Clash Android 版设置要点：VpnService 授权、省电白名单与分应用代理

先分清三层设置：VPN 接管、后台运行、代理规则

Android 上的 Clash 类客户端，通常通过系统 VpnService 建立本地虚拟网络接口，再把接收到的流量交给内核处理。系统显示 VPN 标识，只能说明隧道正在使用；节点是否可用、哪些请求走代理，还要看配置和规则。

Clash for Android、FlClash 等客户端的界面与内核版本不同，不能把某一款客户端的菜单路径直接套到另一款上。下面把系统操作和客户端操作分开说明；遇到名称差异，先按功能寻找入口，不要为了对齐截图随意开启额外选项。

初次设置按这个顺序走：导入并启用配置 → 完成 VPN 授权 → 验证前台联网 → 调整后台权限 → 最后配置分应用。每轮只改一类设置，出问题时才知道该退回哪一步。

首次连接：识别 VPN 授权与冲突

授权弹窗该怎么确认

1. 在客户端导入订阅或本地配置，确认当前配置已经选中。订阅下载成功，不代表配置已经切换生效。
2. 点击启动、连接或 VPN 开关。首次启动时，Android 通常会弹出“连接请求”，提示应用将设置 VPN 连接。
3. 核对弹窗中的应用名称，确认确实是刚安装并打开的客户端，再点击“确定”。不需要为此授予设备管理员权限或安装根证书。
4. 观察客户端运行状态，以及系统状态栏或 VPN 设置中的连接记录。部分系统隐藏钥匙图标，以系统 VPN 页面为准。

VPN 授权与通知权限是两件事。Android 13 及以上可能另外请求通知权限；允许通知便于查看常驻服务状态，但通知权限不会替代 VPN 授权。反过来，通知被关闭，也不能仅凭“看不到通知”判断连接一定停止。

启动后立即断开，先查另一个 VPN

同一 Android 用户或资料空间通常只能有一个活动 VPN。广告过滤器、防火墙、抓包工具、公司 VPN，以及部分“网络加速”应用，都可能占用这个位置。先停止其他应用的本地 VPN 功能，再启动 Clash；不要连续点击两个客户端的连接按钮，制造反复抢占。

原生 Android 常见检查路径为「设置」→「网络和互联网」→「VPN」；三星 One UI 常见路径为「设置」→「连接」→「更多连接设置」→「VPN」。厂商改过菜单时，直接在设置中搜索“VPN”，进入系统结果，而不是应用商店搜索结果。

• 始终开启的 VPN：适合稳定运行后再启用。测试阶段先保持关闭，避免系统自动拉起另一款已绑定的客户端。
• 阻止未使用 VPN 的连接：VPN 停止或尚未建立时可能直接断网；与分应用排除同时使用时，也可能使被排除的应用无法联网。
• 工作资料：公司管理策略可能限制 VPN 创建。工作空间与个人空间的网络设置要分别确认，不要尝试绕过组织策略。

省电白名单：先改应用电池策略，再处理自启动

“亮屏正常，锁屏几分钟后断开”才是优先检查后台限制的典型场景。如果亮屏时就无法联网，应先看配置、节点和 DNS。把所有省电开关全部关闭，通常只会增加耗电，不能修好错误配置。

系统电池设置的两类入口

长按客户端图标 →「应用信息」，先找「电池」或「应用电池用量」。部分 Android 13、Android 14 设备会提供“不受限制／优化／受限制”，或“允许后台使用”的开关；可先允许后台运行，再进行锁屏测试。具体名称由系统版本和厂商决定。

较早的原生 Android 界面还可从「设置」→「应用和通知」→「特殊应用权限」→「电池优化」进入，切换为“所有应用”，找到客户端后选择“不优化”。如果列表里找不到应用，先检查当前是否只显示“未优化”的应用。

上表是常见入口，不是所有机型的固定路径。找不到时，在系统设置搜索“电池优化”“后台活动”“自启动”。华为设备还需确认系统是否支持所安装的 Android 应用；不能把 Android APK 的操作步骤直接用于原生鸿蒙应用。

