Windows 上的 VPN 體驗,八成取決於三件事:線路類型選得對不對、全域代理與分流規則設得準不準、用戶端能不能在開機時就位。這篇 Windows VPN 推薦不按軟體清單羅列,而是把可核對的做法一條條拆開——先看線路走哪條路徑,再看流量怎麼分,最後看具體軟體吃不吃這一套。
線路類型先分清:專線、中轉與直連
Windows 用戶端的線路清單裡,除了國家與城市,通常還會標一個線路類型。這個標籤比國家更值得先看:它決定流量走哪條路徑,也決定晚間尖峰時段會不會掉速。
IEPL 專線走電信業者等級的國際乙太網路專線,流量從入境點直接送到海外出口,不擠公網國際出口,所以抖動小、頻寬穩。單價最高,適合視訊會議、遠端桌面、直播推流這類不能中斷的情境。
中轉是折衷方案:中國大陸有中轉入口,再由中轉機房轉發到海外落地。品質取決於中轉機房的上游線路,做得好的時候接近專線,做得一般時就是一條優化過的公網路徑。
直連最簡單,用戶端直接連海外節點。成本最低,晚間尖峰時段國際出口壅塞時會掉速、封包遺失,適合當備用線路或臨時查資料。
| 線路類型 | 流量路徑 | 晚間尖峰表現 | 適合情境 |
|---|---|---|---|
| IEPL 專線 | 入境專線直達海外出口,不走公網國際出口 | 抖動小,頻寬穩定 | 視訊會議、遠端桌面、直播推流 |
| 中轉 | 中國大陸中轉入口轉發到海外落地 | 取決於中轉機房品質,通常優於直連 | 日常瀏覽、串流媒體、雲端硬碟 |
| 直連 | 用戶端直接連海外節點 | 受國際出口壅塞影響明顯 | 備用線路、臨時查詢 |
選線路的順序可以反著來:先用直連和中轉覆蓋日常,把專線留給真正不能斷的會議與遠端操作。250+ 線路按類型歸組之後,需要對比的其實只有三組。
全域代理與分流:先把流量分對
Windows 上的接管方式有三種,先弄清差別,再談規則怎麼寫。
- 系統代理:用戶端改寫網際網路選項裡的代理設定,瀏覽器與多數遵循系統代理的軟體會跟著走。設定省事,但部分遊戲、UWP 應用程式與命令列工具不讀它。
- TUN / 虛擬網卡:用戶端建一塊虛擬網卡接管 IP 層流量,不讀系統代理的程式也會進隧道。相容性最好,但必須配好分流,否則中國大陸網站也要繞一圈。
- 程序級分流:依執行檔決定走不走代理,適合只讓某幾個軟體走國際線路的情境。
全域模式與規則分流是另一層選擇。全域模式把所有流量推進隧道,設定最省心,代價是中國大陸網站繞道海外再回來,影片與下載反而更慢。規則分流依網域、IP 段與程序比對:中國大陸網站直連,國際網站走代理,主流網域基本都有現成規則集。
分流還要順帶解決 DNS。走代理的網域如果仍由本地電信業者解析,結果可能指向中國大陸的 CDN 節點,連線就繞開了隧道;解析請求本身跑到隧道外,就是常說的 DNS 外洩。做法是讓隧道內的 DNS 接管代理網域,直連網域繼續用本地 DNS。驗證不難:打開一個 DNS 外洩檢測頁,看它列出的解析伺服器歸屬——訪問的是走代理的網域,解析伺服器卻顯示本地電信業者,說明解析沒進隧道。
分流規則不是越多越好。規則集疊太多會拖慢首次解析,還容易互相覆蓋。保留一份主規則集,把銀行、內網 OA、公司系統這類必須直連的網域單獨加進白名單,比堆五六份規則更好維護。
開機自啟:三步讓它隨系統起來
開機自啟不只是一個開關,它有兩層:用戶端要在系統啟動時被拉起,連線要在你開始用網之前建立。
- 打開用戶端設定裡的「開機啟動」與「啟動後自動連線」。多數 Windows 用戶端把這兩項放在一般或連線設定裡。
- 決定啟動方式。註冊為系統服務或排程工作的用戶端能在使用者登入前建立連線;只寫啟動項的用戶端要等登入完成才連上。公司電腦有網域原則時,排程工作方式更穩。
- 重新開機驗證。先看系統匣圖示的連線狀態,再打開網際網路選項確認系統代理指向本機連接埠,最後訪問一個走代理的網站確認鏈路通。
兩個常見卡點。一是同時裝了兩個代理用戶端,後啟動的那個把系統代理改回自己的連接埠,表現是「顯示已連線卻打不開網頁」;排查時打開網際網路選項 → 連線 → 區域網路設定,看代理位址與連接埠是不是目前用戶端的。二是安全軟體攔下啟動項,系統匣圖示在,連線卻沒建立,把用戶端加入信任清單再重新開機一次。
