Windows从零开始:装客户端、导订阅、选线路到开机自启

这篇 Windows VPN 教程从空白桌面开始：先确认客户端来源，再导入订阅、选择线路、打开系统代理，最后检查出口地址与 DNS。操作重点不是把某个开关点亮，而是理解客户端、订阅、节点和代理模式分别负责什么。这样即使软件界面的按钮名称略有变化，也能沿着同一条路径完成设置。

开始前需要准备两项内容：一个与 Windows 兼容的客户端，以及账户面板提供的订阅链接。客户端负责读取配置、建立连接并接管指定流量；订阅链接负责传递节点、协议和更新入口。二者缺一不可，但它们并不是同一个东西。

先选对 Windows 客户端与安装来源

客户端首先要与订阅中的协议兼容。常见订阅可能包含 Shadowsocks、VMess、Trojan、VLESS、Hysteria2 或 TUIC。客户端名称相似，不代表协议支持范围相同；只支持传统系统代理的工具，也不一定具备 TUN、分流和 DNS 接管能力。下载前应查看服务面板给出的推荐客户端与兼容说明。

安装包应来自服务面板、客户端项目的正式发布页，或站内明确提供的客户端下载入口。下载后先核对文件名、发布者信息和架构。大多数普通电脑使用常见桌面架构，但不要仅凭图标判断安装包是否正确。若发布方提供校验值，可在安装前比对；若 Windows 显示来源警告，应先回到下载入口确认文件，而不是直接忽略。

• ✅ 客户端明确支持订阅中使用的协议
• ✅ 安装包来自面板或项目正式发布入口
• ✅ Windows 显示的文件名称与下载说明一致
• ✅ 客户端具备系统代理、规则分流或 TUN 中所需的模式
• ❌ 不从网盘转存、聊天附件或陌生下载站获取安装程序
• ❌ 不为消除证书报错而直接关闭服务器证书校验

运行安装程序后，通常按“安装”或“下一步”完成即可。若客户端提供便携版，则解压到具有写入权限的固定目录，不要长期放在临时下载目录。首次启动时，Windows 防火墙可能询问是否允许网络访问。应确认程序名称与刚安装的客户端一致，再根据当前网络环境授权；不确定时先允许专用网络，之后可在防火墙设置中调整。

获取订阅链接并完成首次导入

登录账户面板后，查找“订阅”“一键订阅”“客户端配置”或含义接近的入口。页面通常会提供复制链接、导入客户端或显示二维码等方式。Windows 桌面端优先使用“复制订阅链接”，因为它保留了后续更新所需的地址；逐条复制单个节点只能得到静态配置，节点变化时不会自动同步。

复制后打开客户端，寻找“订阅”“配置文件”或“配置管理”。常见操作路径是新增订阅，在名称栏填写便于识别的名称，在地址栏粘贴链接，然后保存。部分客户端提供“从剪贴板导入”，点击后会直接识别链接。成功时，界面通常出现一个订阅条目，并在节点列表中显示地区、线路类型或协议名称。

1. 在账户面板复制：点击订阅入口旁的复制按钮。看到“已复制”提示后，不要继续在其他位置粘贴测试。
2. 在客户端新增：进入订阅或配置管理，选择新增远程订阅，而不是新增单个本地节点。
3. 填写并保存：粘贴完整地址，给订阅设置一个本地名称，然后点击保存或确认。
4. 执行更新：选中刚创建的订阅，点击更新。看到节点列表出现或更新时间发生变化，说明客户端已经读取配置。
5. 选中配置：某些客户端导入后还需启用对应配置文件。确认当前配置名称与刚导入的订阅一致。

如果提示格式不支持，原因通常是客户端类型不匹配、订阅格式与当前核心不兼容，或者复制内容不是远程订阅地址。此时应回到账户面板重新选择对应的 Windows 客户端格式。若提示请求失败，可先关闭系统中其他代理工具，确保没有多个客户端同时修改代理设置，再重新更新。

导入完成后仍要区分“订阅更新”和“客户端更新”。前者刷新节点及服务端下发的配置，后者升级桌面程序与代理核心。更新订阅不会自动升级客户端；升级客户端也不会替代订阅刷新。排查协议兼容问题时，这两个入口都要检查。

按用途选线路，不只看延迟名称

节点列表出现后，下一步不是随便点击一个地区，而是先确定访问目的。网页检索、下载、视频、远程办公和低延迟交互，对线路的要求不同。客户端显示的延迟通常只是一次探测结果，受本地网络、测试方式和服务器响应影响。它适合初筛，不能单独代表实际吞吐、稳定性或目标网站的访问效果。

