新手帮助 直接结论：第一次配置要拿到一条能验证、能回退、能说清失败原因的连接。本站当前没有通过五项标准的免费资源，本文只给判断与操作方法，不替你担保任何服务的可用性。先学会核验来源、条款与连接状态，再决定要不要注册。
核验日期 2026-10-24 阅读 36 分钟编辑 免梯指数编辑部方法说明，不构成对任何具体服务的可用性承诺。
直接结论与适用边界 第一次配置需要三样东西同时到位：来源可核对的客户端、来源与条款能说清的订阅、一套你重复得出来的验证方法。缺任何一样，后面都会变成反复换节点、反复重装、反复注册。
本站当前收录的合格免费资源为 0 条，审核日期 2026-10-24，下次复核 2026-11-07。这个数字的意思是，没有资源同时通过来源可追溯、额度与有效期及设备数和条款可同时核对、不索取不可撤销的权限、两个独立时点可复核、允许引用结论五项标准。它不表示全网没有免费服务，也不表示免费方案一定不能用。你可以用第 13 节的方法自己核验，核验不过就停在原地，不必因为“限时”“最后一天”之类的字样去注册。
免费的成本通常落在三个地方：你的时间、你的账号、你的流量数据。时间花在安装、排障、重新找订阅；账号花在注册、验证、绑定手机号；流量数据则是运营商、服务方与出口三段都能看到的元数据。把这三项写进预算，再谈免费是否划算。
适用边界有四条：
你有一台自己能改网络设置的设备。公司或学校统一管理的设备不在本文范围内。 你接受先验证再使用，不把任何未核验的订阅导入主力设备。 你愿意为止损设定条件，例如连续两次严重故障就停用。 你不打算用代理隐藏违法行为，也不指望代理带来匿名。 上面任意一条不成立，先把第 9 节与第 14 节读完，再回到配置步骤。配置本身不难，难的是知道什么时候该停。
这个专题解决什么问题 适合读的情况：
第一次听说机场、订阅、节点，分不清它们之间的关系。 已经装过客户端，但只会点连接，出问题只能换节点。 预算有限，想知道免费与每月小额支出之间怎么选。 需要向家人或同事解释这类工具在做什么，又不能夸大。 不适合读的情况：
已有稳定服务，只想调优规则与内核参数。可以去看免费代理软件与资源检测两个专题。 想找具体服务名单与所谓当前可用节点。本站不发布这类名单。 想找绕过实名制、绕过单位网络管理或规避执法的方法。本文不提供。 本文不回答的问题：
哪家服务更快、更便宜、更稳。 某个协议能否突破特定地区的网络管理。 具体价格、折扣码、邀请码与免费额度。 下面这张表帮你判断从哪一节开始。
概念与实体关系 这类工具由一组角色组成，每个角色只负责一段。把角色认清，界面上的词就能对上号，出问题时也知道该看哪里。
这些实体之间的关系是固定的，服务商换名字也改不了它们的分工。
text 应用（浏览器 / 聊天 / 终端） │ 发起连接 ▼ 系统代理设置 ──► 客户端界面 ──► 内核 │ 订阅 ── 返回清单 ─────┤ │ 节点 = 地址 + 端口 + 协议 + 凭据 │ 加密隧道（TLS / QUIC） │ 出口 IP ──► 目标站点 │ DNS 解析器 ◄┘ 几个最容易被混淆的区别：
先看客户端与内核。界面打不开时，可能是内核已经退出，也可能是界面本身崩溃。反过来，关闭窗口后内核仍在后台运行，系统代理没有撤掉，就会出现“明明关了软件却上不了国内网站”的错觉。遇到这类情况，先看进程，再看系统代理开关。
订阅和节点也常被当成同义词。订阅是清单，节点是清单里的一行。订阅地址失效，已经导入的节点通常还能用到下一次更新；订阅更新成功，节点数量也会因为服务方调整而增减。把订阅当成节点，就会在更新后误以为换了一整批服务器。
节点的入口位置与线路走向要分开看。节点是入口地址，线路是入口到出口经过的路径。同一个节点在不同时段表现不同，常见原因在路径拥塞，节点本身未必有故障。
机场属于服务形态，协议属于技术方案。同一家服务可以用多种协议，同一种协议也可以被很多服务使用。选服务时看条款与线路，选客户端时才看协议支持。
配置与订阅的关系稍复杂。订阅更新一般只覆盖它自己下发的那一段，你手写的规则与 DNS 设置能否保留，取决于客户端如何合并配置。备份时两样都要导，只备份订阅链接会在换客户端后丢掉本地规则。
按平台完成最小配置 最小配置指一个客户端、一份订阅、一个接管模式加一次验证。目标是一条路径能通，其余功能按需再加。以下步骤只写通用位置，不同版本的菜单名称会有差异，找不到时优先看客户端的设置分类与官方文档，不要照着来路不明的图文教程点。
五个平台共用的顺序：
定来源。只从项目官方发布页下载，记录版本号与文件名，能核对校验和就核对。 安装。记下安装位置、是否开机自启、是否需要额外运行时。 导入。优先用订阅链接，失败再试本地配置文件；导入后确认节点数量与更新时间。 选模式。先用系统代理或规则模式，确认一个目标网页能打开。 验证并记录。出口 IP、DNS 结果、延迟与失败现象都写进记录，后面排障要用。 每一步都有完成标志，对不上就先停下。