遊戲與辦公軟體相容性對比
同一份訂閱,不同軟體的反應差別很大,原因多半在傳輸層:走 TCP 還是 UDP、讀不讀系統代理、是否校驗出口 IP。
| 情境 | 建議接法 | 注意事項 |
|---|---|---|
| 即時對戰遊戲 | TUN 模式 + IEPL 專線 | 確認節點轉發 UDP;部分反作弊元件會檢查虛擬網卡,先在單人模式驗證 |
| 視訊會議 | 系統代理或 TUN + 專線 | 會議軟體優先 UDP,節點不支援 UDP 時會回落 TCP,畫質與音質先受影響 |
| 遠端桌面 / SSH | TUN + 專線 | 需要長連線,關掉網卡的省電斷網,避免閒置後被掛起 |
| 雲端硬碟與大檔案下載 | 中轉或直連 | 頻寬佔用高,避開晚間尖峰時段;多執行緒下載對封包遺失更敏感 |
| 銀行、U 盾、內網 OA | 分流直連 | 這類系統常校驗出口 IP 與憑證,加進直連白名單最省事 |
協定同樣影響相容性。Shadowsocks、VMess、Trojan、VLESS 多以 TCP 或 WebSocket 承載,穿透性更好;Hysteria2、TUIC 基於 QUIC,靠 UDP 傳輸,網路品質好時速度佔優,遇到限制 UDP 的網路就會連不上。訂閱裡通常同時包含多種協定,用戶端要能辨識,連不上時先換協定再換節點。
訂閱匯入與用戶端差異
訂閱連結是一串帶憑證的位址,匯入後用戶端會自動拉取節點清單。流程只有三步:複製訂閱位址,貼到用戶端的訂閱頁,點更新。之後換節點、換協定都在用戶端裡完成,不用重複匯入。
Windows 上的用戶端大致分兩類:一類是圖形用戶端,訂閱、分流、開機自啟都在介面裡;另一類是核心加前端,核心決定支援哪些協定,前端只負責設定。協定支援取決於核心版本——訂閱裡出現 Hysteria2 或 TUIC 而用戶端連不上,多半是核心太舊,升級核心比換節點更直接。
訂閱連結等同於憑證,拿到它的人可以直接用掉你的流量。不要把訂閱位址貼進群組聊天或截圖發出去,也不要用短網址跳轉;換裝置時在新裝置上重新匯入,而不是把連結轉發給第三方。
依用量選方案
方案按流量分三檔:¥9.9/月含 60GB、¥18/月含 250GB、¥28/月含 500GB,流量依開通日每月重置,中途升級的差價折算成剩餘天數。用量忽高忽低的話可以選流量包:¥158/300GB、¥358/1000GB、¥658/3000GB,用完為止,不過期。
同時在線不限台數,家裡幾台 Windows 機器可以共用一個訂閱;付款支援支付寶、微信與 USDT;註冊只要使用者名稱和密碼,無需電子郵件地址。付費方案在首次付款後 30 天內可申請無理由全額退款。
依情境對照的檢查清單
把前面的結論壓縮成一張可以照著勾的清單,配好之後再回頭對比線路與方案。
- ✅ 打開用戶端先看線路類型:IEPL 專線留給會議與遠端桌面,中轉給日常瀏覽,直連當備用。
- ✅ 分流規則裡把中國大陸網站、內網位址、銀行與 OA 網域設為直連,國際網站走代理。
- ✅ 確認代理網域的 DNS 由隧道內解析,用外洩檢測頁核對解析伺服器歸屬。
- ✅ 「開機啟動」與「啟動後自動連線」一起開,重新開機後按系統匣狀態、系統代理、實際訪問三步驗證。
- ✅ 需要 UDP 的情境(會議、遊戲)先確認節點支援 UDP 轉發,再決定用 Hysteria2、TUIC 還是 TCP 類協定。
- ✅ 訂閱連結只存在自己的裝置裡,換裝置用重新匯入,不用轉發。
- ❌ 同時執行兩個代理用戶端,讓後啟動的那個改寫系統代理。
- ❌ 全域模式常年開著,中國大陸網站繞道海外,影片和下載反而更慢。
- ❌ 一條線路連不上就斷定服務不可用,沒試過換協定與換線路類型。
結論:Windows 端的選線順序是情境優先——不能斷的會議與遠端操作走 IEPL 專線,日常瀏覽用中轉,直連留作備用;接管方式優先 TUN 模式,再配一份精簡的分流規則和隧道內 DNS;開機自啟要同時驗證啟動項與自動連線。這三步配好之後,不同線路之間的差別才會真實體現出來,方案也才選得準。