安卓 VPN 分流的核心，不是让所有应用都走同一条代理线路，而是根据应用用途决定哪些流量经过 VPN，哪些流量保持直连。比如浏览器、海外办公工具或特定流媒体应用需要使用代理，而本地银行、支付、政务和局域网设备仍然希望直接连接。正确设置分流后，可以减少不必要的流量转发，也能降低本地应用因出口地区变化而出现验证异常的概率。
在安卓设备上，分流通常由客户端读取应用列表、建立系统 VPN 接口，再通过路由规则决定流量去向。客户端可能把这个功能称为“应用代理”“按应用分流”“绕过应用”“允许列表”“排除列表”或“分应用 VPN”。名称虽然不同，但判断逻辑基本一致：一种模式是只代理指定应用，另一种模式是代理全部应用但排除指定应用。设置前必须先确认当前模式，否则很容易把需要代理的应用放进了直连名单。
安卓应用分流到底如何工作
安卓客户端建立 VPN 连接后，系统会把符合条件的网络流量交给客户端处理。客户端再根据应用标识、目标地址、域名、协议和策略组决定下一步路径。这里的“应用分流”和“节点选择”是两个层次：应用分流决定某个应用是否进入代理隧道，节点或策略组决定进入隧道后从哪个出口连接。
例如，你可以让浏览器进入代理隧道，再为它选择某个地区的节点；同时让本地银行应用保持直连。也可以让所有应用默认走代理，仅把支付应用、局域网打印工具和家庭设备管理应用排除。前一种方式更容易控制代理范围，后一种方式适合需要让多数应用都经过代理、但又有少数应用必须使用本地网络的场景。
90+
覆盖国家
200+
可选线路
不限
在线设备
需要注意的是，应用分流并不等于域名分流。应用规则通常回答“哪个应用的流量进入代理”，域名规则回答“访问哪个网站时走什么路径”。如果一个应用内部同时访问多个域名，或者使用了独立的 WebView、后台服务和推送通道，仅添加主应用名称未必能覆盖全部请求。遇到登录成功但内容加载失败、图片无法显示或推送延迟等情况，应进一步查看客户端日志和规则命中情况。
允许列表与排除列表的区别
允许列表模式：只有你选中的应用经过代理，其余应用保持直连。这个模式适合只需要代理少数应用的情况，例如指定浏览器、视频应用或某个办公工具。优点是影响范围小，错误设置也比较容易恢复；缺点是新增应用后，需要手动把它加入列表。
排除列表模式：默认所有应用进入代理，只有你选中的应用保持直连。这个模式适合需要统一代理大多数应用的使用场景，但必须谨慎处理支付、银行、企业内网和本地设备管理工具。若应用依赖局域网地址、国内出口或本地 DNS，错误地让它进入代理，可能导致连接失败或反复进行安全验证。
- ✅ 只想让少数应用使用代理时，优先从允许列表开始。
- ✅ 需要多数应用统一使用代理时，再考虑排除列表。
- ✅ 将支付、银行和本地设备工具单独列为直连检查对象。
- ❌ 不要把“排除列表”误认为“仅代理列表”。
- ❌ 不要同时启用两个代理客户端，否则应用规则和系统 VPN 路由可能互相冲突。
选择安卓客户端与准备订阅
安卓官方客户端通常适合希望少操作、直接登录并连接的用户。如果服务方提供安卓安装包或下载入口，应优先查看当前的官方说明，再确认客户端是否支持应用分流、系统 VPN 权限和订阅更新。对于需要更细规则的用户，可以选择兼容订阅格式的第三方客户端，例如 sing-box 兼容客户端或其他支持对应协议与规则的安卓工具。Clash Verge 主要面向桌面系统，Shadowrocket 主要用于 iOS，不应把它们的操作步骤直接套用到安卓设备上。
导入订阅前，先确认客户端可以识别服务方提供的配置格式。Shadowsocks、VMess、Trojan、VLESS、Hysteria2 和 WireGuard 的参数结构并不相同，客户端支持某一种协议，也不代表一定能读取订阅中的全部传输组合。导入后如果节点列表为空、协议显示未知、策略组缺失或规则文件加载失败，应先检查格式兼容性，而不是马上修改安卓的全部网络设置。
