iPhone VPN怎么设置分流？规则、按应用与直连排查指南

更新于 2026-11-13 · vpnpn.shop

简答：iPhone VPN 分流不能直接照搬 Android：普通用户通常要依赖 VPN 客户端提供的规则、域名或 IP 路由功能；系统原生没有统一的“选择哪些 App 走 VPN”开关。企业按应用分流则需要 MDM 配置 Per-App VPN。先确认客户端支持哪种模式，再添加规则、断开重连，最后分别检查目标网站、普通网站、出口 IP、DNS 和 IPv6。

定义：VPN 分流是把部分网络流量送入 VPN 隧道，同时让未匹配的流量通过当前 Wi-Fi 或蜂窝网络直连。

先判断：你的 iPhone 需要哪一种分流

本文是第三方指南站的技术整理，不代表任何品牌的官方网站或官方下载页面。先不要急着填写规则，先按目标判断模式；iPhone 系统本身没有面向普通用户的统一 App 级 VPN 分流入口。

iPhone VPN 分流模式速查

模式	适合场景	实际控制对象	需要注意
全局 VPN	希望大多数网络请求都经过隧道	默认路由	不等于按应用分流，直连例外取决于客户端和系统配置
规则分流	按规则决定走 VPN 或直连	域名、IP、网络范围等	规则格式和优先级由客户端决定
域名分流	只让指定网站或域名走 VPN	域名匹配	大型网站可能使用多个域名和 CDN，单写一个域名可能不完整
IP 分流	已知固定服务器或网段	IPv4/IPv6 路由	网站 IP 会变化，IPv6 未覆盖时可能出现结果不一致
按应用 VPN	只让企业应用走 VPN	受管理的 App	iOS 上通常需要 MDM 和受管理应用，不是普通设置里的通用开关
路由器分流	希望家中多台设备统一处理	局域网设备或路由规则	规则在路由器上生效，iPhone 本机不一定显示分流明细

Apple 的 Network Extension 文档说明，VPN 可以使用 includedRoutes 和 excludedRoutes 控制路由，也可以通过 Per-App VPN 规则匹配特定应用；这属于 VPN 客户端或设备管理配置能力，不代表普通 iPhone 设置中存在一个统一的应用分流菜单。Apple：Routing your VPN network traffic

普通客户端设置分流：前置检查到完整操作

前置检查

确认 VPN 客户端已经安装，并能在 iPhone 的 VPN 权限提示中完成授权。
确认客户端是否明确提供“规则”“分流”“绕过 VPN”“仅代理指定域名”或类似选项。若只有连接和断开按钮，就不要假设它支持分流。
记录当前网络环境：使用 Wi-Fi 还是蜂窝数据，并先打开一个普通网站确认直连网络正常。
暂时关闭其他 VPN、代理、内容过滤器或网络安全 App，避免多个 Network Extension 同时接管流量。

完整操作

打开客户端，导入或选中可用配置，先确认节点或服务器已经选定。
进入客户端的网络模式或路由设置，优先选择“规则分流”而不是“全局”或“直连”。菜单名称会因客户端版本和配置文件不同而变化。
如果目标是“指定网站走 VPN、其他网站直连”，添加目标域名到 VPN 规则；如果目标是“指定网站绕过 VPN”，应添加到直连或绕过规则。两者方向相反，不要混用。
如果客户端只支持 IP 或网段规则，使用服务提供方给出的地址范围；不要把随意查询到的单个 CDN IP 当成永久网站规则。
保存配置，断开 VPN，再重新连接。若客户端有“更新规则”“应用配置”或“重载配置”按钮，也要执行一次。

Apple 对路由的定义是：包含默认路由会把未匹配到更具体路由的流量送入 VPN；excludedRoutes 可指定不进入 VPN 的地址范围。具体客户端是否把这些能力做成可编辑菜单，需要以客户端实际界面为准。Apple：包含与排除路由的说明

按应用分流、企业 MDM 与路由器方案怎么选

如果你的真实需求是“只有某个 App 走 VPN”，先区分三种情况。

普通个人客户端：只有客户端明确支持按应用规则时才能使用。iOS 系统不会为所有 VPN App 自动提供一个通用的 App 勾选列表。
企业 Per-App VPN：Apple 文档要求通过 MDM 将受管理应用与 VPN 配置关联。Apple 还说明，iOS 的 App 规则由 MDM 创建，个人用户不能仅靠普通设置完成同等配置。Apple：NETunnelProviderManager 与 Per-App VPN
企业或学校设备：管理员可以下发 VPN 配置文件和受管理应用。Apple 的设备部署文档将 Per-App VPN 定义为按应用限制隧道访问的方式，设备通常需要纳入设备管理。Apple：VPN overview for Apple device deployment
家庭路由器：由路由器决定哪些局域网设备、域名或网段走 VPN。iPhone 端只负责连接 Wi-Fi，不能把路由器规则误认为 iOS 本机的 App 分流。

