VPN新手名词速查先记住这条关系：套餐决定使用额度，订阅链接提供配置，客户端读取配置，节点提供连接目标，线路承载传输，规则决定哪些请求走代理。它们不是同一个东西，排查问题时也不能互相替代。
日常讨论常把加速服务统称为 VPN，但代理客户端与系统级 VPN 隧道并不完全相同。有的客户端只设置系统代理，有的通过 TUN 或系统网络扩展接管流量。看到系统的 VPN 标识，只能说明启用了相应网络接口，不能据此判断所有应用都已走代理。
订阅与订阅链接：额度和配置分开看
“订阅”有两种常见含义。套餐订阅是计费关系，说明可用流量和重置方式；客户端订阅是配置来源，通常由一个链接承载。购买套餐不会自动让设备连接，复制链接也不等于开通额度。先确认面板中的套餐状态，再确认客户端是否成功读取配置。
订阅链接通常包含用于识别账户的凭据。客户端访问链接后，取得节点参数，有时还会取得规则、节点组和 DNS 设置。具体包含哪些内容，取决于订阅格式与客户端支持情况。同一个链接能在某个客户端导入，不代表所有客户端都能识别。
“更新订阅”是重新获取配置，不是续费，也不是重置流量。服务调整连接地址或新增节点后，更新可能让列表发生变化；如果额度已经耗尽，只更新配置并不能恢复套餐权限。订阅链接应当按账户凭据保管，不要贴到公开讨论区，也不要随意提交给不可信的在线转换工具。
求助截图应遮住订阅地址、访问令牌和节点密码。如果链接已公开，优先在面板查找重置入口；没有入口时联系支持处理，再更新各设备中的配置。
节点与线路：连接目标和传输路径
节点是客户端里可选择的连接配置，可能包含服务器地址、端口、协议和认证参数。节点名称通常用于提示地区或用途，但名称本身不是验证结果。入口地址所在地区与最终出口地区也可能不同，不能只凭名称或入口 IP 判断访问网站时呈现的地区。
线路更偏向描述数据从本地网络到出口服务器经过的路径。不同节点可能共享部分入口、骨干链路或出口资源。因此，列表里的节点多，并不意味着每个节点都有完全独立的传输资源；切换节点是否有效，要结合实际路径和使用结果判断。
| 线路概念 | 通常描述什么 | 选择时核对什么 |
|---|---|---|
| 直连 | 客户端经公网连接目标服务器，不额外配置专门的中转入口 | 本地运营商到目标地址的路由、拥塞与连通情况 |
| 中转 | 先到中转入口，再转发至后续服务器；后段不必然是专线 | 入口可达性、后段路径、出口表现和高峰时段体验 |
| IEPL 专线 | 通常指路径中使用国际以太网专线承载的部分 | 哪些区段使用专线、入口与出口是否仍受公网影响 |
IEPL 描述传输承载，不是代理协议，也不决定目标网站一定能够访问。专线标签不能代替实际测试，本地无线网络、入口拥塞、出口负载和目标网站限制都可能影响体验。线路延迟较低，也不等于下载吞吐量一定较高。
查看 VPNKQ 的实际覆盖与节点说明，可使用服务器页面。具体地区的线路类型和内容访问结果，以线路列表及实际检测为准，不应从品牌整体覆盖范围推导到每个节点。
协议与客户端：配置能否被正确执行
协议规定客户端与服务器怎样通信。Shadowsocks、VMess、Trojan、VLESS、Hysteria2 和 TUIC 都是常见名称，但它们不是速度等级，也不是平台名称。能否使用，首先取决于客户端内核是否支持对应协议及其具体参数。
Shadowsocks 的加密方法需要双方匹配；VMess 有自己的认证与协议机制；Trojan 通常结合 TLS 使用；VLESS 本身不提供载荷加密，需要结合配置中的安全传输机制理解。Hysteria2 与 TUIC 基于 QUIC，通常依赖 UDP 网络条件，若当前网络限制 UDP，换成这类协议未必能解决连接问题。
协议名称之外，还要看传输方式、TLS 设置、服务器名称校验和认证信息。把一个不支持的字段删掉，可能让配置看似通过校验，却改变连接行为。不要为了消除报错随意关闭证书验证，应先确认设备时间、服务端名称和配置来源。
不同平台的入口不同
Windows 与 macOS 客户端可能提供系统代理、TUN 或网络扩展等入口；Android 与 iOS 上的客户端通常需要系统授权才能建立相应网络接口。具体按钮与权限以所用客户端为准，不能把某个平台的操作名称照搬到另一个平台。