平台与常见开源客户端的对应关系如下，具体下载地址以各项目官方发布页为准。
Windows 从官方发布页取得安装包或压缩包。部分客户端依赖 WebView2 或 .NET 桌面运行时，发布页会写明要求，缺依赖时表现为双击无反应或启动后白屏。首次运行若弹出防火墙提示，允许专用网络即可，公用网络的放行要谨慎。
系统代理开关位于设置中的网络与 Internet 代理页。客户端通常会自动改写这里，退出时未必自动恢复，所以配置前先截图记录原始状态。TUN 模式需要管理员权限，并且会安装虚拟网卡驱动，公司电脑可能禁止安装驱动。
验证顺序：先看托盘图标状态，再看系统代理地址是否指向本机端口，最后用浏览器打开一个目标站点。三项都对仍打不开，进入第 10 节。
macOS 安装包多为 dmg，拖入应用程序目录即可。首次打开会被系统拦截，需要在隐私与安全性里允许。使用 TUN 或网络扩展时，系统会要求批准扩展，批准后可能提示重启客户端。
系统代理位于网络设置的详细信息代理页，可分别设置网页代理与安全网页代理。TUN 模式会创建 utun 接口，退出客户端后应在网络接口列表中消失。若代理开关残留，手动关闭一次。
macOS 的安全软件与公司管理配置可能限制扩展加载，表现为批准后仍然不生效。这时先用系统代理模式，不要反复重装。
Android 安装包从项目发布页或可信应用仓库获取，安装时系统会要求允许安装未知来源应用。首次连接会弹出 VPN 连接请求，这个授权对应系统级流量接管，授予后其他 VPN 类应用通常无法同时生效。
导入订阅后先关闭分应用代理，确认全局可用，再逐项添加需要走代理的应用。省电策略会杀掉后台长连接，需要把客户端加入不受限制名单。切换 Wi-Fi 与移动网络时可能短暂断流，属正常重连。
iOS 客户端依赖 App Store 的地区与账号，部分客户端只在特定地区上架，也有付费客户端。安装后同样需要允许 VPN 配置，系统会在状态栏显示 VPN 标记。iOS 不允许普通应用直接改系统代理，流量接管由客户端写入的 VPN 配置完成。
按需连接功能会在特定网络下自动开启，配置不当会出现“连上却上不了网”。先关闭按需连接做一次手动验证，再决定是否启用。来源不明的描述文件不要安装，它会扩大信任范围。
Linux 命令行内核适合网关与服务器环境。配置文件放在用户配置目录，用 systemd 管理进程，日志通过 journalctl 查看。TUN 需要 CAP_NET_ADMIN 或 root，长期运行建议用能力位，避免全程 root。
DNS 处理容易出问题。systemd-resolved 默认在 127.0.0.53 监听，内核若直接改 etc/resolv.conf 可能被覆盖。要么让内核接管 DNS，要么把系统解析器指向内核提供的地址，两者只选一种。
验证：查看服务状态、监听端口、出口 IP 三项。改动前备份配置文件，回滚时直接换回旧文件并重启服务。
权限与限制对照 五个平台要的授权不一样，拒绝授权后损失的功能也不一样。先看清代价，再决定给不给。
授权原则是最小够用。能用系统代理验证链路，就先不要申请管理员权限；能用分应用代理，就不要让全部应用走隧道。权限给得越多，卸载时的残留与冲突也越多。
验收与回退 配置完成后按这张表验收，六项都过再导入日常使用。
回退准备在配置前做完，成本最低：
记录原始系统代理设置，最好截图。 导出当前配置与订阅链接，放在加密盘或密码管理器里。 记下客户端与内核版本号，方便回滚。 知道如何强制退出内核进程，而不只是关闭窗口。 留一条不依赖代理的备用通道，例如手机热点。 系统代理与 TUN 两种接管方式的主要差别在覆盖范围与权限，速度通常不是决定因素。
系统代理是应用层约定。程序读取系统设置才会遵守，不读的程序照常直连。浏览器、部分下载工具会读，Java 应用、部分游戏、容器与终端工具经常不读，这就是“只有浏览器能上网”的来源。
TUN 在网络层接管，创建虚拟网卡并修改路由表，所以需要更高权限。它能覆盖不读代理设置的程序，也会和其他 VPN、虚拟机网卡、企业安全软件争夺路由。手机上授予的 VPN 权限本质接近 TUN，因此同一时间通常只有一个代理应用生效。
选择顺序：先用系统代理确认订阅与节点可用，再决定是否升级到 TUN。不要为了彻底而一上来就开 TUN，权限越大，排障面越宽。
TUN 出问题时按三步回退：退出客户端，检查虚拟网卡是否消失，检查默认路由是否恢复。路由残留会导致断网，重启网络服务或重启系统可以清理。
DNS 与分流 DNS 决定你把域名交给谁解析，分流决定哪些流量走隧道。两者配错的表现很相似，都是“能连上但打不开”或“部分网站很慢”。
三种解析路径：
本地解析。应用向系统解析器查询，再由运营商 DNS 递归。速度快，请求对本地网络可见，可能被污染。 远端解析。客户端把域名交给出口服务器解析，本地只看到加密流量。减少污染，但出口看到的域名更集中。 加密解析。使用 DoH 或 DoT，把查询放进 TLS 连接。能减少明文观察，仍要信任解析服务方。 分流规则按类型匹配，顺序从上到下，命中第一条就停止。