线路名称中常见“直连”“中转”“IEPL”等描述。直连表示本地网络直接连接境外入口，路径简单，但跨境公网波动会更直接地反映到体验上。中转通常先连接较近的接入点，再由服务侧转发到出口，目的是改善入口路径与路由可控性。IEPL 原义是国际以太网专线；服务商标注 IEPL 时，通常表示其骨干链路使用相应专线资源，并不意味着用户设备到出口的每一段都脱离公共网络。

选地区时，先按目标服务所在区域检索，再考虑地理距离。需要访问特定地区内容时，出口地区是否匹配比节点名称中的“高速”更重要。普通检索和文档访问可先选较近地区；视频播放应直接打开目标平台验证清晰度切换与持续缓冲情况；远程会议则要同时观察语音连续性和上传方向，不能只做网页下载测试。

• ✅ 先确定目标网站或应用，再选择对应出口地区
• ✅ 在同一目标上比较直连、中转与专线标记线路
• ✅ 连续访问实际业务页面，而不是只看客户端探测结果
• ✅ 为常用用途保留一条备用线路
• ❌ 不把节点名称中的宣传词当作性能结论
• ❌ 不在下载任务进行中频繁切换节点，以免连接中断

打开系统代理、规则分流或 TUN 模式

选中节点后，客户端显示“已连接”仍不代表 Windows 流量已经经过该线路。多数客户端还需要启用“系统代理”“设为系统代理”或含义相近的开关。系统代理会修改 Windows 的代理配置，浏览器和遵循系统设置的应用通常会随之使用代理；不读取系统代理的应用则可能继续直连。

规则分流决定哪些请求进入代理，哪些请求保持直连。常见模式包括规则、全局与直连。规则模式按照域名、地址段和预设列表判断，适合作为日常默认；全局模式把更多流量交给当前节点，适合短时间排查“是否因规则漏匹配而直连”；直连模式不经过节点，可用于恢复本地网络或对比测试。

TUN 模式会创建虚拟网络接口，在更低层接管流量，因此能覆盖不遵循系统代理的应用，也更适合需要处理 UDP 的场景。它通常需要管理员权限，并可能与其他虚拟网卡、安全软件、企业网络策略或已有代理客户端冲突。首次使用时应先退出同类工具，再启用 TUN；若网络立即中断，关闭 TUN 并检查路由、DNS 和虚拟网卡状态。

系统代理适合浏览器与常规桌面应用；TUN 适合不读取系统代理、需要 UDP 或必须统一接管流量的程序。两者不是“强弱档位”，而是不同的流量入口。

分流错误常见于两种情况：目标域名没有命中代理规则，或者本应直连的本地服务被送入远端节点。前者可临时切换全局模式验证；若全局可用而规则模式不可用，问题通常在规则匹配。后者则应恢复规则模式，并把局域网、本地服务或明确需要直连的域名加入直连规则。修改规则后要保存配置，并重新发起连接，因为已经建立的会话可能继续沿用旧路径。

验证出口地址、DNS 与真实应用流量

连接验证应分层进行。先确认客户端日志没有持续报错，再检查出口地址，然后检查 DNS，最后打开真实目标应用。只看到客户端图标变色属于界面状态，不是完整验证结果。

1. 看连接状态：选中节点并开启系统代理或 TUN。界面应显示当前节点，日志中不应反复出现超时、认证失败或证书错误。
2. 查出口地址：打开网络检测，对比连接前后的公网出口与地区。若完全没有变化，优先检查系统代理、浏览器代理扩展和分流模式。
3. 查 DNS：检查 DNS 请求是否仍由不期望的本地解析器直接处理。若出口已变化但 DNS 路径异常，应启用客户端的 DNS 接管或使用与当前配置匹配的远程解析设置。
4. 测目标服务：打开真正需要使用的网站或应用，完成页面加载、登录、播放或文件请求。目标可用性比通用测试页面更有判断价值。
5. 做断开对照：断开连接并刷新检测页，确认出口恢复。这样可以排除浏览器缓存、页面缓存或残留代理造成的误判。

DNS 泄漏指的是应用流量走远端线路，但域名查询仍从不期望的本地路径发出。这会导致地区判断不一致，也可能让部分网站加载异常。处理时要检查客户端 DNS 模式、浏览器自带的安全 DNS、系统网络适配器设置以及 TUN 的 DNS 接管状态。不要同时叠加多套解析策略，否则出现问题时很难确认哪一层实际生效。

