Android VPN分流的核心，不是把所有流量简单地塞进同一条线路，而是让不同应用按照用途选择代理或直连。浏览器、海外影音、远程办公工具可能需要经过代理；银行、地图、局域网设备和本地生活服务则通常更适合保持直连。配置正确后，可以减少不必要的转发，降低本地应用的兼容问题，也便于在同一台手机上同时处理不同类型的网络请求。
不过，Android 上的“应用分流”并不只由一个开关决定。客户端需要通过系统 VPNService 接管流量，再根据应用包名、域名、IP 地址或规则集做判断。不同客户端对“代理应用”“绕过应用”“排除应用”的叫法可能相反；有的采用允许列表，有的采用排除列表，还有的把应用分流和域名分流放在不同页面。本文从工作原理、模式选择、实际操作和故障排查几个方面，说明如何把指定应用一次配置好。
先理解 Android 应用分流是怎么工作的
Android 客户端通常通过 VPNService 创建一个系统级虚拟隧道。系统把符合接管条件的数据交给客户端，客户端再依据路由规则决定请求走代理出口，还是直接交给当前网络。这个过程与浏览器里填写 HTTP 代理地址不同：浏览器代理通常只影响浏览器自身，而 VPNService 模式可以覆盖其他支持网络连接的应用。
应用分流首先依赖应用识别。Android 中每个应用通常有自己的包名，例如同一开发者可能同时提供国际版、中国版和工作版，它们在系统里可能对应不同的包名。客户端显示的应用名称只是便于阅读的标签，真正参与规则匹配的往往是包名。应用更新后，包名一般不会随意改变，但不同版本、分身应用、工作资料夹和厂商预装版本仍可能造成识别差异。
分流还会受到域名解析方式影响。应用先通过 DNS 获取地址，再建立连接；如果 DNS 请求走本地网络，而后续连接走代理，可能出现解析结果与出口地区不一致的情况。反过来，如果 DNS 也经过代理，但本地应用被设置为直连，某些国内服务仍可能因为解析路径变化而响应异常。因此，应用规则、域名规则、DNS 和 IPv6 设置应当作为一个整体检查，而不是只看应用列表。
3
常见分流层级：应用、域名、IP
2
基本出口：代理或直连
1
Android 系统 VPN 接口
先选模式：全局、规则还是按应用分流
全局模式会把客户端能够接管的流量统一送入代理。它最容易理解，适合临时排查“是不是本地网络无法访问”的问题，也适合不想维护规则的用户。但全局模式并不等于所有流量都一定经过代理，局域网绕过、应用自身的直连策略、UDP 支持和系统限制都可能改变最终结果。
规则模式通常同时处理域名、IP、地理分类和默认出口。例如，将特定域名交给代理，把局域网地址和常用本地服务设为直连。它的优点是颗粒度更细，缺点是依赖规则集质量，应用一旦更换域名、增加验证接口或使用硬编码 IP，原有规则可能不再完整。
按应用分流则直接回答“哪些 App 需要代理”。常见有两种方向：
- ✅ 代理选中应用：只有加入列表的浏览器、影音或办公应用进入代理，其他应用保持直连。
- ✅ 排除选中应用：默认大部分应用进入代理，仅把银行、支付、地图或局域网工具排除。
- ✅ 先使用代理选中应用模式测试，范围较小，更容易发现误配置。
- ❌ 不要看到“绕过 VPN”就直接勾选，必须确认它表示直连应用还是不接管应用。
如果你的目标是“指定几个应用使用代理”，优先选择允许列表或“仅代理选中应用”。如果你的目标是“手机大部分流量都需要代理，只有少数本地应用例外”，再考虑排除列表。两者都能实现分流，但排查难度不同，尤其是在客户端把“绕过”与“代理”写在同一页时。
动手设置：把指定应用加入分流列表
以下流程适用于提供 Android 官方客户端、sing-box 内核客户端或 Clash 兼容 Android 客户端。具体按钮名称可能不同，但判断逻辑基本一致。开始前先关闭其他 VPN、加速器和代理工具，避免多个应用同时争抢 Android 的 VPNService 权限。
