VPN常用术语解释，首先要分清订阅、节点、分流与规则模式各自负责什么：订阅提供配置，节点是连接入口，分流决定请求走哪条路，规则模式则按条件执行分流。它们不是同一个开关，也不能互相替代。
日常所说的“VPN 客户端”，可能使用系统 VPN 隧道，也可能运行代理内核。界面上显示已连接，并不自动说明所有应用都经过同一路径。下面按实际操作顺序解释这些概念，再给出导入和排查方法。
订阅与节点：配置来源和连接入口
付费订阅与订阅链接不是同一个概念
付费订阅指服务的计费关系；客户端中的“订阅”通常指可更新的配置来源。服务面板提供订阅链接，客户端读取链接后，获得节点参数，有些配置还包含策略组、规则和 DNS 设置。流量包用户也可能通过订阅链接导入配置，因此有订阅链接不代表一定按月计费。
订阅链接通常带有识别账户权限的凭据，应当按敏感信息保管。不要把完整链接贴到公开评论、截图或陌生的在线转换页面。链接失效时，应回面板确认服务状态与最新配置；反复点击更新不能修复已经失效的凭据。
节点、地区与出口 IP
节点是一组连接参数，通常包含服务器地址、端口、协议及认证信息。节点名称中的地区主要帮助识别出口位置或线路用途，但名称本身不构成技术验证。入口地址所在地区、数据经过的中转地区和最终出口地区，可能并不相同。
出口 IP 是目标网站看到的来源地址。选择某地区节点后，可结合 IP 查询与目标网站的实际表现检查出口；不同地理数据库可能给出不同地区结果，不能仅凭某次定位差异判定线路失效。
线路与协议：路径和传输方式分开看
线路类型描述网络怎样到达出口，协议描述客户端怎样与服务端通信。专线并不是协议名称，协议也不直接等于速度等级。把两者混在一起，容易误以为只要换协议就能绕开拥塞。
| 术语 | 主要含义 | 不能据此推断 |
|---|---|---|
| 直连 | 客户端直接连接目标代理服务器，不额外经过服务配置的中转入口。 | 不等于请求绕过代理，也不保证路径更短或更快。 |
| 中转 | 先到中转入口，再转发至后续服务器或出口。 | 增加中转不必然增加体验延迟，仍取决于路由质量。 |
| IEPL 专线 | 通常指部分传输链路采用国际以太网专线。 | 不代表访问目标网站的全程都是专用链路。 |
| 代理协议 | 规定连接、认证及数据传输的方式。 | 不能只凭协议名称判断带宽、隐私或网站兼容性。 |
还要留意“直连”的语境：在线路介绍里，它描述入口路径；在分流规则里，DIRECT 通常表示请求不经过代理出口。这两个含义不能互换。想了解本站线路信息，应以节点页面及面板中的实际标注为准。
常见协议名称怎么理解
Shadowsocks 是加密代理协议；VMess 自带认证与加密机制；Trojan 通常通过 TLS 承载代理连接；VLESS 本身不提供传输加密，需要结合 TLS 等适当机制使用。Hysteria2 与 TUIC 通常基于 QUIC，底层依赖 UDP，遇到 UDP 受限的网络时可能无法正常建立连接。
这些是行业术语说明，不代表 1KVPN 提供上述全部协议。客户端必须支持配置指定的协议及相关传输方式；仅仅能打开客户端，并不意味着它能导入任意订阅格式。优先使用面板明确支持的客户端与导入方式。
分流、规则模式与全局模式
分流就是对请求分类，再交给不同的处理路径。条件可以是域名、目标 IP、应用进程或其他受支持的信息；动作可能是直接连接、交给某个代理策略组，或拒绝请求。规则是否生效还取决于客户端能否取得匹配所需的信息。
- 规则模式：按规则顺序匹配请求，通常命中后执行对应动作。没有命中具体条件的流量，交给末尾的兜底规则处理。
- 全局模式：通常把进入代理内核的请求统一交给选定策略，并不自动接管所有应用或所有网络协议。
- 直连模式：通常让已被客户端接管的请求直接连接目标，不代表客户端已经退出，也不一定关闭虚拟网卡。
规则中的“策略组”是可选择或自动决定出口的集合，不是另一个独立服务器。同一个节点可能被多个策略组引用；如果网站请求命中某个专用组，修改默认组的节点未必会影响它。
例如国际网站可以交给代理策略，本地服务直接访问。如果某条宽泛的直连规则排在特定代理规则前面，请求可能提前命中直连。排查时应查看请求日志中的匹配规则和实际策略，不要只盯着首页的大号连接按钮。
