VPN 与安卓工作资料：谁受保护、谁说了算

工作资料把一部手机分成两个世界。本文讲清个人 VPN 保护哪一侧、公司 VPN 管什么，以及怎样避免两者冲突。

阅读约 9 分钟更新于 2026年10月15日作者：XPASS Editorial Team

如果雇主要求你在自己的安卓手机上安装工作资料，那么这台手机就同时承载了两个相互隔离的环境。工作邮件、聊天和文档放在带公文包徽章的一侧，你的照片、私人消息和游戏留在另一侧。这种安排很整洁，直到你装上 VPN，开始疑惑它到底保护手机的哪一半。

本文只回答一个具体问题：安卓启用工作资料时，VPN 是怎样工作的。我们不会重复普通手机上的 VPN 设置过程，也不泛泛讨论分应用隧道。如果需要这些内容，请看帮助指南在安卓上设置 VPN 和文章安卓分应用隧道。这里重点看两侧之间的分界线、谁控制什么，以及如何避免常见冲突。

工作资料是什么，为什么存在

工作资料是安卓企业管理工具中的一项功能。当公司登记你的手机后，安卓会创建第二个空间，里面有自己的应用副本、自己的存储区域和自己的设置。这个空间里的应用带有一个小小的公文包徽章，由雇主的设备管理软件负责管理，通常你下班后可以用一个开关暂停整个工作侧。

这个设计有两个目的。公司希望掌控自己的数据，比如能清除工作文件、要求设置屏幕锁，或保持公司邮件应用及时更新。你则希望私人生活不被打扰，照片、私人聊天和浏览记录不应被雇主看到。工作资料就是隔在两者之间的那堵墙。

这种做法叫 BYOD，即自带设备办公，在学校、诊所、连锁零售和远程优先的公司里很常见。完全由公司拥有的手机是另一种情况，规则不同，本文讨论的是带工作资料的个人手机。

这堵墙对 VPN 很重要，因为网络设置是跟着资料走的。在这种安排下，VPN 不是整机开关，而是属于某一侧。

两侧，两个 VPN 位

安卓在同一个用户空间内同一时间只允许一个 VPN 处于活动状态。有了工作资料，个人空间和工作空间在这个意义上是两个独立空间。也就是说，每一侧都可以运行自己的 VPN，两者不共用隧道。

问题	个人侧	工作资料侧
谁安装应用	你	你，但受雇主设定的限制
谁设置 VPN	你	通常是雇主，有时是你
VPN 应用在哪里	个人应用列表	只在工作应用列表，带公文包徽章
谁的流量经过它	仅个人应用	仅工作应用
雇主能看到设置吗	不能	能，因为他们是管理者

实际上会产生三个后果。

个人 VPN 不覆盖工作应用。 你在个人侧安装并连接的 VPN 应用，不会承载工作邮件和公司聊天的流量，它们使用工作资料自己的网络路径。
工作 VPN 不覆盖个人应用。 公司为工作资料启用始终开启的 VPN 后，你的个人浏览不会进入公司隧道。
同一个 VPN 应用可以装两份。 个人副本和工作副本是两次独立安装，登录、权限都分开。

这样的设计同时保护了双方，也解释了为什么很多人会困惑：VPN 明明开着，工作应用的表现却像没开一样。

工作侧的规则由谁决定

设置你工作资料的组织决定工作侧适用的规则。常见做法包括：

始终开启的公司 VPN：为工作应用自动启动，用户无法自行关闭。
按应用 VPN：只有特定工作应用的流量走公司网络，其他应用使用普通互联网。
完全不用 VPN：因为公司服务已通过现代登录校验得到保护，详见我们的零信任与 VPN 的比较。
禁止在工作资料里再安装 VPN 应用。

最后一点最容易让人碰壁。如果工作侧的安装按钮是灰色的，那是策略，不是故障。不要试图绕过。管理软件有权限制它自己的空间，试图绕过工作策略可能给你和雇主之间带来实实在在的麻烦。正确的做法是以书面形式询问 IT 团队：在公共网络上，他们希望你怎么做。

如果想更全面地了解公司 VPN 与个人 VPN 在用途上的差别，请读企业 VPN 与个人 VPN。面向组织的远程访问指导可参考 NIST 的远程办公安全文件 SP 800-46，如果你是制定政策的人，值得一读。