四条实践规则：
精确规则放前面，兜底放最后。把 MATCH 写在中间，后面的规则永远不会生效。
写 IP 规则时加 no-resolve。否则内核为了匹配会先解析域名，规则还没生效就产生了一次 DNS 查询。
国内域名不要一律走代理。CDN 会按来源调度，绕一圈反而更慢，还会让部分服务触发风控。
fake-ip 模式下 ping 通不代表真实可达。它返回的是保留地址段中的假地址，只用于把连接引到内核。用真实 IP 查询页验证出口，不要用 ping 结果判断。
IPv6 会绕过只处理 IPv4 的规则。双栈网络下，如果规则只写了 IPv4 网段，或者代理没有可用的 IPv6 出口，部分连接会直接走本地 IPv6，形成泄漏。检查方法是在启用代理后访问 IPv6 测试页，看返回地址是否属于本地运营商。处理方式有两种：关闭系统 IPv6，简单但会影响依赖 IPv6 的服务；让内核同时接管 IPv6 并在节点侧启用，完整但要求节点支持。按你的实际网络选择，不要默认关掉。
技术参数对比大表 这张表把新手最常遇到的参数放在一起。每行都标注单位、测量口径与数据性质。数据性质分四类：协议规定指标准文档写死的值，现场可测指你用工具能重复测出的值，服务方声明指只能引用对方说法的值，示例假设指本文为演示计算而设，并非实测数据。
读表时注意三个口径问题。
Mbps 与 MB/s 差八倍。标称 100 Mbps 约等于 12.5 MB/s，浏览器下载面板显示的是后者。把两个单位混着比较，会得出完全相反的结论。
GB 与 GiB 差约百分之七。服务方按十进制 GB 计费，操作系统按二进制 GiB 显示，100 GB 在系统里看起来只有 93 GiB 左右。差额来自换算，不是被偷了流量。
延迟低不等于速度快。延迟描述往返时间，吞吐描述单位时间能传多少。卫星链路延迟很高但带宽够用，拥塞链路延迟正常但吞吐很低。两个指标要分开测。
决策树：先判断你需要哪一类方案 下面这棵树按你手里的资源分流，走到叶子节点再回到对应章节。它不评价任何服务，只判断你该先做哪件事。
text 起点：你现在有什么 ├─ 没有任何客户端 │ ├─ 主要用手机 │ │ ├─ iPhone → 第 4 节 iOS 段，先确认商店地区 │ │ └─ Android → 第 4 节 Android 段，只装一个客户端 │ └─ 主要用电脑 │ ├─ 能装驱动、愿意授权 → 系统代理起步，必要时再开 TUN │ └─ 公司电脑、不能装驱动 → 只用便携版与系统代理 ├─ 有客户端，没有可用订阅 │ ├─ 预算为零 │ │ ├─ 愿意按方法核验 → 第 13 节，逐项记录证据 │ │ └─ 不愿意核验 → 停在原地，不要注册 │ └─ 能接受每月小额支出 │ ├─ 用量低于 20 GB → 先看流量包与最短周期 │ └─ 用量高于 100 GB → 比较月付与季付，不买年付 └─ 有订阅，但不稳定 ├─ 全部节点都失败 → 查本地网络、系统时间与订阅更新 ├─ 部分节点失败 → 查协议、端口与 UDP 是否被拦 └─ 特定网站失败 → 查规则、DNS 与目标站风控 树上有三个常见误判，提前说明。
订阅过期被当成节点全挂。节点列表还在，延迟测试却全部超时，先看订阅的到期时间与更新日志，再看节点。
DNS 故障被当成节点故障。节点延迟正常，网页就是打不开，多半是解析环节出了问题。第 10 节把两者分开。
目标站限速被当成线路差。只有某一个网站慢，其他站点正常，先换目标站点对照，再怀疑线路。
数据是怎么走的：协议与网络原理 这一节解释五个基础件：代理握手、TCP 与 UDP、TLS、QUIC、DNS 与 MTU。看懂之后，第 10 节的故障树才有判断依据。
代理握手：先说明要去哪 本地代理入口接受两种常见握手。SOCKS5 在 RFC 1928 中定义，支持认证与 TCP、UDP 转发；HTTP CONNECT 是 HTTP 的隧道方法，在 RFC 9110 中定义。两者都只负责说明目标地址与端口，不负责加密。加密由后面的代理协议与 TLS 完成，这是两层不同的事。
text 浏览器 │ HTTP 请求 ▼ 本地入口 127.0.0.1:端口 │ SOCKS5 / HTTP CONNECT：只说明要去哪 ▼ 内核：匹配规则，选定出站 │ 代理协议封装（VLESS / VMess / Trojan / Shadowsocks） ▼ 传输层：TLS over TCP，或 QUIC over UDP ▼ 网络层：加密后的字节流 ▼ 本地网络 → 运营商 → 跨境链路 → 出口服务器 → 解密 → 目标站点 握手失败与传输失败要分开看。本地入口连不上，是客户端没启动或端口不对；本地入口能连、节点握手超时，是地址、端口、凭据或网络拦截的问题；握手成功但网页打不开，才是 DNS 与规则的问题。
