只有本地代理能按域名分流；分应用只在「VPN（分应用）」里生效；IPv6 三档只在「原生核心 + WireGuard/AWG + VPN 模式 + 关闭 Psiphon 出口」时可选。不支持的选项会被置灰，运行时也会再按有效值钳制一次。
01三种连接方式
区别只有一个：谁来接住流量。接住的位置不同，能做的事就不同。
本地代理（System）
也常被叫作系统代理 / 系统拨号应用只在本机开一个 SOCKS5 + HTTP 共用端口，不改系统路由，也不会出现系统 VPN 图标。Android 在没有 root 的情况下不允许应用写全局代理，所以需要你手动把代理地址填到 Wi-Fi 设置或具体应用里。
- 唯一支持按域名分流的连接方式（全局 / 绕过大陆 / 黑名单 + 自定义规则）。
- 只转发 TCP；UDP、QUIC 不经过代理。
- 不支持分应用、不支持 IP 协议选择（没有 tun），也不能防 DNS 泄露。
- 适合：给电视、电脑、电视盒子共享代理；需要按域名决定直连还是代理。
VPN（分应用）
按应用选择系统级 VPN。由你勾选哪些应用进入隧道，没被选中的应用走物理网络直连；也可以反过来，只把勾选的应用排除在隧道外。
- 支持 分应用：两种语义，见第 04 节。
- 只能全局转发，不能按域名分流；分流规则在这里是置灰的。
- IP 协议是否可选取决于核心与协议（见第 05 节）；防 DNS 泄露在两种 VPN 模式里都可用，与核心、协议无关（见第 06 节）。
- 适合：只让浏览器、YouTube 等少数应用走代理，其他应用保持直连。
VPN（全量）
也常被叫作全局 VPN和「VPN（分应用）」是同一套 VpnService、同一个 tun，唯一区别是不按应用过滤：所有应用的流量都进隧道。
- 不支持分应用；「全量」本身就已经包含所有应用。
- 同样不支持按域名分流。
- IP 协议、防 DNS 泄露的支持情况与「VPN（分应用）」完全一致。
- 适合：整机接管，不想逐个挑应用。
| 对比项 | 本地代理（System） | VPN（分应用） | VPN（全量） |
|---|---|---|---|
| 流量入口 | 手动设置的 SOCKS5 / HTTP 端口 | 系统 VPN（选中应用） | 系统 VPN（全部应用） |
| 要手动填代理 | 要 | 不要 | 不要 |
| 按域名分流 | 支持 | 不支持 | 不支持 |
| 分应用 | 不支持 | 支持 | 不支持 |
| IP 协议 | 仅 IPv4 | 视核心与协议 | 视核心与协议 |
| 防 DNS 泄露 | 不支持 | 支持 | 支持 |
| UDP | 不支持（只 TCP） | 随隧道 | 随隧道 |
| 典型用途 | 电视 / 电脑共享、按域名分流 | 只代理部分应用 | 整机接管 |
连接方式、核心、协议、IP 协议、分应用名单：改完请断开重连。本地代理的端口、认证、局域网开关和分流规则：会在原地重建代理，不必断开隧道。
02本地代理与局域网共享
同一个端口同时支持 SOCKS5 和 HTTP：按首字节自动识别，不需要开两个端口。HTTP 侧支持 CONNECT 和普通 http:// 请求。
步骤
- 选连接方式。要用按域名分流或给别的设备共享，选「本地代理」；如果只是想让同一台手机上的其他应用用代理，可以留在 VPN 模式，只打开「本地代理」开关。
- 设置 → 本地代理。默认端口
7890，可改成1024–65535之间的值。改端口、认证或局域网开关时，已连接的代理会原地重建。 - 打开「允许同网段连接」。监听地址从
127.0.0.1变成0.0.0.0。首次打开会自动生成用户名ther和一组随机密码；没有账号密码时服务端会拒绝启动，避免把隧道公开给整个 Wi-Fi。 - 连接应用。在「本地代理」模式下这一项是强制开启的；在 VPN 模式下它是可选项，只影响本地端口和局域网共享，不影响手机本身的 VPN 接管。
- 在客户端填代理。本机用
