代理和 VPN 的主要区别到底是什么？
核心区别在于流量如何交给中间节点、支持哪些流量以及连接范围。代理一般由应用主动连接一个入口，让它代为访问目标；VPN 常通过虚拟网络接口与路由，把选定 IP 流量送入隧道。两者都可能改变出口，具体效果取决于配置。
| 问题 | 代理的常见情况 | VPN 的常见情况 |
|---|---|---|
| 怎样接收流量 | 应用使用 HTTP、SOCKS 等入口，或客户端把接收的流量转换为代理请求。 | 通过系统接口与路由接收选定网络流量。 |
| 覆盖哪些应用 | 主动使用入口的应用；透明接入还取决于路由与客户端能力。 | 进入隧道的应用和目的地址；也可只覆盖部分应用或网段。 |
| 是否一定加密 | 不能仅凭“代理”判断，需要看具体协议和传输。 | 安全 VPN 应使用适当加密与认证，仍需核实实现和配置。 |
“只影响浏览器”与“覆盖全设备”是接入方式的结果，不能作为所有代理与 VPN 的绝对分类。一款软件可能同时具有本地代理入口、TUN 接入和多种远端协议。
为什么安卓代理客户端也会请求 VPN 授权？
因为 Android 用 VPN API 向应用提供一个接收系统流量的接口。这个授权说明系统允许应用建立本地虚拟接口；客户端随后如何处理包、连接哪台服务器，由应用及配置决定。
例如手机上的代理客户端可能先接收流量，再将它交给代理内核，最后按规则选择直连或远端节点。过滤软件也可能用同一类接口在本机处理请求。弹窗名称不会替你检查节点协议、证书和远端服务是否成功。
Android 官方文档把本地接口建立与网关连接、加密传输分成不同步骤。也就是说，本地接口能建立并不意味着后面的网关连接一定成功。v2rayNG、Karing 等客户端的状态应结合实际连接记录阅读，而不是把系统提示直接当成安全隧道验收。
VPN 图标亮了，就说明节点已经正常工作吗？
不能。图标表示系统识别到活动 VPN 服务，不能证明每个请求已到达预期远端。客户端仍可能没有有效配置、选中了直连、远端握手失败，或只覆盖部分应用。
- 先确认客户端实际选择的配置与出站，查看是否有明确错误。
- 打开一个需要验证的应用，访问未缓存的内容，核对连接记录中有没有该请求。
- 确认请求命中的规则及最终出站，而不是只看主界面的连接开关。
- 再比较后台运行与网络切换后的表现，确定问题是否可重复。
设备同时安装多个会使用 VPN 接口的应用时也要检查冲突。Android 官方说明，同一用户或配置档案只有一个活动 VPN 服务，启动另一个可能停止原服务。界面上的某个客户端仍开着，不代表系统当前把流量交给它。
用了代理或 VPN，HTTPS 和隐私还需要考虑吗？
需要，因为“到中间节点的保护”和“到目标网站的保护”是不同连接边界。远端代理协议的加密通常保护设备到代理之间的传输，HTTPS 则保护浏览器与网站之间的内容传输。不能用其中一个名字代替对另一段的判断。
普通 HTTP 页面不因经过 VPN 就自动获得端到端 HTTPS 保护。标准 HTTP CONNECT 可以建立转发隧道，但 CONNECT 本身不是内容加密协议；目标的 TLS 连接是否有效，要由应用继续验证。
中间节点还可能知道连接目标、时间及流量规模；网站仍可能通过登录账号、Cookie 或其他会话信息识别用户。因此出口地址改变不等于匿名，VPN 图标也不等于所有信息不可见。遇到证书错误应检查时间、目标域名和证书链，不要用关闭证书校验来“验证连接成功”。
为什么浏览器能用，其他应用却没有变化？
通常先检查应用是否进入客户端，再检查分流。系统代理是应用可选择使用的设置，有些程序并不读取它，或者只为部分协议读取。独立代理设置、UDP 通信和程序自己的 DNS 也可能产生不同路径。
TUN 能扩大可接收流量的范围，但仍受路由、地址族、分应用选择与排除项影响。公司内网、局域网设备或系统服务可能被特意设为直连，这与客户端“失效”并不等价。
一个可复现的比较是：对同一目标，先使用明确指定本机代理入口的请求，再用出问题的应用访问，核对两者日志。前者正常、后者没有记录时，应看接入设置；两者都进入核心却命中不同出站时，应看 规则与策略组，而不是继续反复换节点。
日常使用时应该选择代理还是 VPN？
根据要完成的连接任务选择，而不是只比较名称。访问单位内网时，首先遵循单位指定的客户端、认证和路由要求；为单个桌面程序设置入口时，可采用该程序支持的代理方式；手机希望多应用统一接入时，要核对客户端的 VPN/TUN 实现与分应用配置。
- 明确需要访问的应用、网站或网段，检查工具是否支持对应协议。
- 确认远端服务由谁维护、如何认证，以及出现问题时能否查到必要日志。
- 列出需要保持直连的内部资源，再检查路由和 DNS 是否配合。
- 保留原配置和恢复方法，从一次小范围验证开始。
开更多开关不必然增加连接效果。先把自己的实际请求路径解释清楚，再决定是否需要系统代理、TUN、分应用或更复杂的策略。
怎样确认效果，同时避免得出过大的结论？
同时看接入、出站和目标响应，并把结论限定到本次请求。网页能打开只证明这个目标在当时可用；查到另一个出口地址，只证明查询出口的那条请求采用了该路径。
DNS 查询和网站连接也可能走不同出站，浏览器还可能使用独立加密 DNS。应记录使用的应用、目标、时间和模式，必要时比较 IPv4 与 IPv6。关于解析器的影响，可以接着读 DNS 与加密 DNS。
如果需要动手理解本地入口，sing-box 的本机示例提供 mixed 入站与 direct 出站验证。它通过测试仍不会连接远端代理，正好说明“程序在运行”“入口可用”“远端隧道可用”是三个分别需要验证的事实。
常见问题
VPN 图标代表所有应用都经过远端服务器了吗？
不代表。图标反映系统活动 VPN 服务，应用选择、路由排除和客户端出站仍会影响实际路径，应核对目标应用的连接记录。
安卓的 VPN 授权会告诉我远端使用哪个协议吗？
不会。授权用于建立本地系统接口，后续使用什么协议、怎样加密、选直连还是远端，由客户端及配置决定。
HTTP 或 SOCKS 代理一定是不加密的吗？
不能只凭名称判断整条连接。基础代理协议、到代理的传输保护和目标网站的 HTTPS 是不同层次，需检查实际配置。
换了出口 IP 就能说明匿名吗？
不能。网站仍可能关联登录账号与会话，中间节点也可能观察目标和流量信息；出口查询只证明该请求的出口变化。
同时开启两个安卓 VPN 客户端会更可靠吗？
通常不能叠加成双重保障。同一用户或配置档案只有一个活动 VPN 服务，启动第二个可能停止第一个，应先排除接管冲突。
单位内网连不上，可以随便换一个代理客户端吗？
应先核对单位指定的协议、认证、DNS 与路由要求。能转发普通网页的代理不一定能替代单位 VPN，也不一定提供相同内网访问。
官方来源与核对
本文依据以下标准与官方资料整理，资料核对日期为 2026.10.02。概念说明与具体软件实现有区别，实际设置仍需对照对应版本文档。