安卓 VPN 分流规则怎么设置？指定应用直连与代理一次配好

先弄清安卓应用分流的工作方式

Android 客户端通常通过系统 VPNService 接口接管设备流量，再按应用、域名或 IP 规则决定流量走向。应用分流是其中一种判断条件：客户端读取应用列表，由你选择哪些应用进入代理，或者指定哪些应用绕过代理。它与“规则模式”“全局模式”并不是同一层设置，实际效果还取决于客户端是否启用了相应的路由功能。

不同软件对应用清单的表达方式不完全一样。有些提供“代理以下应用”和“绕过以下应用”两种模式；有些通过“包含应用”“排除应用”或“按应用路由”管理。看清当前模式再勾选应用很重要：同一个清单，在包含模式下表示要代理，在排除模式下却可能表示要直连。不要仅凭复选框的数量判断流量方向。

也要区分应用分流与域名规则。应用分流关注哪个应用发起连接；域名规则关注请求访问哪个域名。浏览器里的网页请求可以按域名匹配，而浏览器本身的其他连接仍可能遵循应用分流设置。若应用会调用系统 WebView 或其他共享组件，实际发起请求的组件和你预想的应用名称也可能不同。

• ✅ 先确定目标：哪些应用必须代理，哪些应用明确需要直连。
• ✅ 查看客户端对应用选择的定义，确认选中代表“代理”还是“绕过”。
• ✅ 每次只调整一类规则，方便根据验证结果定位原因。
• ❌ 不要把“规则模式”误认为自动按应用分流，也不要假定所有应用都服从系统代理。

如果客户端提供应用级路由，通常不需要为每个应用单独填写代理地址；规则由客户端统一处理。比如你希望浏览器直连、某个工作应用走代理，就应先检查客户端是否支持这类应用选择，再按其模式设置。连接配置、订阅和节点管理的入口，可从Popovpn首页进入对应的使用说明；应用分流本身则应在 Android 客户端内完成。

先选清楚：指定应用代理还是指定应用直连

常见需求可以分成两种。第一种是“仅让指定应用走代理”：在包含或代理应用模式中，只勾选目标应用，其余应用不由这条应用规则纳入代理。第二种是“仅让指定应用直连”：在排除或绕过应用模式中，勾选需要直连的应用，其他被接管的应用仍按客户端当前策略处理。无论哪种，都要确认客户端的默认路由是直连还是代理，否则未列出的应用可能得到相反结果。

如果客户端另有全局代理、规则路由或 TUN 等开关，先阅读这些开关的说明。全局代理通常改变已接管流量的处理策略，但不会自动保证所有 Android 应用都被接管；应用选择清单也不等同于系统范围的全局开关。桌面客户端上的配置方法不能直接套用到 Android，因为 Android 使用 VPNService，授权方式与流量接管范围不同。

建议先从容易辨认、不会影响设备基本联网的应用开始测试。通讯、银行、办公或设备管理类应用可能依赖本地网络、证书检查、推送服务或特定地区策略；不要把它们一概加入代理名单。若设备由单位或学校管理，应先遵循设备管理要求，不要为了测试而移除管理配置或关闭安全限制。

动手设置：按顺序完成应用分流

开始前先确认客户端已经导入可用配置，并能在普通连接模式下正常建立连接。若尚未完成安装或订阅导入，可先查看快速上手说明。不同 Android 客户端的按钮名称和页面布局可能随版本变化，找不到对应选项时，优先查看软件内的帮助说明，不要照搬其他客户端的截图。

1. 确认当前连接状态。断开其他代理客户端或类似网络工具，避免多个应用同时申请 Android VPN 权限。先打开目标客户端，确认配置已载入并且线路可选；此时先不要修改多组路由规则。
2. 找到应用选择入口。在客户端设置、路由、分流或 VPN 页面中查找“按应用代理”“应用列表”“绕过应用”一类选项。若没有相关入口，当前客户端可能不支持应用级分流，或此功能只在特定运行模式下出现。
3. 阅读模式说明并选择方向。需要指定应用代理时，选择包含应用或代理指定应用的模式；需要指定应用直连时，选择排除应用或绕过指定应用的模式。若界面只显示一个应用列表，先打开旁边的说明或提示，弄清列表是代理名单还是绕过名单。
4. 从系统应用列表中选择目标。核对应用图标和名称，避免把同名应用、测试版或厂商预装版本选错。只选择当前测试所需的应用；若客户端把系统组件也列出，不确定其作用时不要随意勾选。
5. 保存并重新连接。应用清单有变更后，按客户端要求保存设置，断开再连接一次，使新规则生效。首次连接时，Android 可能弹出 VPN 连接请求，确认请求来自自己安装并信任的客户端，再允许建立连接。
6. 逐个验证结果。先测试一个应走代理的应用，再测试一个应直连的应用。记录现象后再增加其他应用，避免一次改动太多，导致无法判断是哪项设置影响了连接。