TCP 与 UDP TCP 提供有序、可靠、带重传的字节流，代价是握手与拥塞控制。UDP 不保证顺序与到达，代价由应用自己承担。代理协议可以跑在 TCP 上，也可以跑在 UDP 上。
QUIC 把可靠传输做在 UDP 之上，因此同时具备 UDP 的穿透特征与接近 TCP 的可靠性。网络管理员可以按协议类型限制 UDP，这时依赖 UDP 的功能先坏：QUIC 站点回退到 TCP、语音与游戏卡顿、部分视频连接失败。TCP 通常更容易通过，但握手与重传开销更大。
TLS 与证书 TLS 1.3 在 RFC 8446 中定义，握手通常一个往返完成。客户端验证证书链、域名与有效期，任何一项不匹配都会终止连接。TLS 提供加密与身份验证，它不隐藏你连接了哪个 IP，也不隐藏流量大小与时间。
text TCP + TLS 1.3（1-RTT） 客户端 服务器 │──── TCP SYN ─────────────────────►│ │◄─── SYN-ACK ──────────────────────│ │──── ACK ──────────────────────────►│ │──── ClientHello + 密钥共享 ───────►│ │◄─── ServerHello + 证书 + Finished ─│ │──── Finished + 首个请求 ──────────►│ │◄─── 响应 ──────────────────────────│ QUIC（TLS 1.3 内嵌，1-RTT） 客户端 服务器 │──── Initial（含 ClientHello）─────►│ │◄─── Initial + Handshake ───────────│ │──── Handshake + 首个请求 ─────────►│ │◄─── 响应 ──────────────────────────│ 握手包里能看到服务器证书的域名与有效期，所以“证书错误”往往比“连接超时”提供了更多信息。第 10 节会按这两类错误分别排查。
QUIC 与 REALITY QUIC 在 RFC 9000 中定义，把传输与加密合并，减少建连往返。它的丢包恢复策略与 TCP 不同，在高丢包链路上可能更稳，也可能因为 UDP 被限速而更差。可用性取决于路径，不取决于宣传。
REALITY 是一类借鉴真实站点握手特征的方案，目的是让代理握手更难与普通 TLS 流量区分。它不改变加密的基本原理，也不提供匿名。把它放在伪装层理解就够了，它不解决线路质量，也不解决本地 DNS 问题。
DNS 与 MTU DNS 默认是明文 UDP 查询，端口 53。明文查询可被观察与篡改，表现为返回错误地址、超时或跳到无关页面。加密 DNS 使用 DoH 或 DoT，把查询放进 TLS，但解析服务方仍能看到你查了哪些域名。
text 路径 A 本地解析 应用 → 系统解析器 → 运营商 DNS → 权威服务器 → 返回地址 （明文，可被观察与篡改） 路径 B 远端解析 应用 → 内核 → 加密隧道 → 出口服务器解析 → 目标站点 路径 C 加密解析 应用或内核 → DoH（443）或 DoT（853）→ 解析服务 → 返回地址 MTU 是单个链路层帧能承载的最大字节数。以太网常见 1500，PPPoE 拨号减到 1492，再叠加隧道封装还会更小。路径上任何一段装不下又不允许分片，包就被丢弃。表现很有特征：小请求能通，大响应卡住，图片加载一半，登录提交失败。
text 以太网 MTU 1500 IP 头 20 + TCP 头 20 → MSS 1460 PPPoE 再减 8 → MTU 1492，MSS 1452 WireGuard 类封装再减约 60 至 80 → MTU 1420 附近 超过路径 MTU 且禁止分片 → 大包被丢弃 判断方法：用逐步增大的包做禁止分片探测，找到能通过的最大值，再把接口 MTU 设到该值附近。不要一上来改到 1200，过小会降低效率，也会让某些网站直接拒绝连接。
连接失败的分层排查 按层排查的意思是每次只改一个变量。先确认现象属于哪一层，再做该层最小的验证动作。频繁换节点会同时改变多个变量，让你失去对照，最后说不清是哪一步修好的。
text 现象：浏览器打不开网页 ├─ 1 本地网络 │ ├─ 手机热点也打不开国内网站 → 本地网络或 DNS 故障 │ └─ 热点正常 → 进入下一层 ├─ 2 客户端 │ ├─ 进程不在 → 启动失败：依赖、权限、配置语法 │ └─ 进程在 → 本地端口是否监听 │ ├─ 未监听 → 端口冲突或配置未加载 │ └─ 已监听 → 进入下一层 ├─ 3 节点握手 │ ├─ 全部节点超时 → 地址、端口、防火墙、UDP 被拦 │ ├─ 证书错误 → 系统时间、证书链、域名不匹配 │ └─ 握手成功 → 进入下一层 └─ 4 解析与规则 ├─ 域名解析失败 → DNS 设置、污染、域名拼写 ├─ 解析成功但连接超时 → MTU、出口拥塞、目标站限速 └─ 出口 IP 与节点地区不符 → 规则未命中或泄漏 五分钟初筛，按顺序做，每步只记录结果不改配置：