127.0.0.1:7890，同网段设备用「手机 IP:7890」，并填写设置页里的用户名和密码。
| 使用场景 | 代理地址 | 说明 |
|---|---|---|
| 同一台手机上的应用 | 127.0.0.1:7890 | SOCKS5 或 HTTP 都行；VPN 模式下同样可用 |
| 同 Wi-Fi 的电脑 / 电视 | 手机IP:7890 | 必须打开「允许同网段连接」并填账号密码 |
| 只支持 HTTP 的设备 | http://手机IP:7890 | Android 的 Wi-Fi 代理设置只认 HTTP，不认 SOCKS5 |
| 需要域名的 SOCKS5 客户端 | socks5h://手机IP:7890 | 让代理侧解析域名；否则 DNS 仍由客户端本地解析 |
1. 只转发 TCP：UDP 和 QUIC 到不了隧道，代理会直接拒绝，依赖 UDP 的应用可能异常。
2. 不接管客户端 DNS：本地代理模式无法防 DNS 泄露；客户端最好使用 SOCKS5h 或自行配置可信 DNS。
3. 上游走哪里取决于核心：原生 WG/AWG/GOOL 在 VPN 模式下本应用就在隧道里，直拨会被 tun 接住，等于走隧道；Aether 核心、开启 Psiphon 出口、以及本地代理模式下本应用在隧道外，必须桥到核心的本地 SOCKS，拿不到时宁可拒绝启动，也不会偷偷直拨。看到「没有可用上游」说明当前核心/协议没准备好，先解决连接，再共享。
连不上时按顺序排查
- 两台设备是否在同一个网段（手机热点也算同一网段）。
- 路由器是否开启了「AP 隔离 / 客户端隔离」，开启后设备之间互相访问不了。
- 手机 IP 是否填对：系统设置 → WLAN → 当前网络详情。
- 局域网模式是否填了账号密码；没填时服务端会拒绝启动。
- 客户端是 HTTP 还是 SOCKS5：Android 的 Wi-Fi 代理只支持 HTTP，需要 SOCKS5 时请在具体应用里设置。
03分流规则
只在「本地代理」模式生效。VPN 模式在 IP 层就把流量接走了，看不到目标域名，Android 上也没有可编程路由，所以无法按域名分流；这也是规则项在两种 VPN 模式里置灰的原因。
三种内置模式
| 模式 | 没命中自定义规则时 | 适合 |
|---|---|---|
| 全局 | 所有目标都走代理 | 默认全部翻墙，个别站点再单独直连 |
| 绕过大陆 | 中国大陆 IPv4 直连，其余走代理 | 国内网站保持直连、国外走代理 |
| 黑名单 | 默认直连，只有「走代理」规则命中的目标才进代理 | 只代理少数指定站点 |
- 绕过大陆使用随包内置的中国大陆 IPv4 段表（7456 条 CIDR 合并为约 4700 段）；域名会先在本地解析成 IPv4 再判断，结果缓存 10 分钟。解析失败时按「非大陆」处理，交给代理再试一次。
- 这个模式只判断 IPv4，IPv6 目标一律按非大陆处理；同时因为域名要在本地解析，本地代理模式本身无法防 DNS 泄露。
自定义规则
设置 → 分流规则 → 添加自定义规则。规则按目标匹配，先加的先生效，并且优先于内置模式。
| 写法 | 匹配范围 | 例子 |
|---|---|---|
example.com | 该域名及其所有子域，不会误伤 badexample.com | www.example.com 命中 |
*.example.com | 与不带星号等价，也包含主域 | example.com、a.example.com 都命中 |
1.2.3.4 | 目标本身就是这个 IPv4 字面量 | 直连 1.2.3.4:443 命中 |
1.2.3.0/24 | 目标 IP 落在这个 IPv4 网段内 | 1.2.3.77 命中 |
- 每条规则可选三种动作：走代理 / 直连 / 阻止。阻止会直接拒绝连接（SOCKS5 返回规则拒绝，HTTP 返回 403）。
