安卓 VPN 分流的目标，不是简单地“开代理”或“关代理”，而是把应用流量分成两类：指定应用通过 VPN 隧道访问，其他应用继续使用手机当前网络。这样可以让需要特定出口的应用走代理，同时避免本地银行、家居设备或只在本地网络可用的服务受到影响。
设置前要先确认客户端提供的分流类型。有些 Android 客户端支持按应用选择“纳入隧道”或“排除在隧道外”；有些客户端主要按域名、IP 或规则集路由；也有客户端只提供全局代理。它们解决的问题并不完全相同。尤其要注意，系统显示 VPN“已连接”，只能说明隧道已建立，不能证明每个应用都按预期走了对应路径。
先分清按应用分流与规则分流
按应用分流通常依据 Android 应用包名或客户端识别到的应用列表，把某个 App 的网络请求纳入 VPN，或者明确排除在 VPN 之外。适合按使用习惯划分流量，例如只让浏览器或某个工作应用走隧道，而让本地支付、打印或投屏应用直连。不同客户端的选项名称可能是“应用代理”“绕过应用”“排除应用”或“仅代理所选应用”，应以实际页面中的模式说明为准。
规则分流则通常依据域名、IP 地址、进程或规则集决定流量去向。它更适合区分某个应用访问的不同服务：同一个 App 可能连接多个域名，其中一部分需要代理，另一部分应直连。反过来，按应用分流通常不能细分同一 App 的不同域名；只要该应用被纳入隧道，它发出的多数网络请求就会按客户端的隧道策略处理。
2 类
常见分流方向
5 步
基础配置流程
1 项
每轮排查只改一个条件
| 方式 | 判断依据 | 适合的需求 | 需要留意 |
|---|---|---|---|
| 按应用分流 | 应用列表或包名 | 指定 App 走隧道，其余应用直连，或反向设置 | 同一应用内的不同域名通常不会因此自动分开 |
| 域名或 IP 规则 | 访问目标与规则匹配结果 | 同一应用访问不同服务时采用不同出口 | 需要合适的规则、DNS 处理和规则更新方式 |
| 全局代理 | 客户端的全局模式 | 临时确认隧道本身是否可用 | 不等于按应用分流，可能让本地应用也经过隧道 |
Clash Verge 主要面向桌面平台，不能直接把桌面端的操作说明套用到安卓手机。Android 上应使用提供 Android 版本、并明确支持所需分流功能的客户端。sing-box、Shadowrocket 等名称也不代表各平台界面和功能完全相同；导入配置后，仍要确认客户端版本、运行模式和应用筛选项是否支持目标操作。
先确定哪些应用走代理
配置之前，可以按用途列出应用，而不是直接在列表里凭图标勾选。第一组是需要通过 VPN 隧道访问的应用；第二组是希望保留本地网络路径的应用，例如依赖局域网设备、校园网门户或本地服务的工具。还要考虑系统组件：应用商店、推送服务、浏览器和应用内网页可能由不同进程发起请求，不能仅凭某个 App 的首页表现推断全部流量都经过同一条路径。
- ✅ 需要指定出口的应用，放入“通过 VPN”一组。
- ✅ 依赖本地设备或本地网络的应用，确认是否应设为直连。
- ✅ 每次只调整一种分流模式，保存后重新连接再测试。
- ✅ 若应用列表提供搜索功能，用应用名称核对后再选择。
- ❌ 不要只看客户端显示“已连接”就认定分流成功。
- ❌ 不要把“绕过所选应用”误读成“仅代理所选应用”。
选择“仅代理所选应用”时，未选择的应用通常会留在 VPN 隧道之外；选择“绕过所选应用”时，被选中的应用通常会直接使用底层网络，其余流量则按客户端的 VPN 策略处理。不过，不同客户端可能用不同措辞，实际行为也可能受 Android 版本、配置文件和隧道模式影响。点击保存前，先阅读该页面对选项的解释；如果说明不清楚，先用不涉及敏感账号的应用验证方向。
按步骤配置安卓应用分流
不同客户端菜单布局会有差异，但通常可以按下面的顺序操作。先不要同时修改 DNS、代理模式、节点和应用名单，否则出现问题时很难判断是哪项设置造成的变化。
- 确认基础连接。打开 Android 客户端，选择当前使用的配置或订阅，并在不启用复杂分流的情况下确认隧道可以建立。若基础连接本身失败，应先处理配置导入、权限或网络问题。
- 找到应用筛选入口。在连接设置、路由设置或 VPN 设置中查找“按应用分流”“应用代理”“绕过应用”等项目。找不到相应选项时，不要假设 Android 系统设置里一定有同等功能；该能力可能由客户端实现。
- 选定模式并建立名单。选择“仅代理所选应用”或“绕过所选应用”之一，再逐个核对需要代理或直连的 App。首次配置宜只选少量测试应用，确认行为后再补全列表。
- 保存并重新连接。应用筛选规则有时只在下一次建立 VPN 时生效。保存设置后断开再连接；如果客户端明确提示立即生效，则按提示操作，并确认 Android 系统仍显示该 VPN 正在运行。