用另一台设备或手机热点访问一个国内站点，确认本地网络正常。 打开客户端日志，找到第一条错误，不要从最后一条读起。 确认系统代理指向的地址与端口，和客户端显示的一致。 做一次节点延迟测试，区分全部失败与部分失败。 查一个域名的解析结果，再查出口 IP，两项分别记录。 只改一个变量后重测，改之前写下预期结果。 日志里的关键字比界面状态可靠。
成本模型与预算测算 把标价换成可比较的数字，只需要四个公式。
单位流量成本 = 周期总价 ÷ 周期计费流量，单位元每 GB。 有效月成本 = 总价 ÷ 实际使用月数，单位元每月。 设备摊薄成本 = 有效月成本 ÷ 可用设备数，单位元每台每月。 含时间成本 = 现金支出 + 每月排障小时 × 时薪。 下表全部为测算假设，不代表任何服务的报价，也不代表市场行情。
例一，单位流量成本。假设月付 10 元、计费流量 100 GB，则 10 ÷ 100 = 0.10 元每 GB。若其中 30 GB 走了 2 倍率节点，计费量变成 30 × 2 + 70 = 130 GB，同样的钱只买到约 77 GB 的实际流量，单位成本升到 0.13 元每 GB。
例二，年付盈亏平衡。假设年付 100 元，用满 12 个月，有效月成本 8.33 元，低于 10 元月付。若只用了 5 个月就停用，100 ÷ 5 = 20 元每月，比月付贵一倍。年付划不划算，取决于你实际会用几个月。折扣力度本身不决定结果。
例三，免费的时间成本。假设现金支出为 0，每月花 2 小时排障，时间单价 30 元，隐性成本就是 60 元每月。这个数字高于 10 元月付。免费是否省钱，要看你的时间有没有别的用途。
三个结论：
先算单位流量成本，再比较总价。总价低但流量更少的套餐，单位成本可能更高。
年付只在确定长期使用时才划算。服务终止、线路降级与条款变更都不受你控制，把未使用的月份按全价摊回去，才是真实成本。
把排障时间算进去。免费方案的时间支出经常超过省下的现金，尤其是需要反复找订阅的阶段。
术语表 界面与条款里的词，按三列对照。第三列写的是最容易混淆的地方。
核验方法与可复现条件 核验的目标是让另一个人按你的记录复现出同样的结果。做不到复现，结论就只能算个人感受。
五个必填要素：
时间。写到分钟，注明时区，跨天测试要分开记录。 环境。设备型号、系统版本、客户端与内核版本、网络类型与带宽。 单位。延迟用毫秒，吞吐用 Mbps，流量用 GB，注明十进制或二进制。 证据。截图、日志时间戳、原始输出，保留失败样本，不要只留成功样本。 步骤。从打开客户端到得出结果的操作顺序，别人能照着做。 流程分五步：
核对来源。发布页、版本号、校验和三项对得上，才进入下一步。 核对条款。日志政策、退款条件、可接受使用政策各读一遍，记录关键句。 验证连接。按第 10 节的分层顺序确认客户端、入口、握手、解析四层都通。 测量指标。同一时段采三次以上，记录中位数与最差值，标注是否高峰时段。 复测。隔天再测一次，连续三天通过才进入候选。 记录表可以直接照抄，字段不要省。
判定门槛建议写死：连续三天、每天两个时段、延迟与抖动、丢包、吞吐四项都有记录，才算通过。任何一项缺失，结论写证据不足。这套方法在资源检测专题里有更细的展开，见核验方法 。
安全、隐私与合规边界 代理改变的是流量的出口，不改变你是谁。下面这张威胁模型表说明谁能看到什么，以及低成本的处理方式。
三类观察者叠加，能推断出的信息比多数人以为的多。出口运营方看到你访问的域名、时间与流量大小；本地运营商看到你连接了哪个出口地址；目标站点看到出口 IP 与请求特征。代理不提供匿名，也不消除这些元数据。
合规部分只说边界，不给操作指导。不同司法辖区对代理工具、跨境访问与内容服务的规定不同，使用前自行确认当地法律、服务条款与可接受使用政策。本文不提供规避实名制、规避执法调查或隐藏违法行为的方法。
服务方的可接受使用政策通常禁止垃圾邮件、网络攻击、盗版分发与欺诈交易。违反的后果一般是封号，已付费用按条款处理，多数情况不退。
最小化清单：
不用主邮箱注册非必要服务，邮箱别名足够。 手机号只在必需时提供，能跳过就跳过。 支付使用可限额的渠道，不保存完整卡信息。 不安装来源不明的根证书，不关闭 TLS 校验。 不在代理下登录银行、政务与主邮箱。 试用结束后撤销授权、删除配置、清理证书。 0
VERIFIED RESOURCE LEDGER
本期合格免费资源 审核日期 2026-10-24 · 下次复核 2026-11-07
ZERO RESULT 本周期没有收集到同时满足五项发布标准的公开资源。限时活动、邀请码、已失效节点和需要付费才能解锁的“免费”方案，都不会被写成可领取额度。收录数量因此保持为零。