订阅链接包含节点信息和访问凭据，应当像密码一样保存。只使用服务方提供的原始订阅地址，不要把链接粘贴到不明转换网站、在线解码工具或公开讨论区。若订阅曾经被他人看到，应在服务面板更换订阅信息，再重新导入客户端。
| 连接方式 | 配置特点 | 分流前检查 |
|---|---|---|
| 官方安卓客户端 | 操作路径较短，通常由客户端统一管理连接 | 确认是否提供按应用代理或绕过应用选项 |
| sing-box 兼容客户端 | 规则、协议与路由控制更细 | 确认订阅格式、TUN 权限和规则语法兼容 |
| Clash 兼容客户端 | 常见于策略组和规则分流场景 | 确认使用的是安卓客户端，而不是桌面端教程 |
| WireGuard 客户端 | 偏向隧道配置，应用级分流取决于客户端能力 | 确认配置文件和安卓应用分流功能是否同时支持 |
如果还没有安装客户端或不确定导入顺序，可以先查看本站的新手指引，再根据当前设备获取对应版本。对于只需要简单连接的用户，不必一开始就手工编辑复杂规则；先使用客户端提供的应用列表完成基础分流，确认流程稳定后再增加域名和策略组规则。
安卓客户端设置应用分流的操作步骤
不同客户端的菜单名称会变化，但大致流程可以归纳为：导入订阅、连接 VPN、打开分流设置、选择应用、保存规则和重新连接。下面以常见的安卓客户端逻辑说明，具体按钮位置应以当前客户端界面为准。
- 导入并更新订阅。打开客户端的订阅、配置或远程资源页面，粘贴服务方提供的原始订阅链接，完成首次更新。确认节点和策略组已经出现后，再进入分流设置。
- 先选择分流模式。查看页面中是否有“仅代理选中应用”“绕过选中应用”或类似选项。不要在模式尚未确定时连续勾选应用，否则保存后很难判断哪些应用被代理。
- 添加需要代理的应用。在允许列表模式下，选择真正需要代理的应用。应用名称相似时，可以打开安卓系统的应用详情，核对包名或图标，避免把同名工具加入错误列表。
- 添加需要直连的应用。在排除列表模式下，将银行、支付、本地办公系统或依赖局域网的应用加入直连列表。若客户端支持“系统应用”开关，应谨慎处理，不要一次性排除所有系统组件。
- 选择节点或策略组。应用进入代理后，还需要有可用的节点或策略组承接流量。优先根据目标服务所在地区选择线路，再考虑直连、中转或 IEPL 等线路类型。线路类型描述路径，不等于固定的速度等级。
- 保存并重新连接。部分客户端修改应用规则后需要停止连接再重新启动；如果安卓系统弹出 VPN 连接请求，应确认授权。旧连接可能仍在使用修改前的路由，因此只点击保存而不重连，测试结果可能不准确。
操作时建议一次只改变一个变量。例如先保持节点不变，只切换某个应用是否进入代理；确认结果后，再更换节点或协议。若同时改变分流模式、节点地区和协议，就算问题消失，也很难知道真正起作用的是哪一项。对需要长期使用的应用，可以记录应用名称、分流模式、节点策略和测试结果，后续更新订阅后便于恢复。
连接后如何确认应用真的按规则走
状态栏出现 VPN 图标，只能说明系统存在一个 VPN 连接，不能证明目标应用已经命中预期规则。验证时应分别测试代理应用和直连应用。代理应用可以访问其需要的目标服务，直连应用则应保持本地网络路径；如果两类应用的结果完全相同，需要检查客户端是否实际启用了应用分流，或者当前客户端只是建立了全局隧道。
首先检查客户端的连接状态和日志。关注是否显示配置已加载、规则文件已启用、应用规则被命中，以及目标连接是否由代理节点建立。日志中如果出现应用未识别、规则解析失败、DNS 请求未匹配或节点握手失败，应先解决对应层面的问题。不要把所有连接错误都归因于分流规则，协议参数、线路状态和当前网络限制同样可能导致失败。
