VPN新手完整指⁠南:从下单到连上的每一步

这篇 VPN 新手完整指南处理一条完整链路：创建账户、选择套餐、确认支付状态、取得订阅链接、导入客户端、选择线路，再检查连接是否真正生效。第一次使用时，最容易混淆的不是某个按钮，而是账户、订阅、客户端和线路之间的关系。把这几个对象分清，后续排错会简单很多。

账户用于进入用户面板；套餐决定账户当前可用的服务；订阅链接负责把线路配置交给客户端；客户端则在设备上读取配置并建立连接。线路是订阅中的具体入口，不等于订阅本身。更换设备通常需要重新导入订阅，而更换线路只需在已经导入的列表中重新选择。

下单前先确认使用路径

不要先安装一批来源不明的客户端，再回头寻找能够导入的配置。更稳妥的顺序是先进入本站套餐页，确认所需套餐，随后通过用户面板完成账户与订单流程。支付完成后，再从面板提供的下载入口和订阅入口继续配置。

1. 打开套餐页面，阅读流量、周期和适用方式，不要只比较价格文字。
2. 进入用户面板，按照页面要求创建账户并妥善保存登录凭据。
3. 选择对应套餐，完成页面列出的支付步骤。
4. 返回订单或概览区域，确认套餐状态已经更新，再继续获取订阅。

支付页面完成跳转，不一定等于客户端已经取得配置。判断依据应当是用户面板中的订单与服务状态，而不是浏览器最后停留的页面。如果支付结果尚未同步，不要连续重复提交同一订单。先刷新面板并检查订单记录；仍有异常时，保留订单标识和支付结果页面，通过工单入口查询。

• ✅ 能够正常登录用户面板，并能看到当前订单或套餐状态。
• ✅ 面板中出现订阅获取入口，而不是只有支付入口。
• ✅ 下载入口与设备平台相符，安装包来自本站面板。
• ❌ 支付状态未确认时反复创建相同订单。
• ❌ 将登录密码、订阅链接或完整配置截图发到公开区域。

订阅链接与协议分别是什么

订阅链接是一种配置分发方式。客户端访问该链接后，会取得一组节点名称、服务器地址、端口、传输参数和认证信息。它不是普通网页，也不需要在浏览器里长期保持打开。客户端中的“从 URL 导入”“添加订阅”或“订阅管理”通常指向同一类操作，只是不同平台的名称略有区别。

协议则决定客户端与服务器如何建立会话。常见名称包括 Shadowsocks、VMess、Trojan、VLESS、Hysteria2 和 TUIC。它们不是客户端品牌，也不能只凭名称判断实际速度。协议是否可用，取决于客户端是否支持对应格式，以及订阅下发的传输、加密或 TLS 参数能否被完整读取。

新手通常不需要手工填写上述参数。优先使用完整订阅导入，能减少漏填传输层选项的概率。只有在订阅无法识别、客服明确要求核对配置，或需要诊断单个节点时，才有必要查看具体协议字段。

在不同平台安装并导入客户端

先通过用户面板的获取客户端入口选择平台。桌面系统和移动系统对网络权限的处理不同，但导入逻辑基本一致：安装客户端、授予必要权限、添加订阅、更新列表、选择线路、启动连接。

Windows 与 macOS

桌面客户端通常提供系统代理与虚拟网卡模式。系统代理主要接管遵循系统代理设置的应用；虚拟网卡模式则能处理更多不读取系统代理的程序，但需要安装网络组件或取得管理员权限。第一次配置时，不要同时启动多个代理客户端，否则系统代理端口、路由表或虚拟网卡可能互相覆盖。

macOS 在首次启用网络扩展时，系统会要求确认权限。Windows 安装虚拟网卡组件时，也可能出现系统确认窗口。应先完成权限授权，再回到客户端点击连接；如果直接忽略系统提示，客户端界面可能显示正在启动，但实际路由并未建立。

iOS 与 Android

移动平台会在首次连接时显示系统级 VPN 配置请求。这是操作系统创建网络隧道所需的权限，不等于订阅已经导入成功。正确顺序仍然是先在客户端添加订阅并更新线路，选中节点后再批准系统连接请求。

iOS 客户端通常依赖系统 Network Extension 管理连接；Android 客户端通过系统 VPN 服务接管流量。若系统开启了严格省电、后台限制或自动休眠，长时间切到后台后可能断开。出现这种情况时，应检查操作系统对当前客户端的后台运行设置，而不是反复更换订阅地址。

1. 在面板复制订阅链接，确认复制内容前后没有多余空格。
2. 打开客户端的订阅管理，选择从 URL 添加订阅。
3. 为订阅填写容易识别的名称，再执行更新。
4. 在线路列表中选择一个节点，设为当前使用线路。
5. 启动连接并批准操作系统显示的网络权限。

