Android VPN 分流可以按应用决定哪些流量进入 VPN 隧道，哪些继续使用设备当前网络。它适合把工作应用设为代理、让本地服务直连，也适合只让指定应用使用某条线路。设置入口和规则名称会因客户端版本、Android 系统版本而异；开始前先确认当前客户端确实提供按应用分流，避免把系统代理设置误当成 VPN 分流。
分流只决定应用流量走哪条路径，不会自动修复应用本身的网络错误，也不代表所有连接都遵循相同规则。部分应用会使用独立进程、系统服务或自有 DNS 行为，最终应结合客户端状态和实际访问结果核对。
先理解指定应用代理与排除规则
常见的按应用控制方式有两种：一是只让选中的应用经过 VPN，列表外应用直连；二是让大多数应用经过 VPN，再把选中的应用排除。不同客户端可能将它们标为“代理应用”“绕过应用”“包含应用”“排除应用”或“按应用路由”，具体含义应以当前页面说明为准。
Android 的 VPN 接口由应用创建虚拟网络连接。客户端通常选择一组允许通过隧道的应用，或指定一组不进入隧道的应用；这两种配置方式一般互斥。若客户端提供的是“仅代理所选应用”，勾选列表通常表示进入隧道；若提供“绕过所选应用”，勾选项通常表示直连。不要只看复选框，也不要假设勾选含义在不同客户端之间相同。
- 指定应用代理：适用于只需让浏览器、社交或工作应用使用代理的场景。未选中的应用通常保持直连，后台系统组件是否进入隧道则取决于客户端实现。
- 指定应用直连：适用于大部分应用需要代理，但银行、本地设备管理或局域网工具应保持直连的场景。排除列表里的应用可能无法访问只对代理出口开放的目标。
- 全局代理：适用于先验证连接是否正常，或临时排查规则问题。它并不等同于更好的隐私保护，也可能影响本地网络、投屏、打印和应用内登录。
按应用分流和按域名分流是不同层级的规则。前者主要依据应用归属，后者通常依据域名、IP 或规则集；客户端可能支持其中一种，也可能提供组合规则。若你使用的是规则代理客户端，查看配置页面的路由模式和应用列表说明，比直接套用其他客户端的操作步骤更可靠。
不同客户端的菜单名称与能力差异
官方 Android 客户端、基于 Android VPNService 的代理客户端，以及兼容订阅的规则客户端，界面可能完全不同。某些客户端把分流放在连接设置里，另一些放在路由、应用管理或配置文件选项中。菜单名称相似，也不代表它们控制的是同一层流量：系统级 VPN 分流通常以应用为单位，规则路由则可能以域名、IP、网络类型或应用标识为条件。
在 Android 上，系统通常只允许一个应用接管 VPN 接口。因此，打开第二个 VPN 客户端时，系统可能要求替换当前连接，或让原连接中断。不要同时启动多个 VPN/TUN 客户端来叠加分流；需要切换工具时，先断开当前连接，再启动另一个客户端，并确认状态栏和应用内连接状态一致。
像 Clash 系兼容客户端或 sing-box 客户端，是否能按应用设置路由，取决于具体 Android 版本、客户端构建方式和配置格式；订阅导入成功也不意味着已经启用应用分流。若客户端只提供规则模式而没有应用列表，就不能把规则组名称直接当成指定应用代理。使用系统自带的“始终开启 VPN”或“阻止未使用 VPN 的连接”时，也要检查它们是否会阻断你计划直连的应用。
如果你正在选择客户端或订阅服务，可以从 VPNOY 了解支持平台与使用入口；具体分流能力仍应以当前 Android 客户端的设置页为准，不要仅凭服务支持 Android 就推断所有应用路由功能都相同。
订阅负责向兼容客户端提供节点或配置，不会替代客户端的路由能力。导入订阅后，仍需在客户端内选择规则模式、启用对应配置，并确认 Android 已授予 VPN 连接权限。
按步骤设置应用分流
以下步骤适用于多数提供应用列表的 Android 客户端。菜单位置可能不同，遇到名称不一致时，优先查找“分应用代理”“应用路由”“包含应用”或“绕过应用”等选项。为了避免把配置错误误判成线路故障，建议一次只改一类规则，并在每次修改后重新连接验证。
- 先确认基础连接。打开客户端，使用默认或当前配置建立连接，并确认状态显示已连接。此时先不要同时更改 DNS、路由模式和应用列表。若基础连接本身失败，应先处理连接问题，而不是继续叠加分流规则。
- 打开应用分流设置。进入连接设置、路由设置或应用管理页面，查找“仅代理选中应用”或“绕过选中应用”等选项。若找不到应用级入口，检查客户端是否需要切换到 VPN/TUN 工作模式，或确认当前版本是否支持这项功能。
