Android Clash 与 VpnService：先分清客户端、内核和系统权限
在 Android 手机上使用 Clash 类客户端，通常需要经过三个环节：导入有效配置、启动代理内核、允许客户端建立系统 VPN 接口。第三步依赖 Android 的 VpnService，不是给应用安装一个远端 VPN 账号，也不等于所有流量都会经过代理节点。
客户端通过虚拟网络接口接收被纳入 VPN 范围的 IP 流量，再交给内核处理。使用 Rule 模式时，规则仍可把请求分到 DIRECT、代理策略组或拒绝策略。因此，状态栏出现 VPN 标记，只能说明系统 VPN 接口已经建立，不能单凭这个标记判断某个网站实际走了哪个出口。
- 客户端负责界面、订阅管理、系统授权和后台服务。
- Clash 或 mihomo 内核负责协议连接、规则匹配和 DNS 等逻辑；支持字段取决于实际内核版本。
- VpnService负责 Android 侧的流量入口与生命周期，不负责判断订阅是否过期、节点是否可用。
Android 客户端的 VPN 模式，与桌面端常说的 TUN 模式具有类似的虚拟接口思路，但配置入口并不统一。不要为了在手机上接管流量，就照搬桌面端的服务安装步骤，或机械添加一整段 tun: 配置。
首次连接：处理 VPN 授权弹窗与连接冲突
按“配置 → 策略 → 启动 → 授权”的顺序操作
- 在客户端的“配置”或“Profiles”页面导入订阅，确认下载成功，并选中需要使用的配置。
- 进入“代理”或“Proxies”页面，选择可用策略。初次排查建议使用规则模式，先不要叠加分应用排除设置。
- 点击客户端的启动开关。Android 弹出“网络连接请求”或同类系统对话框时，确认应用名称，再选择允许。
- 返回客户端，检查运行状态、连接记录与通知。用浏览器发起一个新请求，确认日志中出现对应连接。
系统对话框会提示应用能够监控网络流量，这是 VpnService 的权限说明。该权限不会自动赋予应用读取所有 HTTPS 明文的能力；但应用确实能处理进入接口的网络流量，并可能看到目标地址和部分 DNS 信息，因此只应授予信任的客户端。
无法确认授权时，先关闭覆盖层
如果“确定”按钮点不动，先临时关闭悬浮窗、护眼滤镜、屏幕遮罩及其他覆盖屏幕的工具，再重新启动连接。部分系统会阻止被覆盖的敏感授权操作。公司管理的设备或工作资料也可能限制 VPN，遇到管理员提示时应联系管理方，而不是反复重装应用。
通常，同一用户或资料空间只能有一个活跃的 VpnService 连接。另一个 VPN、使用本地 VPN 的防火墙、过滤工具或抓包应用，可能替换当前连接。排查时先停止这些应用，再启动 Clash 客户端；工作资料与个人资料的行为还受系统管理策略影响。
Android 13 及以上：通知权限也要检查
Android 13 引入运行时通知权限。拒绝通知后，前台服务并不必然立即停止，但运行提醒可能无法正常显示在通知栏。建议进入“设置”→“应用”→目标客户端→“通知”，允许必要的服务通知，便于观察连接是否仍在运行。通知权限与 VPN 授权是两项独立设置。
省电白名单、后台运行与自启动：三个开关分别管什么
“忽略电池优化”“允许后台运行”“自启动”不是同一件事。只打开其中一个，不能保证系统在所有场景下都保留连接。建议先了解各自边界，再按设备实际表现调整。
| 设置 | 主要作用 | 不能保证的行为 |
|---|---|---|
| 电池使用“不受限制” | 减少应用受到的后台电量限制；具体策略由系统决定。 | 不等于进程永不回收，也不能修复不可用的节点。 |
| 允许后台活动 | 允许离开界面后继续执行必要任务。 | 不等于重启手机后自动连接。 |
| 自启动或后台自启动 | 放行部分系统事件触发的应用启动。 | 仍需客户端实现开机启动或恢复连接功能。 |
| 最近任务锁定 | 在部分厂商系统中减少“一键清理”误关应用的机会。 | 不是 Android 标准保活承诺，无法抵抗强行停止。 |