客户端是执行配置的软件，内核是其中处理代理连接的部分。界面相似不代表内核能力相同。导入前先查看服务提供的适配说明；获取 VPNKQ 客户端可进入面板下载入口，需要先登录，下载权限由面板判断。
分流、全局与规则模式：谁走哪条路
分流是按条件决定请求走直连、代理或被拒绝的机制。条件可能是域名、目标 IP、进程或规则集合，具体能力取决于客户端。节点组则是规则选择代理出口时使用的目标集合，可以手动选节点，也可能支持自动选择；它不是新的传输协议。
规则模式按配置逐项匹配，符合条件的请求交给指定出口。很多客户端使用从上到下首次匹配的逻辑，但应以所用内核文档为准。宽泛规则如果放在前面，可能覆盖后面的精细规则。更新节点列表与更新规则也不是同一件事。
全局模式通常表示把客户端接管到的请求统一交给选定代理。关键是“接管到的请求”：仅启用系统代理时，不遵循该设置的应用可能仍然直连；启用 TUN 后，也要核对路由、排除项和 DNS 设置。因此，全局模式不等于设备所有流量都经过代理。
直连模式通常让客户端接管的请求直接连接目标，可用来对照排查，但仍可能受到客户端 DNS 或其他网络设置影响。遇到某个网站无法打开，可以短暂比较规则模式与全局模式的结果；若全局可用而规则不可用，优先查规则命中与节点组，而不是马上更换套餐。
选择结论：日常使用先按客户端适配说明配置规则模式；排查时临时切换模式，并查看连接记录中的实际出口。模式名称只是策略入口，实际接管范围与规则命中才是判断依据。
DNS 与泄漏：域名查询也有路径
DNS 用于把域名解析成可连接的地址。网站请求走代理，域名查询却可能仍走本地网络。也可能出现相反情况：解析通过远端完成，但后续连接按规则直连。理解 DNS 时，应把“查询经过哪里”和“连接经过哪里”分别检查。
DNS 泄漏通常指域名查询没有沿预期的受保护路径发送，导致本地网络或非预期解析方能够观察查询。检测页面显示的解析器地区不同，不足以单独证明泄漏；公共解析器的部署、转发与出口位置都可能影响显示结果。
浏览器安全 DNS、应用内置解析与系统解析可能并存。DoH 和 DoT 可以加密解析请求，但加密解析不等于请求必然走代理，也不等于解析方无法看到查询。调整时应确认客户端是否接管 DNS、浏览器是否另设解析，以及规则是否覆盖解析流量。
部分客户端使用 Fake-IP 给域名分配合成地址，再在连接时映射回域名。它是分流与解析的实现方式，不是远端网站的真实地址。不要只凭系统显示的合成地址判断网络异常，也不要照抄不适用于当前内核的 DNS 配置。
从导入到验证：按依赖关系排查
名词弄清后，操作可以沿着“账户状态、配置、连接、规则、解析、应用”的顺序推进。这样每次只改变一个相关设置，比较结果更容易解释，也能减少反复重装客户端造成的干扰。
- 确认账户状态。查看套餐是否有效、流量是否可用。VPNKQ 无需邮箱地址，使用用户名与密码创建账户；账户凭据与订阅链接分别保管。
- 导入适配的配置。按教程页面选择客户端和订阅格式。导入后确认配置已启用，而不只是链接已保存；读取失败时先查链接有效性与格式支持。
- 选择节点并建立连接。确认系统授权已完成，代理入口或网络接口已启用。连接测试只说明部分连通情况，不代表目标应用已经按预期运行。
- 验证出口与实际使用。使用我的 IP 页面查看当前浏览器请求的出口，再打开目标应用测试。浏览器的结果不能自动代表其他应用。
- 比较规则与解析。若节点可连接但网站打不开，查看连接记录、规则命中和 DNS 错误。需要继续定位时，参考排查手册，提供已遮盖凭据的错误信息。
- ✅ 导入成功后，确认当前启用的是刚导入的配置。
- ✅ 规则命中后，确认对应节点组已经选中可用出口。
- ✅ 修改网络设置后，重新连接并验证目标应用，不只看状态图标。
- ❌ 不把测速结果当作所有网站、所有时段的访问保证。
- ❌ 不同时运行多个接管网络的客户端，以免代理、路由和 DNS 设置互相干扰。
最后再看套餐，而不是把所有故障都归结为额度不够。VPNKQ 月订阅流量按开通日每月重置；流量包永久不过期、用完为止。两者属于计费选择，与协议、规则模式和节点配置是不同层面。VPNKQ 支持同时在线不限台数，并提供 7 天无理由退款。
VPNKQ 的隐私策略为“不记录日志”。这是服务策略陈述，不能替代账户凭据保护、客户端来源核对或 DNS 路径检查。能说清每个设置负责什么，比单纯追求更多节点或更复杂配置更有助于稳定使用。