- 确认客户端已经导入配置。先使用官方订阅链接或客户端支持的配置方式完成导入，确认节点、策略组和路由设置能够正常显示。不要在空配置或解析失败的配置上直接测试分流。
- 打开 VPN 或路由设置。在客户端中寻找“应用代理”“按应用路由”“分应用代理”“应用绕过”或相近名称。部分客户端把它放在高级设置、网络设置或配置文件编辑页中。
- 选择规则方向。需要让少数应用走代理时，选择“仅代理选中应用”或允许列表；需要让少数应用直连时，选择“排除选中应用”。确认页面上的说明，而不是只看复选框标题。
- 加入目标应用。先添加一个最需要验证的应用，例如浏览器或办公工具。使用系统应用列表时，注意区分个人资料、工作资料和应用分身中的同名 App。
- 检查局域网与 DNS 选项。如果需要访问家庭路由器、打印机、NAS 或投屏设备，确认客户端没有把局域网地址全部送进代理。DNS 模式则应与分流方向保持一致，避免直连应用拿到不适合当前网络的解析结果。
- 启动 VPNService 并授权。Android 通常会弹出系统 VPN 连接请求。授权后，状态栏出现 VPN 标识只代表虚拟隧道建立，不代表每个应用都已命中预期规则。
- 逐个验证应用。先打开被指定为代理的应用，再打开被指定为直连的应用，分别观察访问结果、应用内网络状态和客户端日志。一次只调整一个选项，才能知道变化来自哪里。
在 sing-box 方向的客户端中，应用匹配通常会转换成 Android 应用标识或包名条件；在 Clash 兼容客户端中，应用分流可能与配置文件中的规则顺序共同生效。若客户端提供图形化开关，优先使用它完成第一次配置；只有在确认基础逻辑正常后，再编辑 JSON、YAML 或其他结构化配置。手动改配置时，缩进、字段名称和版本支持范围都可能影响整个配置是否能启动。
为什么要先只测试一个应用
一次加入十几个应用，出现问题后很难判断是某个包名错误、规则顺序冲突，还是目标应用本身使用了额外的域名。先选择一个应用进行验证，可以把变量控制在较小范围。确认它能按预期连接后，再逐步增加其他应用，并保留一份已知可用的配置备份。
测试时不要只打开首页。浏览器还应访问需要代理的目标站点与普通本地站点；办公软件应分别测试登录、文件同步和消息功能；影音应用则要观察封面、播放、字幕和账号验证是否使用同一套规则。一个应用能打开首页，不代表它的全部接口都走了正确出口。
客户端与协议：应用分流不是协议自动完成的
Android 官方客户端通常会把账号、订阅、线路和系统授权整合在一起，适合希望少改配置的新手。兼容 sing-box 的客户端更适合需要明确控制入站、出站、DNS 和路由结构的用户；Clash 兼容客户端则常见于策略组、规则集和配置文件管理。选择时应先确认服务商提供的订阅格式，再决定使用哪一种客户端，而不是把任意订阅链接粘贴到不兼容的软件中。
Shadowsocks、VMess、VLESS、Trojan、Hysteria2 和 WireGuard 的连接方式、配置字段及 UDP 能力并不相同。某个客户端能够显示节点名称，不代表它一定支持该节点的全部传输参数。尤其是依赖 UDP 或 QUIC 的连接，如果客户端、系统网络或当前运营商环境不支持相关流量，可能出现网页正常而语音、游戏或视频加载异常的情况。
应用分流还需要系统级接管能力。仅提供浏览器代理的工具通常不能覆盖独立的办公软件、游戏或影音应用；需要让多个 App 按规则出站时，应选择明确支持 Android VPNService 或类似虚拟网卡接管方式的客户端。与此同时，Android 通常只允许一个应用占用系统 VPN 接口，所以两个 VPN 客户端不能稳定地同时运行。
| 使用目标 | 建议模式 | 重点检查 |
|---|---|---|