- 域名规则只匹配域名目标；CIDR / 裸 IPv4 规则只匹配「目标本身就是 IP」的连接。域名不会先解析再去套 CIDR 规则。
- 目前只支持 IPv4 的地址规则，不支持 IPv6 CIDR；IPv6 目标请用域名规则或按内置模式处理。
- 规则改动会触发本地代理原地重建，不需要断开隧道。
内置模式选「全局」，然后依次添加 baidu.com → 直连、example.com → 阻止、1.2.3.0/24 → 走代理。最终效果：百度及其子域直连；example.com 被拒绝；1.2.3.x 的 IP 连接强行走代理；其余目标走代理。
04分应用代理
分应用只在 VPN（分应用） 里生效。本地代理没有 VpnService，做不到按应用区分；VPN（全量）本身就是接管所有应用。分应用与核心、协议无关：原生 / Aether 核心、WireGuard / AWG / GOOL / MASQUE 都可以用，前提是连接方式为「VPN（分应用）」。
两种语义
- 仅代理所选应用：只有勾选的应用进入隧道，其他应用走物理网络直连。
- 所选应用直连：除了勾选的应用，其他应用都进入隧道。适合把银行、内网类应用排除在外。
步骤
- 设置 → 连接方式 → 选「VPN（分应用）」。
- 设置 → 分应用设置 → 打开「启用分应用分流」。
- 选择语义：「仅代理所选应用」或「所选应用直连」。
- 在列表里搜索并勾选应用。至少选一个；名单为空时不会应用分应用过滤，效果等同全量。
- 返回首页连接；如果连接中修改了名单，请断开重连，让 tun 重新建立。
不需要把本应用自己选进去，核心自身的出站流量由应用自动处理。另外，分应用和按域名分流互斥、不能叠加：VPN 隧道在 IP 层接管流量，拿不到域名。要按域名分流只能用「本地代理」模式（该模式不支持分应用）；要按应用分流只能用「VPN（分应用）」（该模式规则置灰）。
05IPv4 / IPv6
设置 → IP 协议，三档：仅 IPv4 / 仅 IPv6 / IPv4 和 IPv6。
什么组合能选
| 核心 + 协议 + 条件 | VPN（分应用 / 全量） | 本地代理 |
|---|---|---|
| 原生 + WireGuard / AWG + 关闭 Psiphon | 三档都可选 | 仅 IPv4 |
| 原生 + GOOL | 仅 IPv4 | 仅 IPv4 |
| Aether 核心（任意协议） | 仅 IPv4 | 仅 IPv4 |
| 任意核心 + 开启 Psiphon 出口 | 仅 IPv4 | 仅 IPv4 |
| 本地代理模式（任意核心） | 不适用 | 仅 IPv4 |
原因是硬限制：Aether 核心固定 AETHER_IP=v4；原生 GOOL 的内外层用户态协议栈只做 IPv4；Psiphon 链路只承载 IPv4；本地代理没有 tun，分配不了地址。设置页会直接显示「当前组合只支持 IPv4」及具体原因。
三档的语义
- 仅 IPv4：只给隧道分配 IPv4；IPv6 流量仍会被系统路由进 tun，但不会被转发到物理网络，而是在隧道内被丢弃，不会泄漏。
- 仅 IPv6：只给隧道分配 WARP 的 IPv6 地址；IPv4 同样进 tun 后被丢弃。适合验证纯 IPv6 链路。
- IPv4 和 IPv6：两族都走隧道，由系统按目标选择；日常推荐。
当前实现是「纯 IPv6 隧道」，不会把只有 A 记录的域名合成 AAAA，也没有 64:ff9b::/96 转换。因此：只有 AAAA 的网站正常；只有 A 记录的网站必然打不开。已实测的例子：speedtest.net、iplark.com 只有 A 记录；Google 测速的测量后端 speedtest.googlefiber.net 也只有 A。Google、YouTube、ip.sb、ping0.cc 这些双栈站点则正常。
这种失败是静默的：IPv4 包在隧道里被丢弃，没有 RST，也没有 ICMP 回执，客户端只能等到超时，看起来就像「网站打不开」。这不是连接故障，也不是封锁。