一条资源要同时过五关 运营方有可追溯的官方页面或公开主体信息 免费额度、有效期、设备数与使用条款可以同时核对 不要求不可撤销的敏感权限、异常支付信息或向第三方转发账号 至少在两个独立时点可复核，且核验当日仍能打开官方说明 允许引用核验结论，且不把付费解锁包装成免费领取 分类地图：八个二级分类 新手帮助专题按学习顺序拆成八个二级分类。每个分类解决一类问题，下面按顺序说明定位与包含的集群。
八个分类的阅读顺序可以按需要跳。第一次配置，读基础概念、配置与连接、平台指南三块；已经能连上但总出问题，直接读连接失败；准备花钱，读免费到付费、合规与风险管理两块。
i 选题是编辑路线图，不是已经发布的页面。未完成独立核验与写作的题目不会生成可点击链接，避免空页面、重复内容和虚假覆盖。已发布的长文在各专题页首屏与页尾单独列出。
客户端、内核、订阅、节点、机场与协议。
查看长尾选题 7 01 客户端、内核、节点与机场：四个角色各自负责哪一段 规划 02 订阅链接里装的是什么，为什么它不等于一个节点 规划 03 代理、VPN 与机场三个词的区别，以及日常说法为何混乱 规划 04 配置文件与订阅配置：换客户端时哪些内容能带走 规划 05 协议与传输方式的关系：同一节点为何能换不同组合 规划 06 入站、出站与规则：客户端里最容易被跳过的三个词 规划 07 节点、线路与出口 IP 不是同一件事，判断位置要看哪一层 规划 从应用到本地代理、隧道、出口和目标站点。
查看长尾选题 7 01 一次网页请求经过的五个环节，从应用到目标站点 规划 02 系统代理与 TUN 模式下，流量路径差在哪一步 规划 03 本地代理端口是什么，为什么客户端要先在本机开一个入口 规划 04 开代理后 DNS 由谁解析：三种路径与三种结果 规划 05 TCP 握手与代理握手是两件事，失败时怎么区分 规划 06 加密从哪一跳开始：本地代理到出口之间谁看得见什么 规划 07 流量在哪一层被计数，为什么客户端与账单对不上 规划 按平台、协议和维护状态选择客户端。
查看长尾选题 7 01 按平台选客户端：五类设备各自能装什么 规划 02 图形客户端与内核版本不匹配时会出现什么 规划 03 官方发布页、镜像站与网盘安装包的差别 规划 04 便携版与安装版怎么选，卸载后残留会留在哪里 规划 05 客户端第一次启动的检查清单 规划 06 换客户端时如何迁移订阅与规则 规划 07 客户端索要管理员权限与 VPN 权限时，哪些属于正常工作需要 规划 导入订阅、更新节点、设置分流。
查看长尾选题 7 01 订阅导入的三种方式：链接、二维码与本地文件 规划 02 Base64、Clash YAML 与 sing-box JSON 三种订阅格式怎么认 规划 03 订阅更新做了什么，为什么节点数量会变 规划 04 客户端 UA 为什么会改变订阅返回的内容 规划 05 规则、全局与直连三种模式的区别与使用场景 规划 06 自己写一条分流规则：域名、IP 段与关键词的优先级 规划 07 配置文件里的 DNS 段落该看哪几行，改错会怎样 规划 服务条款、日志、主体与来源。
查看长尾选题 7 01 注册前读服务条款，先看日志、退款与可接受使用三节 规划 02 判断服务由谁运营：主体、域名与联系方式能说明什么 规划 03 隐私政策里的五类模糊表述，遇到就该放慢 规划 04 免费服务的钱从哪来：四种成本转移方式 规划 05 社区反馈怎么读：样本偏差、时间衰减与水军特征 规划 06 域名与证书历史能查出什么，查不到什么 规划 07 出现哪些信号应该立刻停用并改密码 规划 VPN 权限、证书、系统代理与账号隔离。
查看长尾选题 7 01 手机上的 VPN 权限授予了什么，能看见哪些流量 规划 02 桌面端装 TUN 为什么要管理员权限，拒绝后还能怎么用 规划 03 让你安装根证书的客户端，风险在哪里 规划 04 系统代理能覆盖哪些应用，哪些程序会绕过它 规划 05 分应用代理怎么设，避免把银行与内网应用一起代理 规划 06 账号隔离：邮箱别名、独立密码与不共用手机号 规划 07 试用结束后如何收回权限、删除配置与清理证书 规划 版本、配置、日志、TUN 与系统代理。
查看长尾选题 7 01 客户端显示已连接但网页打不开，先查这五处 规划 02 客户端日志怎么看：时间戳、级别与关键字 规划 03 TUN 模式开启后完全没网，路由与 DNS 怎么查 规划 04 订阅导入失败的五种报错与对应原因 规划 05 客户端启动即崩溃：依赖、权限与配置损坏的排查顺序 规划 06 只有浏览器能上网，其他应用不走代理怎么办 规划 07 更新后不能用，如何回滚到上一个可用版本 规划 DNS、UDP、MTU、证书、时间与运营商。
