安卓VPN新手完整指南:从安装客户端到验证连通

安卓上的 VPN 是怎么工作的

安卓系统从 4.0 起内置了 VpnService 接口。第三方客户端通过它在系统里创建一张虚拟网卡,应用发出的数据包先被这张网卡截住,再由客户端按规则决定是送进加密隧道,还是直接交给本地网络。理解了这一层,后面所有的弹窗和开关就都有了解释:系统需要知道是谁在接管流量,所以必须由你亲手授权,而且重装应用之后通常还要重新确认一次。

与桌面端相比,安卓有两个差异值得先记住。第一,同一时间只允许一个 VPN 应用处于活动状态,同时开两个客户端,后开的会把先开的顶掉,表现出来就是「莫名其妙断了」;第二,系统对后台进程的管控更激进,界面显示还在连接,底层连接可能已经被回收。前者影响安装与共存,后者影响保活,后面的章节会分别处理。

客户端与线路之间用什么协议通信,决定了握手方式和对网络环境的敏感程度。下表列出安卓端常见的几种,节点连不上时可以先对照特征排查,而不是盲目换节点。

本服务的线路统一使用军工级加密;客户端里选择的协议影响的是握手方式、传输特征,以及在某些网络环境下的通过率。这两件事不要混为一谈:加密由服务侧保证,协议只决定「怎么连上」。

选线路时真正用得上的参数并不多,本服务对外公布的几项可以直接核对:

设备数不设上限,意味着平板、备用机、旧手机可以共用一个账号,不必为了多一台设备再买一份。退款条款则给了试错空间:先把一台设备按下面的步骤调通,再决定要不要铺开。

安装客户端与导入订阅

第一步:安装客户端

安卓客户端从本站下载页获取,需要先登录账号——下载页不提供静态安装包直链,登录后拿到的才是与账号绑定的版本与订阅信息。安装过程中系统可能提示「未知来源应用」,这是侧载的常规提示,允许当前文件管理器完成安装即可。

装好之后先不要急着点连接。安卓会在首次连接时弹出系统级授权对话框,提前把订阅配好,能少一次来回。

第二步:导入订阅

订阅链接是一个 https 开头的地址,客户端会定时向它拉取节点列表。服务端增删线路后,在客户端点一次「更新订阅」就能拿到新列表,不需要逐条手工添加节点。这是订阅型客户端与手动配置最大的区别。

1. 登录后进入下载页,复制完整的订阅链接。链接通常较长,注意不要漏掉尾部字符,也不要带上前后的空格。
2. 打开安卓客户端,找到「订阅」或「配置」分组,新建一条订阅,把链接粘贴进去并保存。
3. 回到列表点「更新」,等节点加载完成。加载失败先确认手机网络正常,再检查链接是否完整。
4. 从列表里挑一条线路连接。不要只看名字,优先选你实际要访问的服务所在地区。

订阅与手动配置怎么选

部分客户端也支持手动填写服务器地址、端口、密码与协议参数。手动配置的好处是不依赖订阅服务,缺点是服务端调整线路时你得逐条改。除非所用客户端不支持订阅导入,否则优先用订阅:省事,也更不容易把参数填错。

授予 VPN 权限与系统设置

第一次点连接时,系统会弹出一个「连接请求」对话框,列出客户端名称和它将要接管的范围。这个弹窗不是客户端做的,是安卓在替你把关。必须勾选「我信任此应用」再点确定,连接才会建立;点了取消,客户端会一直停在「正在连接」,而且下次不一定再弹。

三个值得改的系统开关

• 始终开启的 VPN:位于「设置 → 网络和互联网 → VPN」。开启后系统会在开机时尝试自动连接,适合每天都要用的设备。
• 阻止无 VPN 的连接:开启后,一旦隧道断开,设备会直接断网而不是回落到本地网络。适合对出口地区敏感的场景,但要先确认客户端能在后台稳定存活,否则锁屏后可能整机没网。
• 私有 DNS:安卓 9 起支持 DNS over TLS。如果这里填了具体主机名,解析请求会固定走那台服务器,可能与隧道内下发的 DNS 不一致,表现为「连上了但个别应用解析失败」。排查阶段先设为「自动」。

