Windows VPN分流规则怎么设置？指定应用直连与代理一次配好

Windows VPN 分流的目标，是让需要代理的指定应用进入客户端，而其他程序继续使用本地网络。设置前先分清两件事：系统代理通常只影响会读取 Windows 代理设置的应用；TUN 或虚拟网卡则能接管更广范围的网络流量，但应用是否能按进程名区分，取决于客户端、运行模式和规则支持。不要把“已连接”或“浏览器能打开网页”直接当成分流完成的证明，应该逐项核对规则命中和实际出口。

先分清分流层级与匹配对象

“指定应用走代理”可能指不同配置方式。Windows 的系统代理是供遵循系统代理设置的软件读取的地址和端口；很多浏览器会读取它，但部分游戏、同步工具、命令行程序或自带网络栈的应用可能忽略它。客户端的规则模式则按请求特征选择直连或代理，常见匹配条件包括域名、目标 IP、地理规则或应用进程。TUN 模式通过虚拟网卡接收更多网络流量，是否可以进一步按进程名分流，要看该客户端的实现和规则语法。

还要区分“按应用”和“按网站”。浏览器通常承载许多不同网站，按进程设置代理可能使浏览器内的所有请求都走代理；按域名设置则可以让同一浏览器访问不同网站时选择不同路径。反过来，一个桌面应用也可能连接多个域名，若只添加其中一个域名，登录、更新或媒体资源请求仍可能直连。规则应该根据实际需要覆盖应用及其依赖的网络请求，而不是只看主界面是否能打开。

Windows 自带的 VPN 连接也有自己的路由与分流设置方式，不能与代理客户端的规则模式混为一谈。传统 VPN 隧道可能按路由表决定哪些目标网段进入隧道；代理客户端则常用本地代理端口、规则引擎或 TUN 接管流量。导入订阅后出现可用线路，也不代表客户端支持按进程分流。Shadowsocks、VMess、Trojan、Hysteria2 和 WireGuard 等名称涉及不同协议或隧道实现，是否兼容应以客户端支持的配置格式和实际配置为准。

准备客户端与规则方案

开始前记录当前网络设置，并确定测试对象：一个明确需要代理的应用、一个应保持直连的应用，以及用于检查出口的目标页面或服务。选择不包含敏感账户操作的测试内容，避免在规则未验证时进行支付、账号恢复或其他重要操作。若电脑上已有其他代理软件、企业 VPN 或安全客户端，先确认它们是否会管理系统代理、路由或 DNS；发生冲突时，逐个停用测试，比同时改变多个设置更容易定位原因。

如果使用 VPNMT 客户端，应从面板获取对应客户端和订阅配置，并确认客户端支持实际配置中的协议与规则功能。VPNMT 的 Windows 使用方式应以客户端界面和接入说明为准：订阅导入成功只表示配置已读取，不等于应用分流规则已经启用。订阅链接可能带有访问凭据，不要把完整链接、二维码或含认证信息的日志发到公开场所。

先选一种分流方式，避免一开始同时改系统代理、TUN、DNS 和手工路由。常见做法如下：

• 应用自身代理：如果目标软件提供代理服务器、端口或代理模式设置，可按客户端给出的本地代理地址填写。此方法只影响该软件，应用更新或配置重置后可能需要重新检查。
• 客户端应用规则：客户端若明确支持 Windows 进程匹配，可按其文档填写进程名或程序路径，并指定代理策略。进程名与文件名通常需要准确匹配；不要从其他客户端复制规则语法。
• 域名或 IP 规则：目标应用没有进程匹配能力时，可让它访问的相关域名或地址进入代理策略。注意应用可能使用多个域名、CDN 地址或动态地址，单独添加登录域名不一定覆盖全部请求。
• TUN 接管：当应用不读取系统代理且客户端支持 TUN 时，可按说明启用虚拟网卡接管，再用客户端支持的规则选择代理或直连。启用前确认权限要求与回退办法，不要因为“接管全部流量”字样就默认每个程序都已按预期分类。

按步骤设置应用代理与直连

1. 先更新并启用配置。在客户端导入或更新订阅，选定当前配置和代理策略。若客户端把“配置已导入”“配置已启用”和“代理已连接”分成多个状态，逐一确认；不要在配置未生效时继续排查规则。
2. 选择流量接入方式。如果目标应用读取 Windows 系统代理，可先启用客户端的系统代理选项；如果应用不读取系统代理，查看客户端是否支持 TUN 或应用内代理。全局模式适合短时对照，不适合作为分流规则的替代品。
3. 添加代理匹配条件。在客户端规则编辑区域选择受支持的匹配类型。如果按进程设置，核对应用实际运行的可执行文件名称或路径；如果按域名设置，补充应用需要访问的相关主机名。将匹配结果指向代理策略组或明确的代理出口。
4. 设置其余流量的默认动作。明确未命中规则时走直连还是代理。日常分流通常需要清楚的直连规则、代理规则和默认规则顺序；部分规则引擎采用从上到下匹配，较宽泛的规则放在前面可能提前截获请求。应按客户端文档确认优先级，不要仅凭列表位置猜测。
5. 保存并重新加载。保存规则后，按客户端要求应用配置、重载核心或重新连接。若 Windows 弹出网络权限提示，只允许来源可信且符合预期的程序通过；不要为排错而关闭系统安全功能。
6. 用两个应用交叉验证。先打开设为代理的目标应用，确认连接日志显示命中预期规则；再打开应直连的应用，核对其规则与出口。两个测试都通过后，再测试目标应用的登录、更新或媒体功能，因为这些请求可能使用不同域名。