设置后，应重新打开客户端并手动连接一次。若此前点过系统“强行停止”，应用通常要被用户再次主动启动，才能恢复正常的后台行为。单纯把电池选项改成“不受限制”，不会替已经停止的服务自动建立连接。
主流 Android 系统的省电白名单设置位置
下面是常见系统版本的入口示例，不是所有机型都使用相同文案。系统升级、地区版本和厂商定制可能改变菜单位置。找不到时，优先长按应用图标进入“应用信息”，再查找“电池”“耗电管理”“自启动”等选项。
Pixel 与接近原生的 Android 14、15
- 进入“设置”→“应用”→“查看所有应用”→目标客户端→“应用电池用量”。
- 开启“允许后台使用”；若该页面提供“不受限制”，选择该项。部分版本需要点入后台使用选项才能看到策略。
- 进入同一应用的“通知”页面，确认服务通知没有被关闭。
原生 Android 通常没有厂商式“自启动管理”列表。是否能在重启后恢复，主要取决于客户端提供的启动选项、系统限制及设备解锁状态。
小米 MIUI 14 与 HyperOS
- 常见电池入口为“设置”→“应用设置”→“应用管理”→目标客户端→“省电策略”，选择“无限制”。
- 自启动常见于“设置”→“应用设置”→“权限管理”→“自启动管理”；部分 HyperOS 版本显示“后台自启动”。
- 如最近任务界面提供应用锁定功能，可按需锁定客户端卡片，减少手动清理时被关闭的机会。
部分版本把应用省电策略放在“设置”→“省电与电池”下。以目标应用详情页中的实际选项为准；不要把“显示悬浮窗”当成 VPN 运行的必需权限。
三星 One UI 6、7
- 进入“设置”→“应用程序”→目标客户端→“电池”，选择“不受限制”。
- 进入“设置”→“电池”→“后台使用限制”，检查“休眠应用程序”和“深度休眠应用程序”，将客户端从这些列表移除。
- 如果提供“从不自动休眠的应用程序”，可尝试添加客户端；部分版本会对已设为“不受限制”的应用采用不同列表展示方式。
省电模式仍可能改变后台网络与系统行为。若故障只在开启省电模式后出现，先关闭该模式做对照测试，再决定是否需要调整日常使用方式。
OPPO、OnePlus：ColorOS 与 OxygenOS
常见入口为“设置”→“应用”→“应用管理”→目标客户端→“耗电管理”或“电池用量”。如果页面提供“允许后台活动”“允许自启动”，按需开启。部分版本另有“电池”→“更多设置”→“优化电池使用”，可在其中找到客户端并调整优化策略。
vivo、iQOO 与荣耀设备
vivo、iQOO 的 OriginOS 常见入口为“设置”→“电池”→“后台耗电管理”，为客户端选择允许后台高耗电；自启动可在 i 管家的“应用管理”→“权限管理”中查找。荣耀 MagicOS 常见于“设置”→“应用”→“应用启动管理”，关闭客户端的自动管理后，按实际需要允许自启动、关联启动和后台活动。不同版本可能合并选项，应以系统说明为准。
始终开启 VPN、分应用代理与 DNS 的注意事项
“始终开启 VPN”不是进程保活替代品
系统 VPN 设置常见于“设置”→“网络和互联网”→“VPN”；三星等系统可能放在“连接”→“更多连接设置”→“VPN”。点击客户端旁的设置入口，只有在应用与系统支持时，才会出现可用的“始终开启 VPN”选项。它可以让系统尝试维持或恢复该 VPN，但不代表任何崩溃都能自动恢复。
“屏蔽未使用 VPN 的连接”是更严格的限制：当 VPN 尚未连接时，网络可能被阻断。若需要使用酒店、机场的门户认证网页，或正在测试不稳定的配置，建议先保持该项关闭。启用前应验证断开、重连和重启后的表现，并保留返回系统 VPN 设置关闭它的方法。
只有一个应用不通，先看分应用范围
Android 客户端可能提供“绕过所选应用”或“仅代理所选应用”。两者方向相反：前者把名单中的应用排除，后者只接管名单中的应用。若浏览器正常而另一个应用失败，先核对当前列表含义，再检查域名规则。工作资料中的应用也可能不属于个人资料 VPN 的接管范围。
不要把私有 DNS 与客户端 DNS 混为一谈