按应用分流

多数安卓客户端支持按应用代理,只让勾选的应用走隧道,其余直连。把网银、公司内网、本地生活类应用设为直连,可以避免它们因为出口地区变化触发风控;需要国际线路的应用单独勾上。这类规则保存在客户端本地,换设备不会同步,新机要重新配一遍。

省电白名单与后台保活

安卓的省电策略会在屏幕关闭后限制后台网络,长连接因此被掐断。表现出来就是:锁屏十分钟再打开手机,客户端显示「已连接」,网页却打不开,手动断开重连才恢复。这不是线路质量问题,而是系统把进程的网络权限收走了。

标准路径

1. 设置 → 应用 → 找到客户端 → 电池 → 选择「不限制」或「允许后台活动」。
2. 设置 → 应用 → 特殊应用权限 → 电池优化 → 切到「所有应用」→ 找到客户端 → 选择「不优化」。
3. 小米、华为、OPPO、vivo 等厂商 ROM 另有「自启动」「后台运行」开关,名称与位置各不相同,通常在应用管理或电池设置里,把客户端对应的开关打开。
4. 不要把客户端从「最近任务」里划掉。部分系统会把这个动作等同于停止服务。

• ✅ 系统电池优化里,客户端已设为「不优化」
• ✅ 厂商 ROM 的自启动与后台运行开关已打开
• ✅ 客户端进程保留在最近任务中,不手动清理
• ❌ 把客户端加入「深度睡眠」或「智能省电」名单
• ❌ 用第三方清理工具定时结束后台进程

做完这几项,可以让屏幕熄灭放置几分钟再回来,看客户端是否仍在连接状态、网页能否直接打开。如果仍然断流,换一条线路再试——有些网络环境会对长时间空闲的 UDP 会话做回收,基于 QUIC 的协议比基于 TCP 的更容易受影响。

验证连通:四项检查

「显示已连接」只说明客户端认为自己连上了,不代表流量真的从线路出去。下面四项检查按顺序做一遍,能覆盖绝大多数「连上了但不好用」的情况。

检查一:出口地址与地区

用手机浏览器打开任意 IP 查询页,看两件事:显示的地址是否属于你选择的线路所在地,归属的运营商或 ASN 是否与线路类型相符。如果显示的仍是本地地址,说明流量没有进隧道,回到上一节检查权限与分流规则。

检查二:DNS 泄漏

打开 DNS 泄漏检测页,页面会列出当前生效的 DNS 服务器。理想状态下,这些服务器应位于线路出口附近,而不是你本地运营商的地址。如果仍然出现本地 DNS,按顺序排查:私有 DNS 是否被设成了固定主机名、客户端的 DNS 模式是否设为远程解析、是否误开了「绕过局域网」。

检查三:断线恢复

打开飞行模式,等十秒再关闭,观察客户端是否自动恢复。能自动恢复,说明保活配置生效;需要手动点一次才恢复,说明后台被限制过,回到上一节补白名单。

检查四:分流是否符合预期

分别打开一个被设为直连的应用和一个走隧道的应用,各自查一次出口地址,两者应当不同。如果全都一样,说明分流规则没生效,检查是否开启了全局模式。

常见问题与踩坑对照

下面这张表按「现象—原因—处理」整理,遇到问题时先对照一遍。多数情况不需要换线路,只是某个开关没对齐。

如果表格里的办法都试过仍然连不上,先确认同一账号在电脑端是否正常。电脑端正常、安卓端异常,问题基本在手机的系统设置;两端都异常,才是线路或账号本身的问题。