Windows VPN 分流规则怎么设？指定应用代理一次配好

Windows VPN 分流的核心，不是简单地把 VPN 开关打开或关闭，而是决定“哪些流量进入代理，哪些流量继续直连”。配置正确后，可以让浏览器、AI 工具或指定工作应用走代理，同时让网银、企业办公软件、打印机、局域网服务和本地开发环境保持原有网络路径。

很多人第一次设置时，会把“应用分流”“域名分流”“系统代理”和“TUN 模式”混在一起。它们解决的是不同层面的问题：应用分流按进程判断，域名分流按访问目标判断，系统代理只对主动读取代理设置的软件生效，而 TUN 模式则通过虚拟网卡接管更多系统流量。先分清这些概念，再选择客户端和规则，通常比反复更换节点更有效。

先理解 Windows 分流的四种方式

Windows 上常见的分流方式大致有四类。第一类是全局代理，所有能够识别系统代理的应用都尝试走代理，配置最简单，但本地服务和不支持代理的软件不一定按预期工作。第二类是规则分流，根据域名、IP、地理数据库、端口或规则集决定连接路径，适合需要精细控制的场景。

第三类是按应用分流，客户端根据进程名称、可执行文件路径或应用列表判断是否代理。例如只让某个浏览器、终端工具或 AI 客户端使用代理，其他程序保持直连。第四类是路由分流，通过 Windows 路由表或 VPN 连接路由指定目标网段。这种方式更接近网络层控制，适合企业内网、家庭局域网和固定网段，但它并不知道“是哪一个应用”发起了连接。

需要注意，Windows 自带的 VPN 功能更擅长建立连接和下发路由，并不等同于第三方客户端里的“按应用代理”。如果目标是让某一个程序单独走代理，通常要使用支持进程规则的客户端，或者通过 TUN 模式配合路由规则实现。单纯在 Windows 的“代理”设置中填写地址，无法保证所有应用都被代理，也不能自动识别每个程序的用途。

先选对客户端和运行模式

Windows VPN 分流可以通过官方客户端、Clash Verge、sing-box 等方式完成。官方客户端通常提供较少但更容易理解的选项，例如全局、智能分流、绕过局域网或指定应用。它的优点是安装和更新路径清晰，缺点是规则粒度取决于客户端本身，未必支持自定义进程路径。

Clash Verge 一类客户端通常依赖 Mihomo 或其他兼容核心工作。它更擅长处理域名、IP、规则集和代理组，也可能在 TUN 模式下结合进程名规则。sing-box 的路由模型更接近底层网络配置，可以使用进程名、进程路径、域名、IP、端口和网络接口等条件，但配置文件的字段较多，适合愿意维护规则的用户。

如果从服务商用户面板获取订阅，应先确认订阅格式与客户端核心兼容。Shadowsocks、VMess、Trojan、VLESS、Hysteria2 和 WireGuard 并不是同一种协议，客户端支持范围也不完全相同。订阅能够成功导入，只代表配置文件被读取，不代表 TUN、系统代理或按应用分流已经生效。

第一次配置不建议同时更换客户端、协议、节点和规则。更稳妥的顺序是：先导入订阅并确认一个节点可以连接，再选择运行模式，之后只增加一个应用规则，最后测试直连例外。每次只修改一个变量，出现问题时才容易定位。

按应用设置：让指定程序走代理

如果客户端提供“应用代理”“按程序分流”或“应用排除”选项，先关闭其他代理软件，再打开该功能。通常会看到两种策略：一是“仅选中的应用走代理”，二是“所有应用走代理，但排除选中的应用”。前者适合只代理少数程序，后者适合大多数程序需要代理、只有网银或办公软件必须直连的情况。

添加应用时，优先选择实际运行的可执行文件，而不是桌面快捷方式。快捷方式只是启动入口，客户端通常需要识别真正的进程路径。例如浏览器可能有主进程、更新进程、GPU 进程和网络服务进程；只加入一个文件后，页面能够打开，但登录、下载或视频播放仍可能由其他进程发起连接。

如果客户端允许填写进程名，通常不需要写完整路径，但必须确认进程名称准确。Windows 任务管理器可以查看正在运行的进程；在应用的“详细信息”页面中，还能确认可执行文件名称。不要把显示名称、窗口标题或快捷方式名称误当成进程名。

• ✅ 先记录应用的真实可执行文件路径和进程名。
• ✅ 优先使用“仅指定应用走代理”，减少对系统其他程序的影响。
• ✅ 如果应用有更新器、辅助进程或独立网络模块，一并检查是否需要加入。
• ✅ 保存规则后完全退出并重新打开应用，避免旧连接继续沿用旧路径。
• ❌ 不要把浏览器快捷方式路径直接当成浏览器进程规则。
• ❌ 不要同时运行两个 TUN 客户端或两个带虚拟网卡的代理程序。