- 分别验证两类应用。用一个预期走隧道的应用和一个预期直连的应用分别测试。检查目标网站显示的出口、应用能否访问所需服务，以及局域网功能是否正常。测试时不要只用同一个浏览器打开不同网页来代替两个独立 App 的验证。
若客户端使用 TUN 模式或基于 Android 的 VPN 接口处理流量，系统通常会将应用流量交给该 VPN 服务，再由客户端按照规则分发。某些配置还会使用 DNS 规则、路由规则或分流模式；因此应用被选中，并不一定意味着它对所有域名的请求都采用完全相同的出口。遇到“应用能打开，但其中某项功能失败”时，应继续检查域名规则和 DNS，而不是反复切换应用名单。
Android 系统的“始终开启 VPN”和“阻止未通过 VPN 的连接”（也常被称为锁定模式）也要纳入考虑。锁定模式的目标是阻止流量绕过 VPN，可能与希望某些应用直连的需求冲突，具体行为取决于系统版本与客户端实现。如果启用后直连应用无法联网，先检查系统 VPN 设置和客户端对排除应用的说明；不要在不了解影响的情况下把它当作分流开关。
怎样检查规则是否真正生效
检查时应把“隧道已连接”“应用可访问”和“流量走对路径”视为三个不同结果。应用能够打开不代表它一定通过 VPN；它可能本来就能经由本地网络访问。相反，应用暂时打不开也不一定是分流方向错误，DNS 解析、服务端限制、应用自身缓存或 Android 后台限制都可能造成相似现象。
- 检查代理组。在客户端状态页查看所选节点、规则命中记录或连接记录（如果客户端提供这些信息），确认测试应用产生的请求是否被相应规则接管。
- 分别核对出口。在预期走隧道的应用中访问可信的 IP 或地区查询服务；再用预期直连的应用进行对照。页面显示的结果仅反映该次请求，不能替代对其他应用和其他域名的检查。
- 检查 DNS 一致性。如果网页出口符合预期，但域名解析失败或服务地区判断异常，查看客户端是否启用了代理 DNS、远程 DNS或相应规则。DNS 走向和应用流量走向可能不是同一项开关。
- 重测应用内功能。除了首页，还应检查登录、图片加载、通知、文件上传或局域网访问等实际需要的功能。某些 App 会调用浏览器、系统 WebView 或独立服务进程，测试结果可能与主界面不同。
- 确认规则在重连后保留。关闭并重新连接 VPN，再次检查应用名单和结果。若配置来自订阅或远程配置，留意更新是否覆盖本地规则。
建议记录客户端模式、应用名单、DNS 设置和测试结果。每轮只调整一个条件：例如先只改变“仅代理”与“绕过”方向，验证后再改 DNS。这样即使结果变差，也能快速恢复到上一个已知状态。不要同时安装或启动多个会建立 Android VPN 隧道的客户端；Android 通常由一个 VPN 服务接管系统级 VPN 接口，多个客户端竞争时可能无法按预期并行工作。
常见异常与安全回退
出现分流异常时，先区分是全部应用受影响，还是只有一个应用或一类域名异常。全部应用都无法联网，优先检查隧道是否建立、配置是否有效以及系统是否启用了锁定模式；只有特定应用异常，则重点检查该应用是否被纳入或排除、是否存在应用克隆，以及规则是否只匹配了部分域名。
- 直连应用仍显示 VPN 出口：检查当前选择的是不是“仅代理所选应用”，确认该 App 是否确实加入直连名单，并重新连接隧道。若客户端只有全局模式，可能根本不支持按应用排除。
- 预期代理的应用走了本地网络：检查是否误用了“绕过所选应用”模式、名单是否包含实际安装的应用，以及当前配置是否启用了其他路由规则。工作资料夹或双开应用可能对应不同的应用实例。
- 应用列表里找不到目标 App：先确认应用已经安装并完成首次启动，再重新打开客户端的应用列表。部分系统会把个人空间、工作资料夹或克隆应用作为不同实例处理。
- 浏览器正常但 App 功能失败：检查应用是否调用独立域名、内嵌 WebView 或系统服务，并查看 DNS 与域名规则。按应用分流不能保证应用涉及的所有服务都被一并正确分类。
- 关闭 VPN 后网络没有恢复：在客户端中正常断开，确认 Android 设置中的 VPN 状态已结束；必要时重新连接后再正常断开。避免直接清除应用数据或删除配置，以免丢失订阅和本地规则。
如果问题仍无法定位，先恢复到最简单的连接方式：清空临时测试名单，关闭不确定的附加规则，确认基础隧道可用，再逐项增加分流设置。若客户端不支持应用级规则，就不要用域名规则假装实现了完全相同的效果；可以改用该客户端明确支持的功能，或者选择与需求匹配的 Android 兼容客户端。保留原有配置备份，变更后再验证日常使用的本地服务、移动网络和 Wi-Fi。