Windows VPN 分流的核心，不是让某个应用“单独连接一条 VPN”，而是让客户端根据规则决定它的网络请求走代理通道还是本地网络。比如，你可以让浏览器访问特定网站时走代理，同时让办公软件、打印工具或本地网盘保持直连。实际能否按应用区分，取决于客户端的路由能力、运行模式和 Windows 权限，并非所有标注为“VPN”的客户端都提供应用级分流。
设置前先分清两类规则：域名或 IP 规则看请求要访问哪里；应用规则看请求由哪个程序发出。若客户端只支持域名规则，就不能简单地指定某个浏览器整体走代理。即使支持应用规则，也要确认当前启用了能识别进程的模式，并验证规则是否命中。下面按检查能力、制定策略、添加规则和排查问题的顺序说明。
先理解 Windows 分流如何工作
Windows 上的代理客户端可能通过系统代理、虚拟网卡或两者配合处理流量。系统代理模式会设置一个本地代理入口，支持系统代理的浏览器和应用可以通过它转发请求；不读取系统代理设置的程序则可能继续直连。TUN 模式会创建虚拟网络接口，接管更多网络流量，再根据客户端规则决定转发方式。具体行为还受客户端实现、权限和规则配置影响。
应用级规则通常依据进程名称或程序路径匹配，例如 chrome.exe、msedge.exe，再将匹配的流量交给代理策略或直连策略。域名规则则依据访问目标分类。两种规则可以同时存在，但优先级由客户端决定：如果一条请求先匹配到域名规则，应用规则是否还会生效，要看客户端的规则顺序与规则语法。
还要留意进程与网络请求并非总是一一对应。浏览器可能由多个子进程发起连接；桌面软件可能调用 Windows 服务、更新程序或后台辅助进程；Microsoft Store 应用也可能使用不同于传统桌面程序的网络路径。因此，给主程序添加规则后仍应检查实际连接，而不是仅凭应用窗口能否打开下结论。
设置前检查客户端与网络模式
先查看客户端的设置、帮助文档或规则编辑页面，确认是否明确支持 Windows 下按进程名或程序路径分流。Clash Verge、sing-box 等兼容客户端的功能会受到内核、配置格式和运行模式影响，界面里有“规则”或“代理”选项，并不自动代表支持应用级分流。不要把其他系统上的菜单说明直接套用到 Windows 版本。
接着确认客户端当前采用什么模式。若要匹配进程，通常需要客户端能够接管相应流量并识别进程信息；某些配置需要启用 TUN 或类似的虚拟网卡模式，并授予管理员权限。若使用系统代理模式，应预期只有遵守系统代理设置的应用会被接管。不要为了测试随意同时启用多个代理客户端或多个虚拟网卡工具，否则系统路由和代理设置可能互相覆盖。
- ✅ 在客户端文档中确认是否支持 Windows 进程名或程序路径规则。
- ✅ 记录当前模式、代理开关和原有规则，便于出错时恢复。
- ✅ 仅使用一个客户端接管流量，必要时按提示授予所需权限。
- ✅ 先选择一个常用应用测试，再逐步扩展到其他程序。
- ❌ 不要因为应用能访问网络，就认定它已经按指定规则转发。
- ❌ 不要在不理解规则优先级时复制其他客户端的配置语法。
按应用添加代理或直连规则
不同客户端的菜单名称和配置格式并不统一，下面是通用流程，不代表每个客户端都有完全相同的按钮。打开客户端的规则或路由设置，先确认当前使用的配置允许编辑；如果配置由订阅更新生成，手动改动可能被下一次更新覆盖。客户端若提供本地覆写、规则集或自定义配置入口，应按该客户端说明保存修改。
- 确定处理对象。先写下要代理的应用及其目标。例如，你可能希望一个浏览器使用代理，而办公软件保持直连；也可能只希望浏览器访问特定站点时走代理。
- 找到实际程序路径。通过任务管理器的“打开文件所在的位置”，或查看应用快捷方式的目标，确认正在运行的可执行文件。传统桌面程序常见文件名形式如
app.exe，但不能仅凭显示名称猜测路径。 - 选择规则类型。客户端支持进程规则时，按其语法填写进程名或完整路径，并指定代理策略或直连策略。若只支持域名规则，则按域名匹配，不能将其误当成对整个应用生效。
- 检查规则顺序。确认新规则位于可能覆盖它的通用规则之前，并核对最终匹配动作。部分客户端采用从上到下的首条匹配逻辑，另一些则采用不同的优先级，应以客户端文档为准。
- 应用配置并重启相关程序。保存或重新载入配置后，完全退出目标应用再启动。有些程序会复用后台进程或保持已有连接，仅关闭窗口可能不会建立新的网络会话。
- 逐项验证。查看客户端连接日志或规则命中信息，确认目标程序对应的请求走了预期策略。再对比代理关闭或切换规则时的访问结果，避免把缓存内容误判为新请求。