怎样验证代理与直连确实分开

验证要同时检查客户端规则和应用自身结果。客户端显示已连接，只能说明 VPNService 或代理连接处于某种活动状态，并不能单独证明目标应用已经走了预期线路。可以先确认客户端界面中的模式、应用清单和当前策略，再分别打开目标应用测试登录、刷新内容或访问其必要服务。

如需观察出口变化，可在两个测试应用中访问可信的网络信息服务，对比显示的出口地区或地址。测试时避免把账号、完整 IP、订阅地址或含个人信息的页面截图发到公开渠道。也要考虑缓存、已有登录会话和应用内置网络组件可能让结果暂时不明显；关闭并重新打开应用，或等待连接重新建立后再判断。

• ✅ 检查客户端连接模式和应用清单，确认当前不是误选的全局或其他配置。
• ✅ 对代理应用和直连应用分别测试，并尽量使用同一网络环境作对照。
• ✅ 如果测试失败，先观察该应用是否能在关闭客户端后正常联网。
• ❌ 不以一个网页能打开就断定所有应用都按预期分流。
• ❌ 不通过关闭证书校验、安装未知证书或下载不明配置来“修复”连接。

Android 系统的“始终开启 VPN”和“无 VPN 时阻止连接”等选项会影响整体网络行为。开启阻止功能后，如果客户端断开，设备可能无法正常联网；此外，应用绕过规则与系统级阻止策略如何配合，取决于 Android 版本和客户端实现。只有明确理解影响范围时才调整这些系统选项。若只是想让个别应用直连，优先使用客户端提供的应用分流，不要同时叠加多个不清楚的系统开关。

应用无法联网时的排查与恢复

出现“代理应用连不上”时，先判断是该应用单独异常，还是整个客户端都无法连接。检查客户端线路和连接状态，再用其他已纳入代理的应用作对照。如果只有一个应用失败，可能与应用自身的网络策略、登录状态、DNS 请求或后台连接有关；这时先移除该应用的特殊规则并重连，观察是否恢复，避免直接改动全部 DNS 或路由配置。

“直连应用仍显示代理出口”时，确认当前清单到底是包含模式还是排除模式，并核对应用是否被重复安装或通过其他组件发出请求。某些客户端还会将应用规则与域名、IP 规则组合执行，优先级可能影响最终路径。按照客户端说明逐项检查规则顺序和默认策略；不要假设把应用加入直连清单后，域名规则就一定失效。

如果所有应用突然断网，可先断开客户端，确认 Android 系统中是否还有其他 VPN 连接处于活动状态，再检查“无 VPN 时阻止连接”等系统选项。确认网络恢复后，重新启动目标客户端，使用默认模式建立连接，再逐项恢复应用清单。若设置页显示权限被撤销，可从系统设置的 VPN 页面检查该客户端是否仍获准创建连接，不要反复安装来源不明的版本。

1. 记录当前使用的模式、目标应用和出现问题的现象，先不要连续修改多项设置。
2. 断开客户端，测试设备本身的网络是否正常，并检查系统 VPN 是否由其他应用占用。
3. 恢复客户端默认路由，重新连接并验证基础访问，再加入一个应用规则进行对照。
4. 若问题仅发生在某一应用，检查该应用更新、系统权限、后台数据限制及其自身网络设置。
5. 仍无法判断时，保存不含账号密码和订阅凭据的错误信息，向客户端或服务支持说明 Android 版本、客户端名称、分流模式和复现步骤。

需要彻底恢复时，可在客户端中清空应用分流清单或切回默认路由，保存后断开并重新连接；如果客户端提供“恢复默认设置”，先确认它不会删除订阅或其他配置。完成恢复后再次检查 Android 当前活动 VPN，并用普通应用确认网络正常。分流规则应以可验证、可撤销为原则：每次只做必要调整，保留一份自己能读懂的设置记录，后续更换客户端或系统版本时再重新核对。