个人 VPN 与工作资料并用

大多数人会为手机的个人侧准备一个 VPN，用于咖啡店 Wi-Fi、酒店网络或合租公寓。这与工作资料并存毫无问题，只需注意几个细节。

在个人侧安装并登录。 如果使用 XPASS，请使用免费的 VPNclient 应用，并输入 My Pass 页面显示的用户名和密码。下载页面列出了官方链接。
一次性授予 VPN 权限。 应用第一次创建 VPN 连接时，安卓会弹出系统提示，措辞随版本而异。文章安卓 VPN 权限解释了你同意的是什么。
看状态栏。 个人 VPN 启用时会出现钥匙图标，工作应用不会使用它。
分别测试一个个人应用和一个工作应用。 个人浏览器里的网站应体现 VPN 的效果，工作应用则应与之前完全一致。

如果出现异常，请检查工作侧是否推送了策略来替换个人侧的 VPN。这种情况少见，但在完全受管的设备上可能发生。

雇主能看到什么，不能看到什么

这是大多数人真正想问的问题，所以直接回答，不必惊慌。工作资料的设计是让雇主管理工作空间。通常公司能看到安装了哪些工作应用、推送或移除工作应用、要求设置屏幕锁，并清除工作资料。它们的设计并不让雇主看到你的个人应用、个人文件、私人消息或你在个人浏览器里的行为。

但具体界限取决于组织如何配置，手机厂商也可能附加自己的工具。如果想要确定性：

向 IT 团队索要书面的使用规范和监控政策。
打开系统设置，找“设备管理员”或“工作资料设置”之类的条目，里面列出了管理者可以控制的项目。
在工作资料里做的一切都当作工作处理，包括在工作浏览器中上网。
私人对话留在个人侧。

个人 VPN 无法对工作资料中的公司隐藏你的活动，也不应该用于这个目的。工作资料本身已经把两个世界分开，VPN 只为个人侧增加它自己的保护。

常见冲突与处理方法

下面是引发最多咨询的几种情形。

同一侧两个 VPN 互相争抢。 如果你装了个人 VPN，雇主又给同一侧推送了公司 VPN，安卓同一时间只允许一个处于活动状态。打开设置，进入“网络和互联网”，再进入 VPN，看当前选中的是哪个，关掉你不需要的那个。

工作资料里的银行或支付类应用。 有些工作工具对异常连接很严格。如果个人 VPN 并未参与，问题出在工作侧，应由 IT 团队处理。

装了 VPN 后工作应用连不上公司系统。 检查工作侧的公司 VPN 是否仍在连接。工作应用可能使用自己的隧道，不受你在个人侧操作的影响。如果公司隧道断了，重新连接即可。

暂停工作资料时 VPN 停了。 暂停工作资料会挂起工作应用，而不是个人侧，个人 VPN 应继续运行。如果没有，可能是电池优化让它休眠了，请看安卓电池相关文章。

工作应用列表里找不到 VPN 应用。 这是正常的，除非组织批准在工作资料中使用。你不需要为个人用途再装第二份。

场景示例

BYOD 员工：莉娜用自己的手机查看医院排班。工作邮件在公文包徽章后面，经由雇主控制的医院 VPN 传输。午休时在病区 Wi-Fi 上，她用个人 VPN 处理银行和聊天，两条隧道互不接触。因为医院禁止，她没有尝试在工作侧装个人应用。

同时为两个客户工作的自由职业者：奥马尔的一位客户在他的个人手机上设置了工作资料。他把客户文档放在资料内，其他东西一概不放。在自己的一侧，他出差时会开启 VPN。合同结束后，客户移除了资料及其数据，他的个人侧毫发无损。

住在共用网络里的学生：小米因兼职有了工作资料。在学生公寓里，她学习和聊天时使用个人 VPN。非班次时间她暂停工作资料，这会暂停工作应用，但不会打断个人隧道。

限制与良好习惯

VPN 保护的是它所在那一侧的流量路径，并不管辖另一侧。
它不会改变雇主设备管理软件在工作资料内能做的事情。
它不能防止钓鱼或密码泄露，参见 VPN 无法保护你的哪些方面。
把工作文档留在工作资料里，不要为了绕开规则复制到个人侧。
离职时移除工作资料或请 IT 代为移除，并确认个人数据完好。
两侧都保持安卓系统和应用为最新版本。

总结

工作资料把安卓手机分成两个空间，而 VPN 每次只属于其中一侧。个人 VPN 只保护个人应用，工作侧则遵循公司自己的设置，可能是始终开启的 VPN，也可能完全没有。雇主管理工作侧，其设计也不让他们看到个人侧，但确切边界取决于配置，因此应当索要政策。出现冲突时，在系统设置中看当前启用的是哪个 VPN，并把个人角色与工作角色分开。

如果想为手机的个人侧准备一个简单的预付通行证，可以在价格页面查看选项。