如果只想让某个浏览器走代理、其他程序直连，可以先为浏览器进程指定代理策略，再检查办公软件和本地服务是否仍按预期连接。若希望浏览器只代理部分网站，则优先考虑域名规则，并明确规则的匹配范围。应用规则与域名规则同时使用时，最好一次只改变一类规则，验证后再继续调整，这样更容易定位冲突。
检查规则是否生效与常见故障
验证时不要只看客户端顶部的“已连接”状态。连接状态说明客户端建立了代理通道，不代表目标应用一定匹配到了规则。更可靠的做法是结合客户端日志、当前连接列表和实际出口检查：启动目标应用后观察对应连接及其策略，再访问一个能够发起新请求的页面或服务。若页面来自缓存，刷新后仍可能没有新的网络请求，因此不能单独作为判断依据。
出现应用无法联网时，按从规则到系统的顺序排查。先确认进程名和路径拼写，再检查规则动作是否指向存在且可用的策略；随后确认规则是否被更高优先级的规则覆盖。接着检查客户端模式、TUN 状态和权限提示，最后暂时关闭自定义应用规则进行对照测试。若恢复默认规则后网络正常，问题更可能来自规则本身，而不是线路或账号配置。
- 只有部分浏览器请求被代理：检查浏览器是否启用了自己的代理、扩展或安全 DNS 设置，并确认所有相关进程都符合客户端的匹配方式。
- 办公软件仍然走代理：检查客户端是否处于全局模式，是否存在更宽泛的规则，以及办公软件是否通过后台服务发送请求。
- 添加规则后完全断网：暂时移除最近添加的规则，恢复客户端默认模式，再逐条重新加入。检查目标策略是否存在，以及规则语法是否符合当前配置格式。
- 客户端重启后规则消失：确认规则是否写入本地覆写配置，或是否被订阅更新替换。按客户端支持的方式保存自定义规则，不要直接假设订阅内容可以永久手动修改。
- 切换 Wi-Fi 或网络后表现变化：重新连接客户端，检查虚拟网卡和系统路由状态，并用新的网络请求重新验证，不要依赖切换网络前的旧连接。
排查时建议一次只改一个条件，并在每次改动后记录结果。先恢复客户端默认配置，再加入一个应用规则；确认有效后，再添加其他程序或域名规则。这样比同时更改模式、DNS、规则优先级和节点更容易判断问题来源。确定规则工作正常后，可以保留一份不含订阅凭据的配置备份，避免日后需要从头排查。
如何安全恢复默认配置
如果调整后网络异常，先在客户端关闭自定义规则或切回默认规则模式，再重新载入配置。若问题仍在，断开连接并关闭客户端，然后检查 Windows 的系统代理设置是否由该客户端修改；不要在不清楚来源时删除其他网络工具所需的设置。重新启动目标应用后，再测试本地网络是否恢复。
如果使用 TUN 或虚拟网卡模式，按客户端提供的正常退出流程关闭功能，避免仅结束进程而留下路由状态。客户端重新打开后，确认虚拟网卡和连接状态正常，再从最小配置开始测试。恢复默认设置通常不需要删除账号或订阅；若准备重装客户端，可先确认订阅入口仍可使用，并避免把包含访问凭据的配置文件上传到公开位置。
规则备份应保留客户端名称、配置来源和修改目的，但不要公开订阅链接、令牌或完整节点参数。更换客户端时也不要直接复制旧规则：不同客户端对进程字段、策略名称、DNS 和规则顺序的解释可能不同，应按新客户端的格式重新配置并逐项验证。
常见问题
Windows 自带的 VPN 设置能按应用分流吗？
Windows 的 VPN 连接设置与第三方代理客户端的进程规则不是一回事。常见桌面使用方式通常是配置系统连接或路由，并不能直接照搬某个代理客户端的“指定应用走代理”操作。具体能力取决于 Windows 版本、VPN 类型及企业管理策略；个人使用前应先确认所用客户端明确支持的功能。
添加了浏览器进程规则，为什么仍有流量直连？
可能是客户端当前模式不支持进程识别，也可能是浏览器使用了辅助进程、独立网络组件或自定义代理设置。先查看日志中实际发起请求的进程和规则命中结果，再确认规则路径与优先级。若客户端只支持系统代理或域名规则，则需要使用其实际支持的规则方式。
规则设置后，网站显示的出口没有变化怎么办？
先确认新请求确实由目标应用发出，并查看客户端日志是否命中代理策略；然后检查该规则是否被更高优先级规则覆盖。也可以关闭目标应用后重新启动，避免旧连接或缓存影响判断。若日志显示已走代理但出口仍不符合预期，再检查当前选择的策略和客户端连接状态。
分流异常时是否应该更换线路？
不一定。若只有某个程序不符合预期，优先检查进程匹配、规则顺序和代理模式；若多个程序都无法通过代理访问，再检查客户端连接、配置更新和当前网络。把规则问题与线路问题分开处理，能减少不必要的反复切换，也更容易恢复到可用状态。