清楚掌握哪些应用使用 VPN，再决定如何分流

笔记本电脑上的浏览器可能需要受保护的连接，而另一个应用需要使用平常的网络。分流可以兼顾两者，但这个名称本身并没有说明哪些流量会走哪条路径。在一个客户端中，勾选可能代表“让这些应用通过 VPN”，在另一个客户端中却代表“排除这些应用”。有效的起点是列出一份简短的预期行为清单，然后逐一测试相关应用。不要仅仅因为有这些选项，就积累大量例外。每一条例外都应解决一个你能说清楚、也能重新评估的已知问题。

先明确 VPN 分流策略，再选择应用

写下应用名称、具体任务和预期路径。例如，用于研究资料的浏览器应经过隧道，而另一款应用可能因已有文档说明的兼容性原因，需要直接联网。这只是一种可行安排，并非适用于所有人的建议。如果设备由雇主管理，管理员的访问策略优先于你的个人偏好。

先考虑是否真的需要例外。如果唯一的问题是找不到打印机，将整个浏览器排除在 VPN 之外可能并没有针对真正的问题。本地发现、设备权限和局域网访问需要单独排查。让打印机和投屏保持可用的指南解释了这种更具体的情况。允许直接访问互联网，与允许访问附近设备，是两个不同的决定。

在每项拟议更改旁边注明负责人和原因。个人手机的负责人就是你自己。对于共用电脑，这条记录可以避免后来的使用者误以为“已连接”指示涵盖所有程序。也要记录日期：为临时故障设置的例外，不应在无人察觉的情况下变成永久设置。

仔细确认所选应用是包含还是排除

应用选择通常采用两种模式之一。包含列表指定应进入隧道的程序，排除列表指定应绕过隧道的程序。因此，同样列出三个应用名称，可能代表完全相反的策略。请阅读客户端中的说明文字，不要只根据选项是否高亮来判断。

Android 的 VPN 开发文档将允许应用列表和禁止应用列表描述为两种替代方案，并指出更改后需要重新建立连接。这并不代表所有面向用户的客户端都以同样方式展示控制项，但能解释为什么修改列表后，可能需要重新连接才会生效。

采用包含模式时，安装新应用后需要留意：新程序可能不在已选范围内。采用排除模式时，则要注意原先的原因消失后，旧例外是否仍然保留。两种模式都不是天然更好。请选择自己能可靠维护的方式，并确认未出现在列表中的应用会如何连接。不要根据不同平台上翻译不一致的功能名称来猜测。

同时检查客户端和操作系统

订阅提供访问凭据和连接端点，而路由选项还取决于导入这些信息的软件。使用同一订阅的两个客户端，可能提供不同的控制功能。即使应用名称相同，手机端和桌面端也可能支持不同的功能。客户端兼容性检查清单可以帮助你判断，已安装的程序是否真正支持你需要的策略。

在 Android 上，操作系统中阻止 VPN 以外连接的设置可能影响被排除的应用。文档说明的行为是：不在允许的隧道路径中的应用，可能会失去网络连接，而不是改为直接联网。对于严格的访问策略，这可能正是正确结果，并不能说明订阅已经过期。

不要为了让例外生效，就在未评估后果的情况下关闭这项阻止设置。先判断这台设备和这项任务是否允许直接流量。如果不允许，应选择其他受支持的方案。保存原始设置的截图或简短记录，但不要包含订阅 URL、配置密钥或个人账户信息。

测试应用本身，而不只是浏览器中的提示

准备两个不涉及敏感数据的测试任务，一个在计划的隧道策略范围内，一个在范围外。关闭不必要的后台活动，连接 VPN；如果相关文档建议重启应用，也应照做。在所选浏览器中打开公网地址检测，只能提供关于该浏览器请求的证据，不能证明另一个邮件客户端、游戏或文件同步进程使用了哪条路径。

如果应用提供诊断信息，就用它检查应用自己的连接。否则，记录能够观察到的结果，并向客服咨询合适的测试方式。不要仅仅为了看到地址，就安装不熟悉的检测扩展或分享登录凭据。成功登录本身不能证明某条特定路径，因为同一服务可能接受来自两种路径的连接。

使用客户端的正常控制项断开并重新连接后，再重复测试。如果应用会启动浏览器完成身份验证，也要把这个跳转包含在测试中：登录页面可能运行在与应用本身不同的程序里。查阅 Android 连接指南时，请让说明与你实际使用的客户端和设备对应。

区分路由、身份和过滤

将一个程序排除在外，会改变网络路径，但不会创造另一个身份，也不会清除已有的账户会话。服务仍然可以把活动与已登录账户关联。让某个浏览器绕过隧道，并不会自动将其 Cookie、已保存偏好或账户历史与之前的使用记录分离。

DNS 和过滤也需要明确检查。应用可能使用由操作系统、VPN 或自身设置选择的解析器。路由例外与这些选择之间的关系，可能因客户端而异。如果你依赖基于 DNS 的拦截功能，应验证它在被排除应用中的预期行为，而不是假设每个功能都与连接指示一致。

在记录中明确区分：预期路径、观察到的行为，以及尚未解决的问题。例如，“视频应用直接联网时可以工作”是一个观察结果；“它所有的后台请求都绕过隧道”则是更强的判断。如果后一种判断很重要，应要求有文档依据的配置，以及能够真正验证它的测试。不要把症状得到改善这件方便的事，变成安全保证。

维护一份自己能解释清楚的小型策略

更换设备、重新安装应用或更换客户端后，应重新检查列表。删除已失去用途的例外，再测试剩余任务。一份简短且原因明确的列表，比从网上排障指南复制的一大组例外更容易维护。

向 Lumeraya Help求助时，请提供设备、操作系统版本、客户端名称、选择模式，以及你对某个应用预期的行为。说明它是完全无法工作，还是仅仅使用了意外的路径。不要在公开截图中暴露机密配置资料。

好的分流设置应以容易理解的证据收尾：你知道哪些程序被包含、哪些被排除，以及哪些方面仍未验证。除非例外有具体用途，否则应让普通流量保持在默认的受保护路径上。环境变化后要重新检查这个用途，不要把昨天有效的一个勾选项当成设备永远不变的说明。