更新成功时，客户端应出现线路列表，而不是只保存一行订阅文字。若订阅已经添加但列表为空，先手动执行“更新订阅”。若提示格式错误，检查是否复制了完整地址、是否误把网页地址当成订阅地址，以及客户端版本是否支持订阅包含的协议。

直连、中转与 IEPL 线路怎样选

线路名称中的“直连”“中转”和“IEPL”描述的是不同网络路径。直连表示设备直接访问远端入口，路径简单，但表现更受本地运营商跨境路由影响。中转线路先连接较近的入口，再由中转网络送往出口地区，通常用于改善跨网和跨境路径的稳定性。

IEPL 是国际以太网专线类连接方式，常用于承载入口与出口之间的专用传输段。它描述的是中间承载网络，不等于应用层代理协议，也不意味着整个访问路径都脱离公共互联网。客户端到入口、出口到目标网站仍各有自己的网络段，最终体验还会受到本地接入、出口负载和目标站响应影响。

初次选线不必追逐名称最长或距离最远的节点。先按用途选择出口地区，再比较同地区不同线路的实际响应。网页打开慢但连接不掉，可能是目标站或出口路径问题；客户端频繁重连，则更像本地网络、入口链路或协议适配问题。一次只改变一个变量，才能判断是哪一层产生影响。

确认连接真正生效

客户端显示“已连接”只说明本地程序认为会话已经建立，不能单独证明所有应用都在使用该路径。验证应覆盖出口地址、DNS 解析和实际应用访问。可以先打开本站我的 IP页面，记录连接前后的出口信息是否发生变化，再检查目标应用是否能够正常加载。

检查出口地址

若连接后出口信息没有变化，桌面端先检查当前使用的是系统代理还是虚拟网卡模式。浏览器通常遵循系统代理，但部分游戏、命令行工具和独立网络程序可能绕过系统代理。移动端则检查系统状态栏是否出现 VPN 状态，以及客户端是否仍在后台保持连接。

检查 DNS 泄漏

DNS 泄漏是指业务流量经代理转发，但域名查询仍由本地网络直接完成。它可能暴露本地解析来源，也可能让区域解析结果与出口地区不一致。处理时应查看客户端的 DNS 设置、分流模式和虚拟网卡配置，确认代理域名是否使用远程解析。

仅看到本地 DNS 地址并不能直接下结论，因为部分客户端会在设备上建立本地 DNS 监听，再把查询转发到远端。判断重点是查询最终由哪条路径处理，而不是客户端界面中显示的监听地址。修改 DNS 后，应断开并重新连接，让旧缓存和旧会话退出。

检查分流规则

分流规则决定哪些域名或 IP 走代理，哪些保持直连。全局模式便于排查，因为流量路径较统一；规则模式更适合日常使用，但错误或过期规则可能让目标网站意外直连。遇到某个网站打不开时，可以暂时切换到全局模式验证。若全局可用而规则模式不可用，问题通常位于规则匹配或 DNS 分流，而不是账户与订阅。

• ✅ 连接前后出口信息符合所选线路的预期变化。
• ✅ 浏览器与目标应用都能建立访问，而非只有客户端显示连接。
• ✅ 规则模式异常时，使用全局模式完成对照检查。
• ✅ 修改线路、DNS 或模式后，先断开旧连接再重新建立。
• ❌ 同时运行多个会修改系统代理或路由的客户端。

常见卡点的排查顺序

排错时应从账户层逐步走到网络层，不要一开始就重装系统或反复改协议。账户、订阅、客户端、线路和应用是连续但独立的层级。上一层没有确认正常，下一层的现象就缺乏判断依据。

订阅无法更新

先回到用户面板确认套餐状态和订阅入口仍然有效，再重新复制完整链接。随后检查客户端是否把该地址保存为“订阅”而不是“单节点”。如果旧订阅曾经成功，但现在更新失败，可以删除本地订阅记录后重新添加；删除前先确认面板中仍能重新取得链接。

线路全部超时

全部线路同时超时，优先检查本地网络、系统时间、客户端权限和防火墙拦截。Trojan 等依赖 TLS 的配置可能受到错误系统时间影响；Hysteria2、TUIC 等依赖 UDP 的方案则可能被当前网络限制。可以切换到订阅中不同协议的线路做对照，但不要同时修改 DNS、分流和虚拟网卡模式，否则无法判断哪个变化真正有效。

浏览器能用，其他应用不能用

这通常与代理接管范围有关。浏览器读取了系统代理，而目标应用可能直接建立连接。桌面端可检查客户端是否支持虚拟网卡模式，以及对应网络组件是否已启用。切换模式前应退出其他同类客户端，避免路由与端口冲突。

连接后部分网站仍打不开

先切换同地区的另一条线路，排除单个出口路径问题；再用全局模式与规则模式进行对照。如果只有规则模式失败，检查域名规则和 DNS 策略。如果所有线路均只对同一网站失败，还要考虑目标网站自身状态、账户区域设置或浏览器缓存，而不能直接认定订阅失效。