按应用分流并不意味着应用内的所有请求都会自动走同一条路径。有些软件会调用系统服务、后台更新器、WebView 组件或独立的网络进程。浏览器还可能启用 QUIC、DNS over HTTPS 或扩展代理，这些行为会绕开你以为已经配置好的路径。因此测试时不能只看首页是否打开，还要检查登录、搜索、文件上传和长连接功能。

如果客户端没有按应用功能，可以考虑使用 TUN 加路由规则，或者使用应用自身的 HTTP、SOCKS5 代理设置。应用内代理的优点是范围明确，缺点是只对支持代理的程序有效；TUN 模式覆盖更广，但需要管理员权限，并可能影响局域网发现、虚拟机和开发工具。

规则优先级与直连例外怎么写

规则分流最容易出错的地方不是规则本身，而是规则顺序。一般应先处理明确的直连例外，再处理指定代理目标，最后设置兜底策略。比如可以先排除本机地址和局域网网段，再匹配需要代理的域名，最后让其他流量直连或进入默认代理组。

“网银直连”不能只添加银行主页域名。登录、验证码、支付确认、图片、风控和统计服务可能来自不同的域名，且不同地区的域名还可能发生变化。更安全的做法是使用服务商或企业提供的官方域名范围，并在确认规则覆盖范围前，不要把敏感操作当作测试场景。

办公软件也可能同时访问公司域名、身份认证平台、云存储和更新服务。若错误地把企业认证域名送入代理，可能出现登录循环、证书错误或设备合规检查失败。对于内网服务，通常应优先保证内网网段直连，再根据具体域名补充规则。

DNS 也是分流的一部分。域名由本地 DNS 解析，再把结果交给代理，可能造成解析位置与实际出口不一致；而某些客户端启用远程 DNS 后，又可能让局域网主机名无法解析。遇到“网页能开但接口失败”“局域网设备消失”或“规则像没有生效”的情况，应同时检查 DNS 模式、Fake-IP 设置、局域网绕过选项和 TUN 的 DNS 接管状态。

保存后如何验证是否真的分流

配置保存后，先完全退出目标应用，再重新启动客户端和目标应用。仅切换代理开关而不重建连接，旧连接可能仍然保持原来的出口。测试时应分别验证代理应用、直连应用、局域网服务和 DNS 解析，不要只凭任务栏图标判断。

第一步可以查看代理客户端的连接日志，确认目标进程或域名命中了哪条规则。第二步观察应用是否能够完成完整流程，例如打开页面、登录账户、加载动态内容和建立长连接。第三步测试直连例外，例如打开路由器管理页、访问本地开发服务或连接打印机。若代理应用可以访问，但直连应用也被带入代理，说明排除规则或兜底规则存在问题。

Windows 任务管理器可以帮助确认进程是否仍在运行；资源监视器可以辅助观察连接对应的进程和远端地址。对于域名规则，还要注意应用可能直接使用 IP、缓存 DNS 结果或通过自己的解析服务连接。浏览器开发者工具能看到请求失败的位置，但不能单独证明请求经过了哪条代理路径，仍需结合客户端日志判断。

• ✅ 确认客户端处于目标模式，而不是订阅已更新但代理未启用。
• ✅ 查看日志中的进程名、域名、匹配规则和最终出口。
• ✅ 分别测试代理应用、直连应用与本地服务。
• ✅ 修改规则后重启相关应用，必要时重新连接 TUN。
• ❌ 不要只用一个“能否打开网页”的结果判断分流成功。
• ❌ 不要在测试过程中同时切换节点、协议和 DNS 模式。

常见冲突包括系统代理残留、两个客户端争抢端口、虚拟网卡优先级异常、Windows 防火墙拦截、杀毒软件的网络过滤驱动干预，以及浏览器独立代理设置覆盖系统设置。排查时可以暂时恢复系统代理、关闭另一个客户端、退出浏览器扩展，再逐项恢复。对于企业设备，不要随意禁用安全软件或修改防火墙策略，应联系管理员确认。

出问题时的回退与安全恢复

建议在第一次修改前记录当前设置，包括系统代理状态、客户端运行模式、TUN 开关、DNS 模式、订阅名称和主要规则。这样出现断网、局域网不可用或办公软件无法登录时，可以按原配置回退，而不是盲目卸载软件。

最安全的回退顺序是：先关闭 TUN 或虚拟网卡，再关闭系统代理，退出客户端，恢复 Windows 网络设置，最后重新启动需要直连的应用。如果问题只影响某个程序，可以先移除该程序的规则；如果所有应用都无法联网，再检查系统代理和路由表是否残留。不要一开始就删除全部配置，因为这会丢失原本可以帮助定位问题的线索。

当某个应用完全无法联网时，可以暂时把它加入直连列表，用来判断问题来自代理路径还是应用本身。如果直连正常，再逐步恢复应用代理、DNS 和规则集。若直连也失败，则应检查 Windows 防火墙、应用登录状态、系统时间、网络适配器和企业安全策略，而不是继续更换线路。

常见问题