自启动、最近任务锁定，不是同一个开关

• 允许自启动：减少重启后或服务恢复时被系统拦截的机会。客户端本身还需要支持并启用开机启动，权限不会凭空产生该功能。
• 最近任务锁定：部分厂商可在最近任务卡片菜单中点锁，主要降低“一键清理”误关的概率，不能替代电池策略。
• 强行停止：从应用信息页执行后，应用可能保持停止状态，直到再次手动打开。不要把强行停止后无法自动恢复，误判成白名单失效。

Doze、省电模式、厂商后台管理是不同层次的限制。加入电池优化白名单不等于永远不会断线；内存压力、系统升级、网络切换仍可能中断服务。只给需要常驻的客户端开放相关权限，不必连带放开其他应用。

分应用代理：先选接管范围，再看规则模式

Android 客户端中的“访问控制”“分应用代理”或“应用过滤”，通常基于应用包名决定哪些应用进入 VPN 接口。它发生在连接交给内核之前，与配置中的域名规则不是一回事。Clash for Android 可查找“访问控制”；其他客户端可能把对应选项放在 VPN、网络或分应用设置中。

包含列表与排除列表，方向别选反

1. 仅代理选中的应用：适合只让浏览器、阅读器等少量应用进入客户端。先只选一个浏览器完成验证，避免第一次就维护几十个应用。
2. 绕过选中的应用：适合大部分应用由客户端接管，只排除银行、设备管理等特定应用。被排除的应用通常直接使用系统网络。
3. 保存并重连：应用列表变动后，停止再启动 VPN，让客户端重新创建接口。已有连接可能继续沿用旧路径，测试前也应彻底关闭并重新打开目标应用。

例如，只把浏览器加入包含列表，同时使用规则模式：浏览器访问命中直连规则的网站时仍可直连；没有加入列表的视频应用则不经过这条 VPN 接管路径。排查时应同时记录“应用是否纳入”和“连接命中哪条规则”，不要只看一个开关。

系统应用、双开应用和 DNS 的边界

• 应用双开：副本可能位于不同用户空间，显示名称相同也不代表与原应用共用相同接管设置。先在对应空间确认客户端与应用的实际运行位置。
• 系统组件：账号登录、下载管理器、系统 WebView 等可能参与请求。只接管主应用后功能不完整，应结合连接日志定位，不要直接勾选全部系统应用。
• 应用内安全 DNS：浏览器自带的加密 DNS、Android 私人 DNS与客户端 DNS 不是同一入口。分应用过滤不能保证所有解析都按配置中的 nameserver 执行。

遇到“浏览器可用，另一个应用不可用”，先检查是否漏选应用、改完是否重连，再看规则命中和 DNS。不要一开始就换 TUN 栈；Android 的 VPN 接管与桌面端系统代理开关也不是同一套机制。

验收顺序：前台、锁屏、切网各测一次

下面是一组可复现的测试步骤，时间是建议观察窗口，不是某款机型的实测续航结论。测试时保持同一份配置、同一个节点和同一个浏览器，避免变量混在一起。

1. 前台 2 分钟：连接后打开两个平常能访问的网站，查看客户端是否出现对应连接。确认规则结果和实际访问一致，不把节点延迟测试成功当作网页一定可用。
2. 锁屏 10 分钟：保持正常电池模式，锁屏后等待，再解锁访问相同网站。记录 VPN 是否仍连接、是否出现重新连接，以及日志里有无服务重启。
3. 切网 1 次：从 Wi-Fi 切到移动数据，等待网络恢复后新开页面。旧 TCP 连接中断不一定是后台被杀，重点看新连接能否建立。
4. 重启 1 次：仅在启用开机启动后测试。重启并解锁手机，确认客户端是否按预期恢复；涉及始终开启 VPN 的设置，也在此时检查。

需要反馈问题时，记下 Android 版本、系统名称、客户端版本、内核版本，以及故障发生时间。截图前遮住订阅 URL、节点凭据和访问记录；完整订阅链接常带访问令牌，不适合公开粘贴。更多连接排查可查看完整文档。

常见问题：权限已开，为什么表现仍不一致？