺服器負載和連線路徑都可能影響結果。對新手來說，較穩妥的做法是先確認官方推薦的客戶端能完整匯入設定，再於相同網路和相近時段比較目標應用程式的使用表現。
規則、全域與 TUN：決定流量如何傳送
規則模式會依網域、目標位址、程序等條件套用策略，實際支援的條件視客戶端而定。常見設定會讓本地服務直連，並讓需要代理的服務使用選定策略。規則通常有套用順序，前面的匹配結果可能優先於後續設定，因此不能只確認規則清單中是否有某個網域。
全域模式通常會將已納入客戶端處理範圍的連線要求交由統一的代理策略處理。這種模式適合短暫排查規則問題，但不代表所有裝置流量一定都會經過代理。忽略系統代理設定的應用程式、未被接管的 UDP 流量或獨立的網路環境，仍可能不經客戶端傳送。
TUN 模式透過虛擬網路介面接管流量，常用來涵蓋不遵循系統代理設定的應用程式。它與規則模式並不互斥：流量可以先由 TUN 接收，再依規則決定直連或使用代理。啟用後仍須檢查路由、DNS 與權限，也可能與其他通道軟體衝突。
初次使用時，建議先採用服務文件推薦的規則設定。如果只有某個應用程式無法存取，再確認它是否納入代理處理範圍；不要為了單一應用程式長期將所有連線要求切換到同一出口，否則本地網站、企業資源或付款頁面也可能受到影響。
匯入訂閱連結：依客戶端逐步檢查
- 從可信任的來源取得客戶端。參考快速入門選擇相應作業系統的客戶端，再前往使用者面板下載頁面查看相關指引。不要把來路不明的修改版客戶端當成必要步驟。
- 複製相應格式的訂閱網址。在客戶端選擇從 URL 匯入或新增訂閱，不要把完整網址填入單一節點的伺服器欄位。各軟體的操作名稱可能不同。
- 更新設定並查看結果。確認節點清單已載入，並留意錯誤訊息。網頁回傳內容、失效的驗證資訊或不相容格式，都可能導致匯入失敗；反覆切換節點無法修復設定解析錯誤。
- 選擇策略並啟動連線。依照建議設定啟用系統代理或通道權限。若只選取節點而未啟動網路接管，瀏覽器可能仍會使用原有連線。
- 使用目標應用程式進行驗證。先查看IP 檢測頁面顯示的出口，再開啟實際要使用的服務。IP 位址變更只是檢查項目之一，不能據此斷定所有應用程式與 DNS 都已依預期處理。
桌面客戶端可能分別控制系統代理與 TUN；行動裝置客戶端通常透過系統提供的 VPN 介面接管連線，但仍可能套用分流設定。在 Linux 環境中，也要留意命令列程式是否讀取代理環境變數，以及桌面代理設定是否對目前的程式生效。不同平台的介面看起來相似，不代表接管範圍完全一致。
更新訂閱通常是重新取得設定，不是重新啟用服務。更新是否會覆蓋本機修改，取決於客戶端；若需要自訂規則，建議優先使用軟體支援的覆寫或獨立規則功能，以免更新後遺失修改。
DNS 洩漏與連線失敗：從現象找出原因
DNS 負責將網域名稱解析為位址。所謂 DNS 洩漏，通常是指原本應依通道策略處理的查詢，卻交由預期以外的解析器處理，或經由預期以外的路徑傳送。這可能暴露查詢的網域名稱，但不等於 HTTPS 頁面內容遭到直接讀取。
瀏覽器的加密 DNS、系統解析器與客戶端 DNS 設定可能各自運作。加密 DNS 保護的是查詢傳輸過程，不會自動確保查詢經由代理傳送。檢測頁面顯示的解析器地區不同，也不能單憑這點判定有 DNS 洩漏；公共解析器的分散式部署與地理資料庫誤差都可能影響顯示結果。
- ✅ 訂閱無法更新：先確認錯誤是網路逾時、驗證失敗還是格式不相容，再核對網址是否完整，並查看服務文件。
- ✅ 節點可以連線但網頁無法開啟：檢查 DNS、系統代理與策略群組，並確認客戶端記錄中是否出現目標連線要求。
- ✅ 瀏覽器可用但應用程式無法使用：確認應用程式是否遵循系統代理設定；必要時參照文件評估 TUN，而非直接認定節點失效。
- ✅ 只有特定網站異常：檢查規則匹配、帳戶地區與平台限制，不要只看客戶端顯示的延遲。
- ❌ 請勿將訂閱網址或完整設定貼到公開測試網站；求助時應遮住截圖中的驗證資訊。若資訊外洩，應透過服務支援的方式重設憑據。
每次只調整一類設定，並保留原始設定。排查時可以暫時切換規則模式與全域模式進行比較，但測試後應恢復合適的策略。若要提出支援需求，提供作業系統、客戶端、網路環境和具體錯誤即可；記錄檔也應先檢查並隱藏敏感欄位。