指南
App Store 中的应用、配置提示及其去向、让隧道在重启后保持连接的按需设置，以及在 iPhone 上使用 kill switch 必须了解的一件实事。本文以 iOS 27 为准。
无论你使用哪家服务商，下面的每一步都相同，因此这里不会点名任何一家。选择服务商是另一项工作，应在名录中完成，依据的是已公开的得分，而不是应用商店页面。
请从 App Store 中服务商自有网站链接到的页面安装应用。商店里充斥着名称中带有 VPN 这个词、背后却没有公司的应用；你付费的账户页面所提供的链接，才会指向你付费使用的那一个。
应用菜单各不相同，但设置本身没有区别。如果某个名称不熟悉，都可以在术语表中找到对应条目。
这是 iOS 上最重要的单项设置。没有它，应用会在你点击时连接，而隧道能维持多久取决于 iOS 允许应用运行多久；在后台，这个时间通常并不长。启用后，隧道由 iOS 自己管理：手机有网络时建立连接，重启后恢复，休眠后重新连接，无论应用是否正在运行。
在应用中，它可能叫作 On Demand、auto-connect 或 always-on；在“设置”›“通用”›“VPN 与设备管理”中，配置文件页面会显示同一个开关，名称为 Connect On Demand。请在应用中打开它，而不是在“设置”中打开，这样 iOS 应用的是应用自身的规则 — 哪些网络连接、哪些情况例外。
iOS 没有 Android 那种系统级开关。应用所谓的 kill switch，是应用请求 iOS 在隧道断开时丢弃流量；它只能在配置处于启用状态时生效。在手机重启后到应用首次连接之前，以及你手动关闭配置文件时，根本没有这个开关。请打开它；它可以覆盖最常见的情况，即你正在使用手机时隧道断开。但不要把它当成更多东西。这个开关的具体作用见专门页面。
即使其他流量都在隧道内，名称查询也可能离开手机上的隧道，从而让网络知道你访问了哪些网站，却只隐藏你在这些网站上做了什么。请在应用中寻找 DNS leak protection、use provider DNS 或自定义 DNS 字段，并将其设置为服务商自己的解析器，而不是第三方解析器：如果另一方只能看到查询内容，那就多了一个知情方。泄漏如何发生，见DNS 泄漏页面。
iOS 自带加密 DNS 配置文件，某些 DNS 应用会安装这类配置文件。它们可能与 VPN 的 DNS 设置互相冲突；保留服务商的设置，移除另一个。
Private Relay 会通过 Apple 的中继转发 Safari 的流量。启用 VPN 后，两者会叠加，结果是页面加载变慢，偶尔还会出现某些网站通过两者都无法加载的情况。使用 VPN 时，请在“设置”›你的姓名›iCloud 中关闭 Private Relay。隧道已经为所有应用实现了 Private Relay 为 Safari 所做的事情。
保持现代默认选项 — 协议页面列出了当前协议和旧协议。如果应用提供较旧的选项来解决连接问题，应在了解这一取舍后再选择，并在问题解决后撤销：名录会标出服务商仍提供的最弱协议，手动选择它，就等于为自己选择了这一标记。
连接后不要直接假定一切正常，而要进行检查。按以下顺序完成三项检查，全部免费，也都不需要安装其他应用：
在 iOS 上，kill switch 比其他系统更难测试，因为 iOS 不允许像桌面系统那样从应用底层终止隧道；kill switch 指南提供了唯一有效的方法。更完整的测试清单见专门指南。
+你的流量正通过出口服务器离开，出口位于你选择的国家或地区
+你所使用的运营商和 Wi-Fi 都无法读取你访问了哪些网站
+重启后 iOS 会恢复隧道，无需你或应用执行任何操作
−它们无法说明服务商保存了什么 — 这是文档问题，答案见留存页面
−它们不会让你匿名：手机上登录的账户仍然处于登录状态，见VPN 无法保护你免受哪些情况影响
−今天通过测试，不代表下一次应用更新或 iOS 更新后仍然如此
大多数应用允许 On Demand 遵循一个列表：连接所有网络、连接移动数据和未知 Wi-Fi，或在你信任的指定网络上保持关闭。最后一种选项需要谨慎。家庭网络之所以可信，是因为它由你管理，而不是因为它具有隐私性；其背后的互联网服务商仍然可以看到你在隧道外进行的每一次查询。唯一有充分理由的例外，是 VPN 会破坏你需要使用的功能的网络 — 例如打印机或投屏到电视。在这种情况下，可信网络规则只是针对一台设备的变通办法，而不是对安全性的判断。没有隧道时，公共网络可以看到什么，见公共 Wi-Fi 页面。
无论列表如何设置，都请保持通过移动数据连接开启。运营商是你无法选择的那个网络。
iOS 会暂停后台应用，而必须由应用自行维持的隧道也会随之断开。解决办法是 Connect On Demand：打开后，隧道由 iOS 管理，手机唤醒的瞬间就会恢复，无需应用处于运行状态。
如果 On Demand 已开启，但隧道在休眠后仍然消失，通常原因是低电量模式或设备过旧。前者是设置问题，后者则不是。
请在“设置”>你的姓名>iCloud 中检查 iCloud Private Relay。Private Relay 会通过 Apple 的中继转发 Safari，而 VPN 会通过服务商转发所有流量；两者叠加会增加延迟，有时还会导致其中一跳出现故障。
VPN 开启时请关闭 Private Relay。你不会因此失去任何东西：隧道已经将 Safari 的流量从网络中隐藏起来，而这正是 Private Relay 的用途。
网站判断你在哪里，不只依据你的地址。定位服务、已登录账户和语言设置都会透露你的位置，而 VPN 不会改变这些信息。请在“我的 IP 是什么”页面直接检查地址；如果显示的是出口所在国家或地区，说明隧道正常。
如果应用显示已连接，但页面显示的是你自己的国家或地区，说明配置文件没有安装。“设置”>“通用”>“VPN 与设备管理”中应列出该配置文件；如果没有，请重新安装应用并接受提示。
酒店网络和强制门户网络会中断长时间连接，有些网络还会封锁协议所使用的端口。在应用中切换协议是第一项测试，因为现代协议使用不同的传输方式，通常能在旧协议无法工作的情况下保持连接。
如果该网络上没有任何协议能够保持连接，而每种协议在其他网络上都可以正常工作，那么就是该网络在阻断 VPN 流量。这是关于该网络的事实，本指南到此为止。
同样的步骤，不同的设备
每个平台都有自己独立的指南，而不是同一页面下的一个标签。步骤从安装程序打开的那一刻起就开始分岔，一篇试图同时回答三个平台的文章，哪一个都答不好。