Android VPN 分流的核心，不是把所有流量都塞进同一条线路，而是先决定哪些应用需要代理、哪些应用继续直连。这样既能减少不必要的流量绕行，也能避免本地服务、银行应用或对网络地区敏感的应用因为出口变化而无法正常工作。不同客户端的菜单名称可能不同，但判断逻辑基本一致：选择分流模式，指定应用范围，连接后逐项验证，出现异常时再回退到更简单的模式。
开始之前要分清客户端与配置来源。Android 官方客户端通常会在登录后获取订阅或配置；Clash Verge 的 Android 兼容方案、sing-box 以及其他支持 TUN 的客户端，则可能需要导入订阅链接或本地配置文件。Shadowsocks、VMess、Trojan、Hysteria2 和 WireGuard 是协议或隧道方案，分流则是客户端根据应用、域名、IP 或规则集决定流量走向的功能。协议能否连接，不等于应用分流一定已经生效。
先选对 Android 分流模式
Android 客户端常见的分流入口有“全局”“规则”“按应用代理”“仅代理选中应用”和“排除选中应用”等名称。全局模式最容易理解：系统允许客户端接管的流量都进入代理通道，适合临时确认节点是否可用，但不适合长期作为精细化配置。规则模式则根据域名、IP、地区或预设规则集处理流量；应用模式进一步把应用包名纳入判断，可以实现只让指定应用使用代理。
“仅代理选中应用”和“排除选中应用”是两种方向相反的配置。前者是白名单思路，只有勾选的应用进入代理，其余应用保持直连；后者是黑名单思路，大多数应用进入代理，勾选的应用被排除。第一次设置指定应用代理时，优先选择“仅代理选中应用”，因为范围更小，出现问题时更容易定位，也不容易误把其他应用的请求送入代理。
全局
所有允许接管的流量
规则
按域名与网络规则判断
白名单
仅选中应用走代理
黑名单
选中应用排除代理
还要注意“分应用代理”与“系统 VPN 始终开启”不是同一层设置。客户端负责决定流量如何转发，Android 系统负责授予 VPN 权限、处理始终开启和阻止未连接网络等系统选项。如果系统设置开启了阻止 VPN 断开时的网络，客户端停止后部分应用可能暂时无法联网。排查时应记录这些系统选项，不要只盯着客户端里的开关。
选择需要代理的应用:从应用名单开始
进入客户端的设置、路由、分流或应用代理页面后，通常会看到已安装应用列表。列表里的名称可能来自 Android 的应用标签，也可能显示包名。不要只按图标猜测，尤其是同一开发者拥有多个组件、浏览器与内置网页模块并存时。先确定真正发起网络请求的应用，再决定是否把相关组件一并纳入。
例如，一个主应用可能通过系统浏览器完成登录，又通过独立的视频播放器加载内容。如果只勾选主应用，登录页能够打开，但后续授权或媒体请求仍可能由未选中的组件发起。相反，银行、支付、企业内网和本地生活应用通常不应在没有明确需求时加入代理名单，因为它们可能依赖本地地区、局域网设备或固定的安全判断。
- ✅ 先列出真正需要代理的应用，再逐个加入白名单。
- ✅ 浏览器类应用要注意网页、下载器和系统 WebView 是否分开工作。
- ✅ 需要访问局域网设备的应用，先确认客户端提供“绕过局域网”或直连选项。
- ✅ 对游戏、视频和即时通信应用分别测试，不要把所有娱乐应用一次性加入。
- ❌ 不要因为应用图标相似，就把多个同名或同开发者组件全部勾选。
- ❌ 不要同时运行两个使用 Android VPN 接口的客户端，避免通道相互抢占。