IPv6 地址来自 WARP 身份。如果身份里没有 IPv6：选「仅 IPv6」会直接拒绝连接并提示重新注册；选「IPv4 和 IPv6」会自动回落成仅 IPv4 并在日志里提示。
06防 DNS 泄露
设置 → 防 DNS 泄露。它管的是 DNS 查询走哪里，不改变哪些站点可达。
| 场景 | 防 DNS 泄露 | 说明 |
|---|---|---|
| VPN（分应用） | 支持 | DNS 进 tun，可保证不落到物理网络 |
| VPN（全量） | 支持 | 同上 |
| 本地代理 | 不支持 | 只转发 TCP，应用和系统的 DNS 不经过代理 |
开启时
- 隧道内固定使用 Cloudflare：IPv4 用
1.1.1.1；有 IPv6 时再加2606:4700:4700::1111（仅 IPv6 时只用后者）。 - 忽略设置里手填的 DNS。
- 原生核心的用户态协议栈在隧道内解析失败时，不再退回物理网络；以前这一条会让查询落到运营商 DNS。Aether 核心会按同样规则固定传入 1.1.1.1。
关闭时
- 可以手填 DNS，多个用逗号分隔；只会采用与当前 IP 协议同族的地址。
- 解析失败时可能回落到物理网络，存在泄漏风险。
防 DNS 泄露只决定 DNS 服务器的位置；「仅 IPv6」决定隧道装哪一族地址。两者可以同时开：仅 IPv6 + 防泄漏 = 只用隧道内的 IPv6 DNS，但只有 A 记录的域名依然打不开。
07常见问题
Q：为什么有些设置项是灰色的？
当前「连接方式 + 核心 + 协议 + 出口」组合不支持它。灰色项下方一般会写原因，例如「本地代理模式没有 tun」「Aether 核心固定走 IPv4」「GOOL 的用户态内外层只支持 IPv4」。你的原始选择会保留，切回支持的组合后自动恢复。
Q：为什么「仅 IPv6」下 Google 能开，测速网站却打不开？
因为目标站点是否支持 IPv6 不一样。Google、YouTube 是双栈；speedtest.net、iplark.com 以及 Google 测速的测量后端只有 IPv4 记录。纯 IPv6 隧道没有 DNS64/NAT64，A-only 目标无解。日常建议用「IPv4 和 IPv6」。
Q：局域网设备连不上手机的代理？
依次检查：是否同一网段、路由器是否开了 AP 隔离、手机 IP 是否填对、局域网开关是否打开、账号密码是否填写。Android 的 Wi-Fi 代理只支持 HTTP，需要 SOCKS5 时请在具体应用里配置。
Q：局域网共享后，电视能上网但部分应用解析失败？
本地代理只转发 TCP，不接管客户端的 DNS 和 UDP。让客户端使用 SOCKS5h（远程 DNS），或给客户端单独配置可信 DNS；依赖 UDP 的应用无法通过本地代理正常工作。
Q：分应用里要不要勾选本应用？
不需要。应用会自动处理核心自身的出站，避免核心流量被自己的 tun 圈住。勾选本应用不会带来额外收益。
Q：为什么 VPN 模式下没有分流规则？
VPN 在 IP 层接管流量，只能看到 IP 包，拿不到域名；Android 上也没有可编程路由去做域名级分流。要按域名分流，请用「本地代理」模式。
Q：首页显示已连接，但网页打不开？
先看 IP 协议：仅 IPv6 时，A-only 网站必然打不开。再看分应用是否把当前浏览器排除在外；本地代理模式还要确认 Wi-Fi / 应用里确实填了代理地址。最后查看日志里是否有「数据面不通」「解析失败」等提示。
08下载与仓库
手机下载版本 xiaohe-0.1.37-arm64.apk系统要求 Android 8.0 及以上；安装时如提示「未知来源」，允许浏览器安装即可。电脑下载版本Xiaohe-1.3.20-win-x64.zip，不要下载错了！家宽IP出口客户端请下载；war0.4.0-pool-20261024.zip
文章评论 (1)