Android“私有 DNS”是系统层面的 DNS over TLS 设置，客户端配置中的 dns: 则由代理内核和客户端接管方式决定。二者如何交互，取决于 DNS 路由、VPN 实现及应用是否自带加密 DNS。不能假定启用 VPN 后，所有应用的 DNS 都必然经过同一个解析器。
如果日志显示域名解析超时，可以暂时把系统私有 DNS 从指定主机名改为“自动”，并临时关闭浏览器自带的安全 DNS，做单变量对照。确认原因后再选择长期设置。不要把关闭所有加密 DNS 当成固定安装步骤，也不要直接复制不匹配内核的 DNS 劫持配置。
锁屏断连排查：区分进程退出、网络切换和节点故障
“锁屏后没网”只是现象。应用被系统结束、Wi-Fi 切换到移动网络、节点连接失效以及 DNS 超时，都可能表现为网页打不开。先观察状态，再调整设置，能避免反复重装仍没有改善。
| 观察到的现象 | 优先检查 | 下一步操作 |
|---|---|---|
| VPN 标记消失，客户端显示已停止 | 进程退出、另一个 VPN 替换、系统后台限制。 | 检查后台权限和退出前日志，暂时停止其他 VPN 类应用。 |
| VPN 仍连接，但代理请求超时 | 节点可用性、网络切换、策略组选择。 | 切换一个已知可用节点，并分别在 Wi-Fi 和移动网络测试。 |
| 只有部分域名打不开 | DNS、规则命中、目标服务状态。 | 查看该域名的连接日志、命中策略与解析错误。 |
| 重启后未连接，手动启动正常 | 客户端开机启动选项与系统自启动许可。 | 解锁设备后观察恢复行为，再决定是否使用始终开启 VPN。 |
用固定步骤复现，不把测试时长当成系统保证
- 记下手机型号、Android 版本、客户端版本和内核版本，保存当前设置截图。
- 保持 Wi-Fi 连接，启动代理并访问一个目标网站；记录测试时间和当前策略。
- 锁屏 10 分钟后解锁，再发起新请求。这个时长只是第一轮测试窗口，不是 Android 的统一回收阈值。
- 重复一次 30 分钟锁屏测试，再单独测试关闭 Wi-Fi、切换移动网络后的新连接。
- 每轮只调整一个变量，例如只改电池策略，便于确认设置是否真正有效。
网络切换时，已有的 TCP 连接可能中断，即便 VPN 服务仍在运行也不例外。应以新建连接能否恢复为判断依据，而不是要求每一条正在传输的连接都保持不断。
日志排查可先搜索 timeout、DNS、network unreachable 等信息，再结合出现时间判断。需要反馈问题时，删除订阅地址、访问令牌、节点密码和个人访问记录，只保留相关错误上下文。
Android Clash 后台运行常见问题
每次连接都弹 VPN 授权，正常吗？
同一个应用已获授权后，通常不必每次重新确认。如果刚使用过另一个 VPN、重新安装过客户端、切换过资料空间，或设备管理策略发生变化，就可能再次请求授权。先确认弹窗对应的应用名称，不要把系统授权提示当成订阅续费提示。
划掉最近任务卡片后，代理一定会停止吗？
不一定。标准 Android 中移除任务卡片与强行停止应用不同，前台服务可能继续运行；厂商系统和客户端自身也可能采用额外退出逻辑。以 VPN 状态和客户端日志为准。希望持续连接时，避免使用系统的一键清理，并检查厂商后台管理设置。
开启自启动后，为什么重启手机仍要手动连接？
系统允许自启动，只是放行条件。客户端还要实现并启用开机启动或恢复连接功能，配置文件也必须可读取。有些行为需要首次解锁后才能继续。若客户端没有相应功能，不能仅靠系统自启动开关实现自动连接。
关闭屏幕就断开，是否应该先换订阅？
先观察客户端是否仍在运行。若服务已经停止，应优先处理后台限制或 VPN 冲突；若服务仍运行且多个节点都在同一网络失败，再检查网络与 DNS。只有错误集中在特定节点、换节点后恢复时，才有较明确的节点侧线索。
完成设置后的验收重点是：首次授权成功、离开界面仍可建立新连接、锁屏后能够恢复请求、网络切换后能够重新连接。把这四项分别验证，比一次性打开所有权限更容易定位问题，也更便于后续系统升级后复查。