- 明确规则方向。需要指定应用走代理时，选择“仅代理所选应用”一类模式；需要指定应用直连时，选择“绕过所选应用”一类模式。不要在名称不清楚时先批量勾选。先阅读页面提示，再用一个不重要的测试应用确认勾选逻辑。
- 添加目标应用。从已安装应用列表中选择需要代理或排除的应用。某些客户端会把应用名称、图标或包名显示出来；如果列表里有同名应用，核对图标与安装来源。系统组件、浏览器内置服务和应用的后台进程不一定都能在列表中单独管理。
- 保存并重连。保存规则后断开连接，再重新连接，使客户端重新创建 VPN 路由。若 Android 弹出 VPN 授权提示，确认授权的是正在使用的客户端。不要在两个客户端之间反复切换授权而不检查当前连接状态。
- 分别验证代理与直连。打开一个应走代理的应用，确认目标内容能正常访问；再打开一个应直连的应用，确认本地网络或目标服务仍可用。测试时保持其他设置不变，避免把应用自身缓存、账户状态或网络切换造成的差异误认为规则效果。
初次设置建议先选少量应用，确认规则方向和连接结果后再扩大范围。若客户端支持按配置文件保存规则，可以为日常使用建立一份清晰配置，并给不同场景采用容易辨认的名称。修改前记录原来的模式和列表，出现异常时便于恢复。
确认规则是否真正生效
“客户端显示已连接”只说明 VPN 接口建立，不足以证明指定应用走了预期路径。验证时应把应用规则、客户端路由状态和访问结果结合起来看。不要只用一个网页判断所有应用，也不要把 IP 查询结果直接当成每条连接都采用相同出口的证明。
- ✅ 代理应用能够完成实际操作，并且客户端流量或连接记录中能看到对应请求时段的活动。
- ✅ 直连应用能访问原本依赖本地网络的设备或服务，且未被“阻止未使用 VPN 的连接”一类系统选项拦截。
- ✅ 修改应用列表后重新连接，再分别测试被包含和被排除的应用。
- ❌ 不要仅凭状态栏出现 VPN 图标，就断定全部应用都经过隧道。
- ❌ 不要同时切换规则模式、节点、DNS 和网络连接，否则很难定位是哪项变化影响结果。
测试可以选择不涉及敏感资料的普通页面或应用功能。若某应用有登录、同步或后台连接，应分别观察前台访问和后台活动；Android 的省电策略可能暂停后台网络，客户端规则正确也不一定能让应用持续运行。测试后若需要查看客户端日志，分享给他人前应删除账号信息、订阅地址、访问令牌和其他凭据。
某些应用可能通过系统服务发起部分请求，或使用不同的网络栈；因此应用分流的具体边界由 Android 与客户端共同决定。出现“网页直连、应用内内容却走代理”或相反情况时，先查看客户端是否支持该应用的连接方式，再检查规则列表，而不是立即认定订阅失效。
连接异常时如何排查与回退
指定应用无法联网
先确认它是否被放进了错误的列表：需要代理的应用若被设置为绕过，就会直连；需要直连的应用若被设为仅代理规则中的目标，则可能被送入无法使用的出口。随后检查客户端当前模式、目标配置是否仍处于启用状态，以及 Android 是否把 VPN 权限交给了正确的客户端。
如果问题只出现在一个应用中，可先移除该应用规则并重新连接，观察它在默认路由下能否恢复。再将它单独加入目标列表，避免一次调整多个应用。应用更新、重新安装或工作资料切换后，列表中的应用标识可能变化，必要时重新选择对应条目。
局域网或系统功能受到影响
打印机、投屏、智能设备和本地管理页面通常依赖局域网地址。全局 VPN 可能改变这类流量的路由，客户端若提供“绕过局域网”或本地网络选项，可按说明启用；若没有相应选项，可暂时断开 VPN 验证是否由隧道路由导致。不要为了修复局域网问题直接关闭所有安全设置，先确定受影响的是本地地址访问还是外部网络访问。
规则越改越复杂时恢复默认
出现多个应用断网、直连规则似乎失效或连接状态反复变化时，先保存必要配置，再关闭应用分流或恢复客户端默认路由，断开后重新连接。若默认模式恢复正常，说明问题更可能来自应用列表、路由模式或规则优先级；若仍无法连接，则应回到基础网络与客户端连接排查。需要更换线路时，一次只更换一个变量，便于判断变化原因。
最后，确认没有第二个 VPN、广告过滤器或本地防火墙同时接管网络。Android 通常不能让多个应用同时独占系统 VPN 接口，而部分本地过滤工具也会使用 VPNService。整理配置时保留一份可回退的默认方案，并在每次更改后记录规则方向和受影响应用，能显著降低反复试错的成本。