查看长尾选题 7 01 DNS 污染的表现与验证方法，别把它当成节点失效 规划 02 MTU 不匹配的症状：网页能开但文件传不完 规划 03 UDP 被阻断时哪些功能先坏，怎么确认 规划 04 证书错误的四种来源，逐一定位而不是关掉校验 规划 05 系统时间偏差为什么会让 TLS 握手失败 规划 06 晚高峰变慢：运营商、跨境链路与出口三段怎么分离 规划 07 双栈环境下的 IPv6 泄漏，怎么查与怎么关 规划 单位流量、设备数、使用月数与时间成本。
查看长尾选题 7 01 单位流量成本怎么算：价格、计费流量与倍率 规划 02 月付与年付的盈亏平衡点，用几个月才划算 规划 03 多设备场景的成本摊薄，按并发数还是按人头算 规划 04 把排障时间折成钱：免费方案的真实成本 规划 05 不限时流量包与月付的临界用量 规划 06 低价套餐的六项隐藏成本，付款前逐项核对 规划 07 每月 10 元、30 元、100 元三档分别能买到什么 规划 稳定性、隐私、支持和退出成本。
查看长尾选题 7 01 稳定性值多少钱：用中断次数与恢复时间折算 规划 02 为隐私多付费用的判断依据，哪些承诺无法验证 规划 03 客服响应速度怎么在付款前测试 规划 04 退出成本比较：订阅备份、退款窗口与迁移时间 规划 05 免费用到第一次严重故障，该继续还是换 规划 06 哪些场景继续用免费方案是理性的 规划 07 触发付费升级的七个具体条件 规划 iOS、Android 的安装、权限与后台限制。
查看长尾选题 7 01 Android 最小配置：装客户端、导入订阅、开 VPN 权限 规划 02 iOS 装客户端的地区限制与替代路径 规划 03 手机后台被杀导致断线，省电设置怎么调 规划 04 长时间开代理的耗电与发热，哪些设置能降下来 规划 05 平板与热点共享：一台设备开代理，其他设备怎么走 规划 06 手机分应用代理：只让需要的应用走隧道 规划 07 从 Wi-Fi 切到移动网络就断，重连逻辑怎么设 规划 Windows、macOS、Linux 的代理与 TUN。
查看长尾选题 7 01 Windows 最小配置：从官方发布页到打开第一个网页 规划 02 macOS 最小配置：系统扩展授权与代理开关 规划 03 Linux 命令行内核最小配置：配置文件、服务与日志 规划 04 桌面端选 TUN 还是系统代理，按应用覆盖需求决定 规划 05 Windows 开机自启与服务模式，什么时候需要 规划 06 macOS 反复弹出网络扩展授权，怎么处理 规划 07 Linux 上 systemd-resolved 与代理 DNS 冲突怎么解 规划 RTT、丢包、BGP、IPLC、TLS、QUIC、MTU。
查看长尾选题 7 01 RTT、抖动与丢包：三个指标各自描述什么 规划 02 BGP、中转与 IPLC 这些线路词的实际含义 规划 03 TLS、QUIC 与 REALITY 在握手层面的差别 规划 04 MTU 与 MSS：为什么差几个字节就会卡住 规划 05 NAT 类型与端口限制，对 P2P 和游戏有什么影响 规划 06 ASN 与 IP 信誉：同一个地区为什么表现不同 规划 07 Mbps 与 MB/s 的换算，标称带宽与实测吞吐的差距 规划 倍率、流量重置、并发、试用、退款。
查看长尾选题 7 01 流量倍率是什么，结算时怎么影响余额 规划 02 流量重置日与有效期：两种计时叠在一起怎么算 规划 03 并发数与设备数限制的实际执行方式 规划 04 试用额度与免费档的区别，条款里看哪一句 规划 05 退款窗口与已用流量扣减的常见写法 规划 06 自动续费与到期提醒：付款前要关掉哪些开关 规划 07 套餐降级、升级与按比例折算的计费规则 规划 当地法律、服务条款与可接受使用政策。
查看长尾选题 7 01 使用前确认当地法律：需要查哪三类规定 规划 02 可接受使用政策里最容易踩线的四类行为 规划 03 跨区访问流媒体与版权限制的边界 规划 04 公司或校园网络下的使用限制与后果 规划 05 服务要求实名时，你能做的与不能做的 规划 06 服务方收到调取请求时会交出什么，条款怎么写 规划 07 跨境传输个人数据的基本风险，哪些信息不要传 规划 最小化注册、隔离支付、备份与退出。
查看长尾选题 7 01 注册时最少要交哪些信息，哪些可以不给 规划 02 邮箱别名与独立密码：账号隔离的最小做法 规划 03 支付隔离：虚拟卡、限额与账单信息最小化 规划 04 订阅与配置备份：换设备前要导出什么 规划 05 注销账号前要做的四件事 规划 06 订阅链接或密码泄漏后的应急处理顺序 规划 07 多账号边界：同一设备登录多个服务会暴露什么 规划 跨专题选择路径 这个专题讲方法与顺序，具体领域的内容分布在其他专题。按你当前的问题选入口。
三篇指南适合作为下一步阅读：
如果已经连不上，另有一篇免费机场无法使用怎么办 按现象给出处理顺序。