Cisco 的企业文档也明确写出，iOS 按应用 VPN 需要第三方 MDM，由 MDM 定义允许进入隧道的应用并下发配置；这类流程面向企业管理，不适合直接套用到普通个人 iPhone。Cisco：Manage Application-Based Remote Access VPN

设置后怎么验证：5项检查清单

出口 IP：连接 VPN 前后分别查看公网出口 IP。目标网站如果应走 VPN，访问时应看到与直连不同的出口；这只能证明出口变化，不能单独证明所有流量都按预期分流。
双网站测试：分别测试一个应走 VPN 的域名和一个应直连的域名，记录是否能打开、页面加载路径是否变化。
DNS 检查：观察 DNS 服务商或解析结果是否仍来自预期网络。DNS 结果只能说明解析路径，不能单独证明网页连接一定经过 VPN。
IPv6 检查：如果客户端只配置了 IPv4 规则，而当前网络提供 IPv6，目标连接可能走 IPv6 直连。需要确认客户端是否覆盖 IPv6，或在客户端说明允许时处理 IPv6 路由。
重连与切网：断开重连一次，再从 Wi-Fi 切换到蜂窝数据测试。切换网络后如果规则失效，优先检查客户端是否需要重新应用配置。

如果 VPN 配置启用全流量接管，Apple 还指出 VPN 连接生效时网络连接使用 VPN，而不是 iCloud Private Relay；因此排查时应记录 Private Relay、其他 VPN 和过滤器是否同时启用。Apple：App proxy provider 与 Private Relay

分流不生效时的排查与失败回退

常见现象与处理顺序

现象	优先检查	失败回退
目标网站仍走直连	规则方向、域名格式、规则优先级、是否重连	先改为全局模式验证节点，再恢复规则模式
本应直连的网站也走 VPN	全局模式、默认路由、直连规则是否排在后面	删除新增规则，重新加载客户端默认配置
只有部分页面生效	CDN、多域名、IPv6、缓存和跳转域名	先按主域名和实际请求域名分别测试，不要直接扩大到未知 IP 段
开启规则后无法上网	规则语法、DNS 设置、其他 VPN 或过滤器冲突	断开 VPN，恢复默认配置，再逐条添加规则
企业 App 没有走 VPN	设备是否受 MDM 管理、App 是否为受管理应用、策略是否已下发	联系管理员重新推送 Per-App VPN 配置

不要把“分流成功”理解为所有流量都受到 VPN 保护。被设置为直连的流量不会经过 VPN 隧道，也不会使用 VPN 出口 IP；银行、工作系统和含敏感信息的服务，不应在未确认风险前加入绕过规则。

如果设备上存在不认识的配置描述文件，可在“设置 > 通用 > VPN 与设备管理”查看；Apple 说明删除配置文件会同时删除其关联设置，组织管理的设备应先询问管理员。Apple：在 iPhone 上安装或移除配置描述文件

需要继续排查连接状态、DNS 或部分网站打不开时，可参考站内的 iPhone VPN连接不上排查指南、VPN连接成功但部分网站打不开排查指南和 VPN IP 与 DNS 泄漏检查指南。

常见问题

iPhone 系统自带 VPN 能不能直接按 App 分流？

普通用户不能在 iPhone 系统设置中找到一个通用的 App 分流开关。按应用 VPN 属于客户端或企业 MDM 配置能力；Apple 的 Per-App VPN 文档要求将受管理应用与 VPN 配置关联。

iPhone VPN 分流应该选规则模式还是全局模式？

如果只是指定网站或网段走 VPN，优先使用客户端提供的规则模式；如果需要尽量让所有网络请求经过 VPN，才考虑全局模式。全局模式不会自动变成按 App 分流。

为什么添加了域名规则，网站还是没有按预期分流？

常见原因包括规则方向写反、域名格式不匹配、网站使用多个 CDN 域名、IPv6 未覆盖、规则未保存或连接没有重建。先切换全局模式验证节点，再逐项恢复规则。

把网站加入直连规则后，还会受到 VPN 保护吗？

不会。直连规则表示该流量绕过 VPN 隧道，通常也不会使用 VPN 出口 IP。涉及工作账号、银行或其他敏感内容时，应先确认直连的隐私和访问策略。

企业 iPhone 怎么设置只让一个 App 走 VPN？

需要企业 MDM、VPN 配置和受管理应用共同配合。管理员应在 MDM 中建立 Per-App VPN 规则并下发到设备，普通用户仅靠 iPhone 设置通常无法完成同等配置。