规则组、策略组和应用匹配字段在不同客户端中可能使用不同名称。Clash Verge、sing-box 等客户端的配置能力和语法并不完全相同；即使界面都提供规则编辑，某一内核支持的进程字段也不代表另一内核能够识别。修改前查看当前客户端版本所对应的说明，保留原配置副本，并避免把订阅生成的文件直接改成唯一配置，因为后续更新可能覆盖手工改动。

验证代理出口与直连结果

验证时要同时看“流量经过哪里”和“规则为什么这样处理”。先在客户端日志或连接列表中找到目标应用产生的请求，观察匹配的规则、策略名称和连接结果。如果目标应用显示命中直连规则，即使客户端整体显示已连接，该请求也没有使用代理。反过来，某个出口查询页面显示本地网络信息，也可能是该查询请求被直连规则匹配，并不能单独证明 TUN 或代理连接失效。

可以按以下顺序检查，尽量一次只改一个条件：

• 确认命中对象。检查进程名称是否对应实际运行文件。启动器、主程序和后台更新程序可能是不同进程；只匹配启动器时，真正发起网络请求的程序可能没有被覆盖。
• 确认规则顺序。查看更早的规则是否已经匹配该请求。若广泛的直连规则先命中，后面的指定应用代理规则可能永远不会执行；依照客户端支持的顺序调整，并重新加载配置。
• 确认应用是否读取系统代理。若日志没有出现目标请求，而浏览器测试正常，应用可能绕过系统代理。此时检查应用自己的代理设置，或评估客户端支持的 TUN 接管方式。
• 分别检查 IPv4、IPv6 与 DNS。某些客户端或应用可能使用不同地址族或独立解析路径。检查客户端日志中是否出现 DNS 请求，以及相应规则是否生效；不要只凭一个网页结果推断所有连接都走同一路径。
• 用直连应用作对照。访问本地网络资源或其他明确预期直连的服务，确认它没有误入代理。若局域网打印机、文件共享或企业内网不可用，检查是否缺少本地地址直连规则，以及客户端是否改变了系统路由。

遇到需要登录、验证码或连接超时的站点时，不要立刻反复更换线路。先看对应请求是否进入预期策略，再判断是规则漏配、DNS 解析不一致、应用自身代理设置冲突，还是目标服务拒绝当前出口。根据日志逐项排查，能减少把规则问题误判成线路问题的情况。

常见故障与安全回退

规则设置后出现“目标应用打不开”，可先临时将该应用对应规则切换到代理策略，并确认客户端可正常连接；若仍失败，检查规则是否匹配真正发起请求的进程、客户端日志是否报协议或 DNS 错误，以及应用是否配置了另一个代理。若临时改为代理后恢复，问题更可能在原匹配条件或默认动作；若仍无效，则不应继续堆叠规则，应回到基础连接和应用网络设置排查。

出现“所有应用都走了代理”时，检查默认规则、全局模式和 TUN 接管状态。全局代理可能覆盖原本的规则预期；广泛匹配条件也可能将所有请求送入同一策略。若只有部分应用无法联网，检查它们是否使用独立进程、后台服务或不同网络接口。修改后重新加载配置，并用客户端日志确认新规则确实生效。

若系统代理关闭后仍有流量经过客户端，可能是 TUN、虚拟网卡或其他网络工具仍在接管。不要连续删除网卡、重置路由或清理系统配置；先在客户端关闭对应接管模式并按说明断开，再观察网络是否恢复。若应用内部填写了代理地址，也要恢复原设置。更改前保留规则副本与原有网络设置，便于逐项撤销。

规则无效或网络整体异常时，可按以下顺序回退：

1. 暂停自定义规则，恢复客户端提供的默认配置或备份版本。
2. 关闭 TUN 等虚拟网卡接管，再断开客户端；如曾修改系统代理，恢复原状态。
3. 清除目标应用内为本次测试添加的代理地址，完全退出并重新启动应用。
4. 确认普通网络和本地服务恢复后，再只启用一种接入方式，从一个应用和一条规则重新测试。

如果回退后仍无法联网，记录 Windows 网络状态、客户端版本、发生问题的应用和已尝试的恢复步骤。分享日志前遮盖订阅地址、用户名、认证信息、内部地址及其他隐私内容。不要将包含敏感信息的完整配置上传到不明网站，也不要为了验证而关闭防火墙或系统防护。

常见问题

打开系统代理后，所有 Windows 应用都会走代理吗？

不会。系统代理主要对读取 Windows 代理设置的应用生效，部分软件可能使用自己的网络栈或独立代理配置。需要更广覆盖时，应核对客户端是否支持 TUN；是否能再按应用区分，仍取决于客户端的进程规则支持。

为什么按进程名设置后，目标应用仍然直连？

可能是进程名或路径不匹配、规则被更早的条件截获、真正发起请求的是后台进程，或当前客户端内核不支持该匹配方式。查看连接日志确认实际进程和命中规则，再按客户端文档修正；不要直接复制其他客户端的规则字段。

按浏览器进程设置代理，能只代理某几个网站吗？

通常不能仅靠进程匹配实现精确的网站级分流，因为该规则识别的是浏览器进程，而不是浏览器当前访问的站点。需要按网站区别处理时，使用客户端支持的域名规则，并考虑相关子域名及应用依赖的其他请求。

设置后网络异常，最快的回退方式是什么？

先暂停自定义规则，关闭 TUN 或其他接管模式并断开客户端，再恢复原系统代理和应用内代理设置。确认网络恢复后，从单一接入方式重新配置；不要同时重置路由、DNS 和网卡，否则难以判断是哪项改动造成问题。