机场订阅与客户端配置：系统代理、TUN 模式分流与订阅转换安全边界

第一次买机场的人常有一个误解：付完款，设备就能直接出海。实际上服务商给你的是一条“订阅链接”，还需要一个客户端把它导入、选节点、决定哪些流量走代理。本文讲清楚两者的分工、订阅链接为什么要当密码保管、系统代理和 TUN 模式的区别，以及为什么不要把订阅链接交给第三方在线转换。本站没有逐个测试客户端，下载渠道和用法以服务商教程与各项目官方页面为准。

买了机场以后怎么用：四步

1. 在服务商后台找到订阅链接，它是一串带你个人密钥的网址。
2. 按你的系统选一个客户端，从项目官网或官方应用商店下载，不要用来源不明的安装包。
3. 在客户端里选择“导入订阅”，粘贴链接，等节点列表出现。
4. 选一个节点连接，打开网页测试；再按需要调整分流规则和 DNS。

分工边界：服务商供节点，客户端管分流

• 服务商：提供境外线路和节点，向付费用户发放访问凭证，并在后台显示套餐、用量和到期时间。
• 客户端：拉取并解析节点配置，在本机建立代理，按规则决定哪些流量走代理、哪些直连，并处理 DNS。
• 费用是分开的：你付给服务商的是线路和流量的钱，客户端的费用另算：有的客户端免费，有的是付费应用，价格以应用商店或项目页面为准，不要把客户端和服务商混为一谈。

订阅链接的本质：配置清单加个人密钥

订阅链接本身不是代理通道，而是一个地址：客户端向它发出请求，服务商的面板检查链接里的个人密钥，通过后返回节点地址、端口、加密方式和密码等配置。这意味着，谁拿到这条链接，谁就能拉取同一份节点配置并消耗你的流量。所以要把它当密码保管，不要发到群里、论坛或代码仓库，一旦泄露，到后台找重置订阅的入口，没有就联系客服。

系统代理和 TUN 模式的区别

• 系统代理：客户端在本机开一个代理端口，并把它登记为系统代理。只有遵守系统代理设置的程序（如多数浏览器）会走它，命令行工具、开发环境和部分软件可能直接连网，不经过代理。
• TUN 模式：客户端创建虚拟网卡，让整台设备的网络流量先经过它，不走系统代理设置的程序也能被接管。代价是通常需要更高的系统权限，也可能与其他网络软件冲突，开启前先看客户端的说明。

日常浏览网页，用系统代理一般就够了；有命令行、开发或联机游戏需求时，再考虑 TUN。

不要把订阅链接交给在线转换网站

有些客户端不认服务商给的格式，网上就有人用在线“订阅转换”网站转格式。转换时你要把完整的订阅链接填给对方，对方就拿到了你的个人密钥和全部节点配置：

• 密钥外泄：转换网站的后台可以保存你提交的链接，之后能否被滥用，取决于对方，你无从核实。
• 配置被改：转换后的配置由对方生成，理论上可以被写入你没有察觉的规则。
• 更稳妥的做法：优先用服务商后台提供的、客户端可直接导入的链接；确实要转换，就在自己的电脑上运行开源转换工具，不使用公共在线服务。

各平台的客户端与接管方式

表里只是常见例子，不是推荐，也没有测试结果；项目是否仍在维护、是否支持你的订阅格式，以其官方页面为准。

维护订阅的五项习惯

1. 订阅链接不公开分享；怀疑泄露，就到后台找重置订阅的入口，没有就联系客服。
2. 按服务商的建议设置订阅自动更新，节点变动后才能及时同步。
3. 日常网页用系统代理，有命令行或联机需求再开 TUN。
4. 在客户端里设置加密 DNS，让域名解析走代理，减少被运营商篡改的可能。
5. 定期更新客户端，只从官方渠道获取安装包。

常见问题