这份 VPN新手名词速查，先把关系串起来：套餐决定使用额度，订阅链接把配置交给客户端，节点提供连接入口，线路描述传输路径，协议约定通信方式，分流决定哪些请求走哪里。看懂这条链，比逐项修改高级设置更有用。
日常语境中的“VPN 客户端”也可能是代理客户端，并不一定接管整台设备的流量。以下先解释通用概念；具体支持哪些协议、如何获取配置，应以服务面板与客户端说明为准，不能把名词清单当成 K7VPN 的功能清单。
订阅：套餐与配置链接不是一回事
套餐订阅是账户权益，订阅链接是获取配置的凭据。前者涉及流量、计费和重置周期；后者通常是一个带有专属令牌的网址。客户端通过它获取节点配置，有时也会获取策略组或规则，具体取决于配置格式。
复制订阅链接不会自动建立连接。一般还需要导入到兼容的客户端，更新配置，再选择线路并启用代理或隧道。某些专用客户端会在登录后自动完成这些操作，因此界面上未必能看到链接。
“更新订阅”通常表示重新下载配置，不等于续费，也不等于重置流量。以 K7VPN 为例，月订阅按开通日每月重置，流量包永久不过期；这些属于计费规则，不能通过刷新配置改变。
节点与线路：入口、路径和出口要分开看
节点通常是一条可连接的配置，包含服务器地址、端口、认证信息和协议参数。客户端列表里的地区名称是识别标签，不一定代表入口所在地，也不能单凭名称判断整个连接经过哪里。
线路更偏向描述数据经过的路径。例如，设备先接入某个入口，再经过中转或专线，最后从目标地区出口访问网站。海外用户访问国内服务时，应关注是否有合适的回国出口，而不是只看节点离自己近不近。
网站通常看到的是出口地址，但服务判断地区还可能参考账户地区、内容授权和设备定位。因此，“连接成功”不等于所有内容都能访问；检查服务可用性时，应直接打开目标应用测试，不能只看节点图标。
| 术语 | 通常指什么 | 使用时关注什么 |
|---|---|---|
| 直连线路 | 设备直接连接服务节点，没有额外的服务侧中转入口 | 较依赖本地运营商到节点的公网路径；不是“绕过所有路由器” |
| 中转线路 | 先接入中转入口，再转发到后续节点或出口 | 入口质量与后续链路都重要，多一次转发不必然更慢 |
| IEPL 专线 | 通常指运营商提供的国际以太网专用电路，用于链路中的特定区段 | 设备到入口仍可能经过公网，专线不等于端到端独享或自带加密 |
“直连”还会出现在分流规则中，此时表示某个请求不走代理，与表中的“直连线路”不是同一层面的概念。看见这个词时，先确认它是在描述节点路径，还是描述请求的处理动作。
协议：通信方式，不是速度排行榜
协议规定客户端与服务器如何认证、封装和传输数据。两端必须匹配，客户端也必须支持对应实现。只修改协议名称，不能把一个节点变成另一种协议，更不能修复服务器端不支持的功能。
- Shadowsocks：加密代理协议，使用时需要匹配加密方法与认证信息，不等于系统级 VPN 隧道。
- VMess：带认证的代理协议，客户端与服务端的标识和传输参数需要一致。
- Trojan：通常依托 TLS 传输，域名、证书校验和认证信息都可能影响连接。
- VLESS：轻量认证与代理协议，本身不负责数据加密，需要结合合适的安全传输层；不能看到名称就推断加密方式。
- Hysteria2 与 TUIC：均采用基于 QUIC 的传输方案，依赖 UDP 可达性；网络限制 UDP 时，可能无法正常连接。
这些名称没有脱离网络环境的固定优劣顺序。实际表现受拥塞、丢包、传输参数、设备性能和服务端配置共同影响。首次使用应导入服务提供的兼容配置，保留认证、传输与证书校验设置，不要为了“更快”随意关闭校验。
分流：规则模式、全局模式与接管范围
分流就是给请求选择路径。客户端可以根据域名、目标地址、应用进程等条件，把请求交给代理、直接连接或拒绝处理。规则通常按顺序匹配，最终行为还取决于未命中时的兜底策略。
