如何在 Android 上设置 VPN

开始前

安装应用

1. 先在服务商网站登录，然后通过网站提供的链接打开 Play Store 应用页面。商店搜索 VPN 时，仿冒应用会排在真正应用上方；而你付费使用的账户所提供的链接不会出现这种情况。
2. 安装、打开应用，并接受连接请求。Android 会询问一次是否允许应用建立 VPN 连接 — 这表示系统将隧道交给应用；拒绝后，应用就无法连接。提示中会显示应用名称；如果名称不是你安装的那个，立即停止。
3. 登录应用，使用同一个账户。大多数应用会要求给设备命名；该名称会由服务商保存，因此请使用不会识别出你身份的名称。
4. 暂时不要连接。两个重要设置根本不在应用内，而是在 Android 自带的设置中；在你打开之前，它们都是关闭的。

值得检查的设置

Android 是唯一一个由系统本身承载断网开关的平台，因此本节从应用外部开始。如果不熟悉设置名称，可以在术语表中查看对应条目。

始终开启 VPN 和无 VPN 时阻止连接

打开“设置” › “网络和互联网” › “VPN”，点击应用旁边的齿轮，然后打开这两个开关。始终开启 VPN 会让 Android 在启动时开启隧道，并在隧道断开时自动重启，无需等待应用操作。无 VPN 时阻止连接就是断网开关，由系统强制执行：隧道断开期间，手机上的任何内容都无法访问网络。

即使应用提供自己的开关，也应使用系统开关。应用的开关会在应用被终止后失效；Android 的开关仍会工作，因为执行它的不是应用。断网开关的用途详见专门页面；简而言之，隧道断开后会变成无法联网，而不是在你未察觉的情况下继续连接。对于一整天都在切换网络的手机而言，这正是重点。

隧道内的 DNS

即使其他所有流量都在隧道内，域名查询也可能绕过隧道离开手机，让网络知道你访问过哪些网站，而只隐藏你在网站上做了什么。在应用中查找DNS 泄漏防护、使用服务商 DNS或自定义 DNS 字段，并将其设置为服务商自己的解析器。

Android 的私有 DNS设置是另一回事，两者并不冲突：它发出的查询会像其他流量一样在隧道内传输。但由第三方运行的私有 DNS 解析器会让该第三方看到每一次查询，而你已经在将流量交给服务商信任。增加第二方只会增加知情方的数量，并不会减少任何一方知道的信息。泄漏如何发生，详见DNS 泄漏页面。

电池优化

Android 的电池管理器，以及制造商叠加在其上的电源管理器，会停止长时间在后台运行的应用。VPN 客户端正是这类应用。打开“设置” › “应用”中的应用页面，将电池用量设为不受限制；如果手机有制造商的电源管理器，也在那里进行相同设置。否则，隧道会在手机放在口袋里时断开，而第一个唤醒的应用会通过当时可用的网络发送流量 — 除非上面的系统开关已开启；在这种情况下，它什么也发不出去。

协议

保持现代默认选项不变 — 协议页面列出了哪些协议仍在使用，哪些已经过时。在手机上，现代协议在切换网络后重新连接也更快，并且更省电。如果应用提供旧协议选项来解决连接问题，可以有意识地暂时采用，但之后应恢复原设置：名录会标出服务商仍提供的最弱协议，手动选择它就等于亲自选择了这个标记。

确认它确实在工作

连接后不要直接假定一切正常，而要进行检查。按以下顺序完成三项检查，全部免费，也不需要安装其他应用：

1. 你的地址发生了变化。在浏览器中打开任意“我的 IP 是什么”页面，确认国家或地区与所选出口相符。在 Wi-Fi 和移动数据上各做一次：它们是两个不同的网络，一个网络上的隧道正常，不代表另一个也正常。
2. 查询在隧道内进行。运行 DNS 泄漏测试，并查看测试报告中的解析器。只要报告中出现属于移动运营商或家庭互联网服务商的解析器，就说明上面的 DNS 设置没有生效。
3. 断网开关确实按预期工作。开始下载大文件，然后在“设置” › “应用”中的应用页面强行停止 VPN 应用，让隧道在未收到应用请求的情况下断开。下载应立即停止，并一直保持停止状态，直到隧道恢复。如果下载仍在继续，说明“无 VPN 时阻止连接”没有开启。

更完整的测试清单，以及每项测试能说明和不能说明什么，详见专门指南。

处于糟糕网络中的手机

手机一天中会使用笔记本电脑很少遇到的网络：拥堵的蜂窝网络、需要登录的咖啡馆门户、火车上的网络。值得做的调整只有三项。选择离你较近的出口，因为每增加一千公里，就会在本已过载的网络上再增加延迟。现代协议完全无法连接时，只切换一次协议，并在第二天切回。打开上面的始终开启 VPN，这样隧道丢失后的重新连接由 Android 负责，而不是由你负责。

如果某个网络在所有协议和所有出口上都阻止隧道连接，那是该网络的事实。本指南不会进一步处理，只会指出这一点。