其次进行应用级测试。打开指定应用，访问一个稳定的功能页面或执行该应用最常用的操作；随后关闭 VPN 连接或暂时将该应用移出代理列表，观察结果是否按照预期变化。测试过程中不要同时切换多个节点，也不要在后台保留其他 VPN 工具。安卓系统可能会保留应用连接，因此切换规则后可以完全退出目标应用，再重新打开。
最后检查 DNS 和局域网访问。某些应用虽然被设置为直连，但 DNS 请求仍可能由代理客户端处理；另一些客户端在 TUN 模式下会统一接管 DNS。若网页能打开但本地设备名称无法解析，或者局域网打印、投屏和文件共享失效，应查看客户端是否提供本地网络绕过、私有地址直连或 DNS 分流选项。不要为了绕过问题而关闭证书校验或随意导入来源不明的规则。
常见错误与快速恢复方法
需要代理的应用仍然直连：先确认应用是否加入了正确的允许列表，再检查当前模式是否被误设为排除列表。如果客户端支持应用包名识别，确认添加的不是同名快捷方式、网页入口或系统 WebView。还要检查规则是否保存并在重连后生效。
不需要代理的应用无法联网：检查它是否被错误加入允许列表，或者排除列表是否没有真正启用。银行和支付应用还可能因为出口地区、DNS、设备完整性检查或系统时间变化而拒绝服务，恢复直连后应完全关闭并重新打开应用。
应用能打开但部分内容加载失败：这通常意味着主连接已经建立，但应用使用的图片域名、推送域名、登录域名或后台接口没有按照同一规则处理。查看客户端日志和规则命中情况，必要时将应用相关域名交给同一策略组，而不是不断切换地区。
设置后所有应用都无法联网：先停止 VPN 连接，确认安卓本身可以使用移动网络或 Wi-Fi，再重新启动客户端。若仍然失败，可以恢复默认分流模式，删除刚添加的应用规则后重新连接。不要一次性清空订阅、节点和规则，因为保留原配置更方便定位是分流修改造成的问题，还是订阅或线路本身已经异常。
更新订阅后分流失效：有些客户端更新远程配置时会替换规则文件或重置当前策略组。更新后应重新查看应用分流页面，确认模式、应用列表和默认出口仍然存在。若客户端支持本地备份，可以在修改前导出配置；备份文件同样包含敏感信息，不要通过公开渠道分享。
- ✅ 修改规则前记录当前模式和已选应用。
- ✅ 更新订阅后重新检查分流开关与默认策略组。
- ✅ 应用无法联网时，先恢复直连并重新启动应用。
- ❌ 不要同时运行多个 VPN、代理或网络加速客户端。
- ❌ 不要使用关闭证书验证、绕过系统安全提示的方式“修复”连接。
一套更稳妥的长期使用方法
如果安卓设备经常在家庭 Wi-Fi、移动网络和公共网络之间切换，建议把分流配置设计得简单一些。先用允许列表处理少数需要代理的应用，把本地银行、支付、办公和局域网工具保持直连；确认稳定后，再根据实际需求增加域名规则或策略组。规则越少，更新订阅、排查连接和更换客户端时越容易维护。
对于需要代理的应用，优先选择与目标服务地区匹配的节点，不要频繁跨地区切换。网页、文档和普通应用可以先使用稳定的通用线路；交互性较强的服务则需要同时观察连接连续性和 DNS 结果。直连、中转与 IEPL 专线分别对应不同的路径组织方式，不能只凭名称判断。遇到某类网络限制时，也可以在客户端支持的范围内更换协议，例如在 UDP 受限的环境中使用基于 TCP 与 TLS 的兼容方案。
当规则越来越复杂时，应定期清理已经卸载的应用、重复的策略和过期节点。安卓应用更新后，包名通常不会轻易变化，但客户端重装、配置迁移或规则文件替换都可能导致应用列表需要重新确认。保留一份简短的配置记录，比依赖记忆反复试错更可靠。