如果客户端同时提供“应用代理”和“域名规则”，需要理解二者的优先级。有些实现先按应用判断，再按域名处理；有些配置则把应用规则转换成 TUN 路由后交给规则引擎。遇到应用已经加入名单但某个域名仍无法访问时，可能不是应用选择错误，而是域名被直连规则、拒绝规则或 DNS 处理方式覆盖。此时应查看客户端的规则命中记录，确认请求实际匹配了哪条规则。
动手设置指定应用代理
以下流程适用于多数具备 Android VPN 或 TUN 接管能力的客户端。界面名称可能略有区别，但操作对象相同。若你使用的是官方客户端，通常只需在连接设置中找到应用分流；若使用 sing-box、Clash 系客户端或其他兼容工具，则可能需要先导入订阅，再在 TUN、路由或应用规则区域完成设置。
- 确认配置已准备好。打开客户端，检查订阅、节点或本地配置已经成功载入。若列表为空，先通过站内查看教程完成配置导入，不要在空配置上反复切换分流开关。
- 选择一个可用节点。先使用默认或最近一次确认可连接的节点，暂时不要同时更改节点、协议和分流模式。Shadowsocks、VMess、Trojan、Hysteria2、WireGuard 等配置需要客户端与服务端参数匹配，单独复制服务器地址不能代替完整配置。
- 打开应用分流设置。在设置、路由、分流、TUN 或 VPN 模式中寻找按应用处理的入口。选择“仅代理选中应用”“代理名单”或含义相同的白名单选项。
- 勾选目标应用。保存前再次核对应用名称和包名。若应用有独立的登录组件、浏览器组件或下载组件，只在确认请求确实由它们发起时加入。
- 授权 Android VPN。启动连接时，系统会显示 VPN 连接请求。确认授权后等待客户端显示已连接，再打开目标应用。不要仅根据通知栏图标判断分流成功。
- 分别验证结果。在目标应用内执行实际操作，同时打开一个明确不在名单中的应用作为对照。必要时使用网络检测页面查看出口地址、DNS 和连接状态，判断目标应用是否通过代理、对照应用是否保持直连。
如果客户端支持连接日志或规则日志，建议在测试时打开临时记录。日志中常见的判断线索包括应用包名、目标域名、命中的规则、最终动作和使用的出站节点。测试完成后可以关闭详细日志，避免后台持续写入记录。对于流媒体或长连接应用，首次打开时可能先建立鉴权连接，之后才请求图片、音频或视频资源，因此要观察完整操作过程，而不是只测试首页。
| 现象 | 优先检查 | 处理方向 |
|---|---|---|
| 目标应用仍显示本地出口 | 是否选中应用、是否使用白名单模式、VPN 权限是否生效 | 重新保存名单并重连，查看应用包名与规则日志 |
| 未选中的应用也经过代理 | 是否误用了全局或黑名单模式 | 切换为仅代理选中应用，清除冲突的全局规则 |
| 应用能打开但部分内容失败 | 域名规则、DNS、WebView 或独立媒体组件 | 确认相关域名与组件是否需要同一分流策略 |
| 连接后所有应用都无法联网 | 节点协议、TUN 设置、始终开启 VPN 和阻止未连接网络 | 先关闭阻止未连接网络，再回退到规则或全局模式测试 |
连接后如何验证分流真的生效
验证不能只看 VPN 图标。图标只能说明系统存在一个 VPN 通道，不能说明每个应用都按名单处理。更可靠的做法是准备两个测试对象：一个在代理名单内，一个明确不在名单内。先关闭两个应用的后台任务，再重新连接客户端，分别打开并执行会产生网络请求的操作，减少旧连接、缓存和后台保活造成的误判。
对于名单内应用，可以检查网络检测页面显示的出口地区或地址，也可以观察客户端日志中是否出现该应用的包名与代理出站。对于名单外应用，重点观察本地服务、局域网设备和通常使用直连的页面是否仍能正常工作。若两类应用表现完全相同，应优先怀疑模式没有保存、应用列表没有应用到当前配置，或客户端实际上运行在全局模式。