常见问题 免费梯子和机场有什么区别 免费梯子通常指一整套能用的方案，可能由开源客户端加免费节点组成。机场指提供节点与订阅的服务方，有免费档也有付费档。一个强调工具组合，一个强调供给方。你装在设备上的是客户端，连的是节点，节点由服务方维护。三个词混用不影响日常沟通，排障时要分开，否则会对着客户端找服务方的问题。把三者分开之后，遇到问题才知道该查客户端设置、订阅状态还是服务方公告。
客户端显示已连接，为什么网页还是打不开 已连接只说明本地进程与节点握手成功，不保证解析与分流正确。先确认系统代理指向本机端口，再查域名解析结果与出口 IP，最后看规则是否命中。也可能是目标站点风控或本地网络限制。按第 10 节的顺序逐层查，每步只改一个变量。直接换节点会让你失去对照，最后不知道是哪一步修好的。记录每一步的观察结果，下一次出问题可以直接对照，省掉重复试错。
同一个节点昨天能用今天不行 常见原因有四个：订阅更新后地址或凭据变了；节点被服务方下线；你的网络到该地址的路径被拦截或拥塞；系统时间偏差导致证书校验失败。先看订阅更新时间与日志第一条错误，再归类。全部节点同时失效，更像订阅或本地网络问题；只有一个节点失效，更像节点本身或路径问题。订阅显示已过期时，先续期或更换来源，再谈节点质量。
系统代理和 TUN 该选哪个 桌面端先用系统代理，配置简单，回退快，能覆盖浏览器与常见应用。需要覆盖不读代理设置的程序，或者要做分应用精细控制，再考虑 TUN。TUN 需要管理员权限，会和其他 VPN 或虚拟网卡冲突。手机授予的 VPN 权限接近 TUN，没有系统代理这个选项。先用低权限方案验证链路，再决定是否升级。两种模式可以随时切换，切换后重新验证一次出口 IP。TUN 解决的是覆盖范围，不负责提速。
订阅链接可以发给朋友吗 不建议。订阅链接通常带有你的账号标识，别人使用会消耗你的流量，也可能触发并发限制与风控，导致你自己的连接被断开。部分服务会把异常多用视为共享账号。要分享就分享方法，不要分享带凭据的链接。发现链接泄漏后，立即在服务方后台重置，并检查是否有异常用量。定期更换订阅地址，把损失限制在最小。分享给家人前，也要确认条款是否允许。
免费节点能用来登录账号或付款吗 不建议。免费节点的运营者、日志政策与中间人风险都无法核验，登录凭据与支付信息一旦经过不可信出口，后果由你承担。需要登录重要账号时，优先使用自己的移动网络或可信网络。必须使用时，至少开启两步验证，并且不要在同一会话里完成付款。账号安全的价值高于省下的订阅费用。确需在代理下登录时，先确认出口地区稳定，避免触发异地登录验证。
手机开代理后耗电快、后台掉线 代理需要维持长连接并持续加解密，耗电高于普通待机。后台被杀多来自系统省电策略，把客户端加入不受限制名单，关闭电池优化，允许后台活动。不要为了省电关闭 TLS 校验或改用明文协议。Wi-Fi 与移动网络切换时的短暂断流属于正常重连，可以在客户端里调整重连间隔。不同厂商的省电策略差异很大，调整后观察一晚再决定。若仍然掉线，检查是否同时开了两个 VPN 类应用。
需要手动改 DNS 吗 多数情况下不需要。客户端自带的 DNS 设置已经能处理解析与分流，手动改系统 DNS 容易和客户端冲突。出现解析失败、污染或国内站点变慢时，再按第 6 节区分是解析路径问题还是规则问题。改之前记录原值，改完只测一个域名，确认有效再扩大范围。一次改多个设置，会失去排查依据。改完 DNS 后清一次缓存，否则旧结果还会生效一段时间。出现新问题就改回原值，保留可回退的状态。
节点延迟低就一定快吗 不一定。延迟描述往返时间，吞吐描述单位时间传输量。延迟低但带宽被限速的节点，下载仍然慢；延迟高但带宽充足的节点，看视频可能更顺。测速要同时看单流吞吐、丢包与抖动，并在同一时段对比。只看延迟数字容易被表面数据误导，尤其是延迟测试本身只发很小的包。测试时固定目标端点与时段，结果才有可比性。单次测速的偶然性很大，至少取三次中位数。
免费客户端会不会偷数据 闭源客户端无法从代码层面验证行为，开源客户端也可能被第三方重新打包。降低风险的做法是只从官方发布页下载、核对校验和与签名、检查权限请求是否与功能匹配。即使客户端可信，节点运营方仍能看到出口流量的元数据。软件可信与服务可信是两件事，需要分别判断。核对发布页的仓库地址与签名，比看界面像不像官方更可靠。安装后检查它申请了哪些权限，与功能对不上的直接卸载。
什么时候该从免费转到付费 出现下面任意两条就该考虑：每月排障超过两小时；关键工作因断线受阻；需要稳定登录重要账号；设备数超过免费额度；免费来源的条款与主体无法核验。先用最短周期与最小额度验证，再决定是否长期付费。不要因为折扣直接买年付，把未使用的月份按全价摊回去再比较。把候选服务的单位流量成本、退出条件与排障时间列成表，再和免费方案对比。结论可能是不买，这也算有效判断。
数据来源与更新记录 本文的协议描述来自公开标准与官方文档，不含任何服务商提供的测试数据。
下一步 OFFICIAL SOURCES
先把软件来源搞对 软件免费，不等于背后的服务器免费。下面只指向开源项目的官方发布页，不含推广参数；下载前仍要核对版本、校验和与签名。
