Android 的始终开启 VPN（Always-on）详解

大多数人把 VPN 看作需要打开、使用、再关闭的东西。Android 还提供了另一种运行方式：始终开启（Always-on）设置，它让 VPN 更像手机内部管道的一部分，而不是一个需要你去打开的应用。启用后，手机会在重启后自己启动 VPN，尽量让它保持运行，如果你选择的话，还会拒绝发送任何不经过它的流量。

听上去像是纯粹的好处，对一些人确实如此。对另一些人来说，它却是在机场突然上不了网的原因。本文讲清这项设置究竟做什么、在哪里找到、与应用自带的自动连接有何不同、谁应该打开它，以及如何应对副作用。

始终开启 VPN 是什么意思

在 Android 上，VPN 应用通常只在你点连接时才建立隧道。如果手机重启，或系统关闭了应用，隧道就消失了，直到你再次打开应用。在这段空档里，你的流量以普通方式发出，没有任何保护。

始终开启改变了由谁负责。它是操作系统的功能，不是应用的功能。当你把某个应用选为始终开启的 VPN 时，Android 会做三件事。

1. 自动启动 VPN，通常发生在手机开机且用户解锁之后。
2. VPN 停止后重新启动它，比如网络切换之后，或系统结束了应用进程时。
3. 可选地阻止 VPN 之外的流量。 第二个开关告诉 Android 拒绝任何不经过隧道的连接。

前两项关乎方便，第三项关乎安全，也是带有锋利边角的一项。在决定要用哪部分之前，了解隧道本身的工作原理会有帮助，VPN 是什么 对此有介绍。

在哪里找到这项设置

不同的 Android 版本和手机品牌，菜单名称会有差异，但路径大致相同。

1. 打开设置。
2. 进入网络和互联网（有的叫连接或更多连接设置）。
3. 点按 VPN。
4. 在列表中找到你的 VPN 应用，点它旁边的齿轮图标。
5. 打开 Always-on VPN（始终开启的 VPN）。
6. 如果还想要严格模式，再打开阻止没有 VPN 的连接。

如果看不到齿轮图标，可能是应用还没有创建 VPN 配置。打开应用，连接一次并允许系统请求，然后回到设置。权限方面的说明见 Android VPN 权限。官方的 Android 帮助中关于连接 VPN 的页面 展示了你所用版本的系统界面。

有一点很重要：始终开启只对支持它的应用有效。如果开关是灰色的或提示出错，说明应用没有提供对应接口。这时应用内的功能（如果有）就是替代办法。

系统的始终开启，与应用自带的自动连接

许多 VPN 应用有类似“打开应用时连接”或“连上 Wi-Fi 时连接”的选项。很容易把它们与系统设置混为一谈，但两者的行为不同。

功能	系统的始终开启	应用自带的自动连接
由谁控制	Android	VPN 应用
重启后启动	是，由系统处理	仅当应用被允许在后台启动时
应用被杀后重启	是	往往不会，直到你打开应用
VPN 断开时能否阻止流量	可以，配合阻止开关	通常不能
开关位置	系统设置中的 VPN	应用内部
会不会被省电模式干扰	较不容易	较容易

没有哪一种在所有情况下都更好。如果只想要一点方便，比如重启后 VPN 自己回来，两者都可能够用。如果你想要保证没有任何数据在隧道之外离开手机，只有系统选项加阻止开关能做到。

阻止开关与断网保护的概念

严格选项阻止没有 VPN 的连接，是 Android 对其他平台所谓断网保护（kill switch）的实现。开启后，一旦 VPN 未连接，Android 会拒绝所有网络流量。手机看起来没有网络，即便 Wi-Fi 显示已连接。

这正是它的用意。如果隧道悄悄断开，普通手机会照常工作，在不告诉你的情况下发送没有保护的流量。有了阻止开关，故障会变得可见而且安全。对这一概念更长的解释见 什么是 VPN 断网保护，Android 特有的行为见 在 Android 上阻止没有 VPN 的连接。

代价是，任何需要在 VPN 准备好之前就联网的事情都会失败。想想开机后最初几秒、网络登录页，或者拒绝 VPN 的网络。你用一点便利，换来的是没有东西泄漏的安心。

谁会从始终开启中受益

并非人人都需要。下面是它物有所值的常见情形。

• 经常用公共 Wi-Fi 的人。 一天之内从咖啡馆到车站再到酒店的人，不必每次记得点连接就能获得保护。
• 在手机上处理敏感事务的人。 如果手机用来访问办公工具或客户文件，悄无声息的空档更严重。
• 别人也会用的家庭手机。 给孩子或年长亲属设置手机的家长，可以把保护设为默认，不依赖他们记得去开。
• 健忘的人。 如果你发现自己很少主动开 VPN，让它自动化就能解决这个习惯问题。