系统代理与 TUN：哪些流量会进入客户端
系统代理相当于向应用提供代理地址。遵循该设置的浏览器或应用会把请求交过去，但部分应用使用自己的网络设置，或完全不读取系统代理。因此，浏览器能访问目标网站而某个桌面应用不能访问，并不一定是节点问题。
TUN 模式通过虚拟网络接口和路由接管流量，覆盖面通常比单纯系统代理更广，但仍受权限、路由、排除规则、系统限制和客户端实现影响。启用后若本地设备访问异常，应检查局域网绕过规则，而不是马上更换订阅。
各平台差异主要在权限和接管机制
Windows 与 macOS 常见系统代理和虚拟接口两类接管方式；Linux 的桌面环境、网络管理方式与服务运行权限不同，配置步骤也可能不同。Android 客户端可利用系统 VPN 接口接管流量，应用绕过选项则取决于具体客户端。iOS 通常通过系统网络扩展建立隧道，界面和权限流程与桌面端不完全相同。
操作系统显示 VPN 标识，只说明相关隧道或接口处于工作状态，不能单独证明请求最终走了哪个出口。1KVPN 支持 Windows、macOS、iOS、Android、Linux；Windows、Android、macOS、Linux 登录面板即可获取客户端，iOS 获取条件由面板判定，订阅需登录后获取。
DNS 与隐私：连接成功之后还要检查什么
DNS 把域名转换为地址。网页内容走代理，不代表 DNS 查询也一定走相同路径。通常所说的 DNS 泄漏，是查询走了与预期隐私路径不一致的解析渠道，例如仍交给本地网络提供的解析器。
检查时要同时看客户端的 DNS 配置、浏览器的加密 DNS 设置，以及系统是否存在其他接管网络的工具。DNS 测试中出现外部解析器不必然说明泄漏，也可能是配置主动使用的远程解析器；关键是它是否符合预期，而不是名称是否与节点地区完全一致。
加密 DNS 保护的是到解析器之间的查询传输，不会自动隐藏后续网站连接。代理连接也不会让登录账户、浏览器 Cookie 或主动提交的资料失去识别作用。1KVPN 的隐私主张是“匿名无日志”，应将其理解为服务策略，而不是对所有网络行为无法关联的保证。
从导入到验证的操作顺序
看懂术语后，按下面顺序操作。每次只改变一个设置并观察结果，能减少“已经改好却不知道改对了哪里”的情况。
- 确认客户端来源与兼容性。从面板获取适用客户端，核对系统与配置格式。不要把某个客户端的专用配置当成通用文本导入。
- 获取并导入订阅。登录后复制订阅链接，使用客户端的订阅导入入口。导入后先确认节点列表存在，再检查更新是否报错。
- 选择出口与工作模式。从实际需要的地区开始，使用提供的规则配置；确认相关策略组确实选择了预期节点。
- 开启适用的流量接管。根据客户端说明启用系统代理或 TUN。避免多个网络接管工具同时运行，以免路由和 DNS 设置相互覆盖。
- 验证实际访问。检查出口 IP、目标网站和需要使用的应用。若只有特定应用失败，再检查其代理设置与规则命中情况。
- 记录错误并缩小范围。区分订阅更新失败、节点握手失败、DNS 解析失败和网站自身拒绝访问，再到帮助中心查找对应说明。
- ✅ 能在节点列表中看到配置，并确认订阅更新没有错误。
- ✅ 请求记录中的规则、策略组和出口与预期一致。
- ✅ 浏览器与实际需要的应用都完成访问验证，而非仅看连接图标。
- ❌ 不把延迟测试成功等同于网站可用，也不把全局模式当作完整接管的证明。
流量、设备数与套餐术语
带宽、延迟和流量分别回答不同问题：带宽描述传输能力，延迟描述通信等待，流量是累计的数据用量。客户端的延迟测试通常只针对某个测试目标，不能直接推导实际下载速度、视频播放质量或目标网站可用性。
设备数限制与流量额度也相互独立。1KVPN 不限台数，但不代表流量无限。月订阅为 ¥9.9 / 60GB、¥18 / 250GB、¥28 / 500GB；月流量按开通日每月重置，中途升级差价折算成剩余天数，不应自行按自然月理解。
流量包为 ¥158 / 300GB、¥358 / 1000GB、¥658 / 3000GB，用完为止，永久不过期。“永久不过期”描述流量包的有效期，不代表无限用量，也不是速度保证。具体选择可结合使用频率与用量查看套餐说明。