| 只有浏览器或影音应用走代理 | 代理选中应用 | 应用包名、DNS、规则是否覆盖登录接口 |
| 大部分应用走代理，少数本地 App 直连 | 排除选中应用 | 排除列表语义、局域网绕过、支付应用兼容性 |
| 临时判断是否为本地网络问题 | 全局模式 | 确认全局测试结果不能替代最终分流配置 |
| 同时处理域名和应用规则 | 规则模式结合应用条件 | 规则顺序、默认出口、IPv4 与 IPv6 行为 |
分流不生效时，按顺序排查
第一步是确认 VPNService 是否仍在运行。Android 的省电策略、系统网络切换、其他安全软件或手动断开操作，都可能让客户端停止接管。状态栏图标消失时，应先重新连接，不要马上修改规则。部分系统还会在后台限制客户端，导致前台测试正常，锁屏后连接中断。
第二步是核对应用是否真的加入了正确列表。同名应用可能有国际版、国内版、工作资料版和分身版；如果列表只显示名称，进入应用详情查看包名通常更可靠。对于刚安装或刚更新的应用，可以先从列表移除，再重新选择并保存配置。
第三步是检查规则优先级。很多配置从上到下匹配，前面的“直连”规则可能在应用代理规则之前结束匹配；也有客户端先按应用判断，再按域名和 IP 判断。若日志显示请求已经命中直连，继续更换节点不会解决问题，应该回到规则顺序和默认策略检查。
第四步是分别检查 IPv4、IPv6 和 DNS。应用可能优先使用 IPv6，而你只观察了 IPv4 的代理出口；也可能 DNS 解析出的地址属于本地服务，但连接阶段又被送往代理。可以在客户端日志中查看域名、目标地址、应用标识和最终出站名称，使用这些信息定位，而不是仅凭网页能否打开来猜测。
第五步是考虑应用自身的网络策略。部分银行、支付、企业管理和流媒体应用会检测代理、证书、出口地区或系统完整性。此时将它设为直连可能更合适，但直连也不保证服务一定允许访问；如果应用本身禁止当前网络环境，客户端分流无法替代服务端的兼容策略。
- ✅ 只保留一个 VPN 客户端处于连接状态，避免 VPNService 冲突。
- ✅ 先测试一个应用，再逐步扩大代理或直连范围。
- ✅ 修改配置后断开并重新连接，让新的应用列表和规则重新加载。
- ✅ 通过日志确认应用、域名和出站，而不是只看状态栏 VPN 图标。
- ❌ 不要把“连接成功”理解为所有 App 都按预期分流。
- ❌ 不要在没有备份的情况下同时改协议、DNS、IPv6 和应用规则。
让分流长期稳定：少改、可回退、按场景维护
稳定的分流配置不应包含一长串没有明确用途的应用。每个加入列表的 App 都会增加后续排错成本，也可能因为更新后新增域名而出现部分功能异常。建议按“需要代理”“必须直连”“暂时观察”三类维护应用，确认后再把它们移动到最终列表。对工作资料、应用分身和系统 WebView 等组件，要特别注意它们可能不以常见应用名称出现。
订阅更新后，先观察节点和策略组是否正常，再验证应用规则。不要把订阅更新与应用分流修改安排在同一次排错中，否则出现问题时无法判断是节点变化、规则集变化还是本地设置变化。重要配置可以保留一份当前可用版本；如果客户端支持导出或复制配置，应在大范围调整前先保存。
电池优化也是 Android 分流体验的一部分。系统限制后台活动后，客户端可能无法及时恢复隧道，表现为锁屏后应用无法联网或切换 Wi-Fi 后规则失效。可以根据手机系统的电池管理页面，为正在使用的客户端允许必要的后台运行，同时避免同时启用多个网络管理工具。权限越多并不代表速度越快，只应开启客户端明确需要的系统权限。
最后，定期用实际场景复核配置：办公时确认企业应用与浏览器的出口符合预期，回家后确认局域网设备仍可访问，切换移动数据与 Wi-Fi 后确认 VPN 能重新建立。分流规则的价值不在于设置页面看起来复杂，而在于每个应用都能获得清晰、可解释、可回退的网络路径。