若浏览器可用而某个桌面应用不可用，通常说明该应用没有读取系统代理，或者它使用了规则未覆盖的 UDP 流量。可先在客户端日志中观察是否出现该应用的目标域名，再短暂切换全局模式做对照；仍没有流量记录时，再测试 TUN。若所有应用都无法访问，则应回到节点连通性、订阅有效性和本地网络限制排查，而不是继续修改分流规则。

• ✅ 客户端日志显示连接建立且没有循环报错
• ✅ 网络检测显示出口地区与所选线路相符
• ✅ DNS 解析路径与当前代理方案一致
• ✅ 目标网站或应用能够完成实际任务
• ✅ 断开后出口恢复，连接前后结果可复现
• ❌ 不以客户端按钮变色作为唯一成功依据

设置开机自启、自动连接与订阅更新

完成验证后，再配置自动化。开机自启、启动后连接和订阅自动更新是三项独立设置。只打开开机自启，可能只是让客户端出现在任务栏，节点并未连接；只打开自动连接，如果程序没有随 Windows 启动，也不会生效；订阅更新则负责刷新远程节点列表，与前两项无关。

进入客户端的“设置”“常规”或“基础设置”，查找“开机启动”“随系统启动”一类选项。启用后，可在 Windows 的“设置 → 应用 → 启动”中确认该客户端处于允许状态。不同 Windows 界面名称可能略有变化，也可通过任务管理器的启动应用页面核对。

接着查找“启动后连接”“恢复上次连接”或“自动启用系统代理”。如果电脑经常切换公司网络、公共网络和家庭网络，建议先只启用程序自启，保留手动连接；如果网络环境固定，再启用恢复上次节点。使用 TUN 时还要确认客户端能否在启动阶段取得所需权限，否则程序虽然启动，虚拟接口可能没有成功建立。

订阅更新可在订阅管理中设置自动刷新，也可以保留手动更新。无论采用哪种方式，都应知道手动入口在哪里：选中订阅，点击“更新订阅”或“刷新”。当节点名称、地区列表或线路配置发生变化时，先更新订阅，再重新选择节点。若更新后本地自定义规则消失，说明规则可能保存在被远程配置覆盖的位置，应将个人规则放入客户端提供的覆写、合并或本地规则区域。

常见故障按层定位

订阅能更新，但所有节点都连接失败

这说明客户端能够访问订阅地址，但节点连接阶段存在问题。先查看日志中的错误类型：认证失败通常指向配置或订阅状态；证书错误应检查系统时间、服务器名称和客户端核心，不能直接关闭验证；超时则可能与当前网络、节点路径或 UDP 限制有关。若只有 Hysteria2、TUIC 失败而其他协议可用，应重点检查本地网络对 UDP 的处理。

浏览器可以访问，桌面应用仍然直连

先确认桌面应用是否支持系统代理。有些应用只读取自己的代理设置，有些使用独立网络栈。可在应用设置中选择“使用系统代理”，或改用客户端 TUN 模式接管。启用前应关闭其他虚拟网络工具，避免默认路由被重复修改。

切换节点后，网站仍显示旧地区

可能原因包括浏览器保留旧连接、DNS 缓存尚未刷新、网站账户地区设置优先于出口地址，或分流规则让该域名保持直连。先关闭相关标签页并重新打开，再检查网络检测结果。若出口已经变化但网站显示不变，应继续检查 DNS、站点账户设置与缓存，而不是连续切换节点。

退出客户端后无法正常上网

通常是系统代理没有恢复，或 TUN 虚拟接口与路由残留。重新打开客户端，先关闭系统代理与 TUN，再从程序菜单正常退出。仍未恢复时，进入 Windows 代理设置确认手动代理已关闭，并检查网络适配器中是否有异常启用的虚拟接口。不要直接删除不认识的系统适配器，先确认它属于哪个客户端。

更新订阅后自定义内容消失

远程订阅更新通常会重建服务端下发的节点配置。直接编辑订阅生成的配置，下一次刷新时可能被覆盖。需要长期保留的分流规则、节点组选择和 DNS 调整，应写入客户端专门提供的覆写或合并配置；若客户端没有这类能力，则在更新前备份本地配置，并把节点订阅与个人规则分开管理。

完成这些步骤后，Windows 端就形成了一套可复查的配置记录：知道客户端从哪里下载，知道订阅在哪里刷新，知道当前应用由系统代理还是 TUN 接管，也知道如何判断出口和 DNS 是否符合预期。后续遇到问题时，沿着同一顺序检查，通常比更换多个客户端更快定位原因。