Android 的应用进程可能由多个 UID、服务进程或系统组件组成。某些客户端只按主应用包名过滤，某些客户端则能识别关联应用。遇到“主界面正常、通知或附件加载失败”，不要马上更换节点，先查看失败请求属于哪个组件。也要注意应用切换网络后可能缓存旧连接，强制停止再重新打开比单纯刷新页面更有参考价值。
规则失效、速度异常与回退方法
规则没有生效
先确认修改后是否点击保存或应用。有些客户端的应用名单只对当前配置生效，更新订阅后可能被远程配置覆盖；另一些客户端把本地覆写放在独立文件中，必须重新选择该配置才能加载。检查时应记录当前使用的配置名称、分流模式和目标应用包名，避免修改了配置 A，却仍连接着配置 B。
其次检查 Android 电池优化。系统可能限制客户端后台运行，导致 VPN 服务被暂停，表现为刚连接正常、锁屏或切换应用后失效。可以在系统设置中查看该客户端的电池使用策略，允许其按需要保持后台服务；不同手机品牌的入口名称可能不同。若设备启用了网络加速、应用联网管控或安全软件，也要确认它们没有拦截 VPN 服务。
速度变慢或耗电增加
分流本身不一定会让网络变快。被代理的应用需要经过节点、传输协议和线路，速度还会受到本地网络、节点负载、目标服务和 DNS 解析影响。如果只有一个应用变慢，先将该应用临时切回直连作对照；如果所有应用都变慢，再检查节点和协议。Hysteria2、WireGuard、Trojan 等方案的表现依赖客户端实现与当前网络环境，不能只根据协议名称判断结果。
应用分流还可能增加规则匹配、DNS 处理和 TUN 接管的工作量。长时间连接时，如果发现耗电明显上升，可以减少代理名单，关闭不必要的详细日志，并确认没有多个网络工具同时运行。对只需要访问少量服务的应用，域名规则有时比把整套应用流量交给代理更容易控制；但前提是客户端能正确识别该应用发起的域名请求。
应用无法联网时先回退
排查应从小范围开始。先把目标应用从名单中移除，重连后测试直连；如果直连正常，再重新加入应用并换用已经确认可用的节点。仍然失败时，可暂时切换到规则模式或全局模式，用于区分是应用名单问题、规则优先级问题，还是节点本身不可用。测试完成后要恢复原来的最小代理范围，不要把全局模式长期当作最终方案。
- ✅ 先重启目标应用，再重连 VPN，排除旧连接缓存。
- ✅ 只改变一个变量：先不换节点，再检查应用名单和模式。
- ✅ 查看日志中的应用包名、域名与出站动作，确认规则是否命中。
- ✅ 通过直连、规则和指定应用代理进行对照，逐步缩小范围。
- ❌ 不要在多个客户端之间来回开启 VPN，也不要同时修改协议和分流。
- ❌ 不要把“能连接”直接等同于“目标应用已经按预期走代理”。
一套更稳妥的长期配置思路
长期使用时，建议把配置分成“基础连接”和“应用分流”两层管理。基础连接只负责订阅更新、节点选择、协议兼容和 VPN 授权；应用分流则负责白名单、黑名单、局域网直连和 DNS 策略。每次更新订阅后，先确认原有分流设置是否仍在，再进行连接测试。不要把多个问题混在一起修改，否则出现故障时很难知道是哪项变化造成影响。
安全方面，订阅链接应按账户凭据保管，不要粘贴到不明转换网站，也不要在截图或录屏中展示完整地址。第三方客户端导入配置前，应确认来源、权限和支持的协议范围。Android 的 VPN 权限意味着客户端可能处理设备的大量网络流量，因此应选择自己信任的应用，并定期清理不再使用的本地配置。
最终可以保留一份简单的自检记录：当前客户端、使用中的配置、分流模式、代理应用名单、直连应用名单以及最后一次成功验证的节点。以后遇到规则失效，只需按记录逐项恢复，而不必重新猜测每个开关的作用。