规则模式按已有规则处理请求，适合日常混合使用。海外用户回国访问时，可以让需要国内出口的服务走回国线路，让其他请求保留本地网络路径；但前提是配置确实提供了相应规则，不能只凭“规则模式”这个名称作判断。
全局模式通常让已被客户端接管的请求统一走指定代理。它适合临时判断问题是否与分流有关，却不保证整台设备的所有应用都已被接管，也不自动解决地区授权问题。
系统代理与 TUN 模式有什么区别？
系统代理把代理地址提供给遵循系统设置的应用，不遵循该设置的程序可能仍直接联网。TUN 模式通过虚拟网络接口接管流量，覆盖面通常更广，但仍受路由、排除项、权限和客户端实现影响。
Windows、macOS 和 Linux 客户端在系统代理、虚拟接口与权限管理上各有差异；iOS 和 Android 客户端常使用系统提供的隧道能力，界面可能显示 VPN 标识。出现这个标识只说明系统启用了相应连接能力，不能单独证明每个请求都经过目标出口。
DNS 与泄漏：解析路径也需要检查
DNS 负责把域名解析为地址。连接网站前，应用通常先发起解析；因此，即使网页请求经过代理，解析请求也可能沿另一条路径发送。DNS 泄漏通常指解析流量没有按预期路径处理，暴露给了预期之外的解析服务或网络。
解析结果还会影响内容分发节点的选择。解析位置与实际出口不协调，可能让应用连接到不合适的服务器。不过，加载慢也可能来自线路拥塞、应用缓存或目标服务本身，不能直接归因于 DNS。
新手可以先保留订阅配置提供的 DNS 设置，避免同时启用多套相互冲突的代理或解析工具。浏览器的加密 DNS、系统解析与客户端的 DNS 接管可能各自生效，排查时应分别确认。
从导入到验证：新手操作清单
首次连接时，先建立一个可重复的基准流程。K7VPN 客户端与订阅需登录面板获取；iOS 的获取条件以面板说明为准。不要把其他平台的安装方式直接套用到当前设备。
- 获取兼容客户端。从面板下载入口查看当前平台说明，确认客户端支持面板提供的配置格式。
- 导入并更新配置。按说明使用登录同步、订阅链接或配置文件，确认客户端出现节点或策略组。若提示格式错误，先检查是否复制完整、是否选错导入类型。
- 选择合适出口。根据目标服务选择回国或其他适用线路，再检查当前策略组实际选中的节点，避免只切换了列表中的展示项。
- 启用连接能力。根据客户端说明开启系统代理或隧道，并授予必要权限。保留推荐的规则、DNS 与安全校验设置。
- 验证目标应用。使用我的 IP辅助确认出口，再直接测试需要访问的服务。若旧连接沿用先前路径，可关闭应用后重新打开进行对照。
- ✅ 先保持默认：服务提供的协议参数、证书校验、规则与 DNS 配置。
- ✅ 先理解再调整：策略组、系统代理、TUN 接管范围和应用排除项。
- ❌ 不要公开：订阅链接、节点认证信息及包含账户凭据的日志。
- ❌ 不要同时修改：节点、协议、DNS 和分流模式，否则难以判断哪个改动有效。
连接异常时，按层排查而不是反复重装
导入失败：先检查链接是否完整、配置是否失效、客户端是否兼容。此时还没有建立连接，修改分流规则通常没有帮助。
节点无法连接：检查本地网络、账户状态和配置是否更新，再换一条适用线路对照。若只有依赖 UDP 的节点异常，可以考虑网络对 UDP 的限制，但不要仅凭一次失败下结论。
能连接但应用不生效：先确认应用流量是否被接管，再看规则命中和出口。浏览器可用而其他应用异常，可能是接管范围不同，不一定是节点故障。
出口符合预期但内容仍受限：检查服务的地区授权、账户条件和应用缓存。线路能提供网络路径，但无法替代内容平台自己的访问规则。
需要帮助时，可通过帮助中心查看说明，提供设备平台、客户端名称、错误提示与可复现操作。提交截图前隐藏凭据，日志也应先检查敏感字段。