而下面这些人可能觉得它得不偿失。

• 主要使用家庭 Wi-Fi 和手机流量、只偶尔需要 VPN 的人。
• 常用许多不喜欢 VPN 的应用的人，比如某些网银和流媒体应用。
• 经常连接带登录页的酒店或机场 Wi-Fi，却在不了解后果的情况下开了阻止开关的人。

需要预期的副作用

严格模式会产生几种可预见的效果。事先了解，就能把意外变成日常。

网络登录页（captive portal）。 酒店、机场和咖啡馆的网络常常在真正上网之前，先在浏览器里显示登录或条款页面。开启阻止开关后，手机可能打不开那个页面，因为不经过 VPN 的一切都被禁止，而网络没开放之前 VPN 又连不上。办法是先关闭阻止选项，完成登录，再重新打开。有些手机处理得很顺畅，有些则不然。

手机热点。 当你共享手机的连接时，手机自己的流量受到保护，但连接热点的设备是另一回事，可能不在保护范围内。详情见 能否通过手机热点共享 VPN。

网银与流媒体应用。 始终开启让 VPN 一直对每个应用可见。不喜欢 VPN 连接的服务，每次打开都会有反应。如果你日常使用的某个应用是这样，始终开启可能太生硬了。

电量与流量。 隧道被一直保持，会多耗一点电量和一点流量。信号不好会导致更多重连尝试。如果你担心耗电，请阅读 Android 上 VPN 的耗电情况。

通行证过期与登录错误。 如果通行证已结束，或保存的登录信息有误，VPN 就连不上。开着阻止开关时，整部手机都会断网，直到你解决为止。症状看起来像网络故障，实际是 VPN 的问题。请先看 My Pass 页面。

安全地逐步设置

谨慎的顺序可以避免把自己锁在外面。

1. 先确保 VPN 正常工作。 安装应用，用 My Pass 页面的信息登录，连接一次并确认可用。如何在 Android 上设置 VPN 涵盖了这些。
2. 只打开始终开启，不开阻止开关。重启手机，看解锁后是否出现 VPN 图标。
3. 在手机流量和家里的 Wi-Fi 下测试一天，看有没有出问题。
4. 想要严格行为时再加上阻止开关。 通过关闭再打开 Wi-Fi、切换飞行模式再切回来，再测试一次。
5. 演练逃生路线。 知道设置在哪里，这样在酒店大堂只需点几下就能关掉阻止开关。
6. 记下通行证到期日的计划。 预付通行证会自行结束，到期那天就是阻止开关可能让手机断网的那天。

排查始终开启相关的问题

现象	可能原因	可以尝试
重启后没有网络	VPN 尚未重连，且阻止开关已开	解锁后等一分钟；打开应用手动连接
Wi-Fi 已连接，但在酒店什么都打不开	无法访问网络登录页	关闭阻止选项，登录网络页面，再打开
开关是灰色的	应用不支持该系统功能	使用应用自带的自动连接，或在列表里选别的应用
VPN 反复断开又重连	信号弱或电池限制	检查应用的电池设置，并阅读 Android VPN 经常断线
通行证到期那天一切都停了	通行证过期，阻止开关在起作用	续费通行证或关闭阻止开关
热点上的设备没有保护	手机的隧道不包含热点客户端	在每台客户端设备上安装 VPN 应用

更通用的步骤，请看 如何排查 Android 上的 VPN 问题，里面按标准流程逐项检查。

局限与实事求是的预期

始终开启并不会让 VPN 更强大，只是让它更稳定一致。它不会让你匿名，不会阻止钓鱼或虚假信息，不会修复微弱的信号，也不会越过网络、雇主或国家的规则。美国联邦贸易委员会的公共 Wi-Fi 指南解释了开放网络为什么需要谨慎，而一直运行的 VPN 是应对方式之一。

这也是一项随时可以更改的设置。试用一周，看它是否适合你的生活节奏，如果碍事就关掉或放宽。

总结

Android 的始终开启 VPN 设置，让系统自动启动并重启你的 VPN，配合阻止开关时，还会拒绝任何不在隧道内的流量。它对经常使用公共 Wi-Fi、在手机上处理敏感事务或常忘记连接的人有帮助。它也可能在网络登录页、热点、不喜欢 VPN 的应用和过期通行证上带来麻烦。请分阶段开启、测试，并记住怎样把它关掉。

如果想用短期通行证试试这个设置，价格页面列出了可选项。