先判断：授权问题，还是后台被限制
首次启动连不上，先查 VPN 授权；亮屏正常、锁屏后掉线，先查电池与后台限制。这两类问题的处理入口不同。不要一遇到断流就重装客户端，也不要同时修改 DNS、节点和规则，否则很难判断是哪一步起了作用。
本文以 Android 系统的本地 VPN 接管方式为主。Clash for Android 2.5.12 属于已停止维护的旧客户端，可作为菜单辨认参考，不代表当前推荐版本。采用 mihomo 等内核的其他 Android 客户端，按钮名称可能不同，但系统授权、电池限制和 VPN 冲突的排查顺序相同。
- 点启动后立即停止：先看是否取消了系统连接请求、另一款 VPN 是否正在运行，以及配置是否加载失败。
- 锁屏几分钟后停止，打开应用又恢复：优先检查省电策略、后台活动和厂商自启动管理。
- VPN 显示已连接，但只有部分网站打不开：再查节点、规则、DNS 和应用分流，不先归因于后台被清理。
VpnService 授权到底允许了什么
VpnService 是 Android 提供给应用的 VPN 接口。客户端通过它建立一个本地虚拟网络接口，接收系统交给它的网络数据，再由代理内核按配置决定直连、走代理或拒绝连接。这个虚拟接口通常称为 TUN，处理的是 IP 数据包，而不只是浏览器的 HTTP 请求。
因此，手机出现 VPN 钥匙图标，并不意味着所有流量都发往同一台远程 VPN 服务器。实际出口取决于规则、策略组、节点选择和应用排除设置。DIRECT 表示由客户端按直连路径转发，代理规则则交给对应节点处理。
系统授权与配置导入是两件事
- 导入订阅：把节点、规则、策略组等配置交给客户端。
- 允许 VPN 连接：允许该应用建立系统级本地 VPN 接口。
- 允许后台运行：减少熄屏后客户端服务被限制的机会。
三项需要分别检查。订阅导入成功不能代替 VPN 授权；授权成功也不能证明节点可用。普通个人用户空间通常只能有一个活动 VPN，另一个代理客户端、防火墙或基于本地 VPN 的过滤应用，可能把当前连接替换掉。工作资料中的 VPN 另有管理规则，需要结合设备策略判断。
首次启动：完成 VPN 授权并确认接管成功
- 先加载配置。在客户端的「配置」页导入订阅，更新完成后选中要使用的配置。只有列表中有配置、但没有启用，仍可能无法正常启动。
- 暂时停止其他 VPN。打开系统「设置」并搜索「VPN」，确认没有另一款应用占用连接；也检查广告过滤、抓包工具等是否使用本地 VPN。
- 回到客户端点击启动。首次建立连接时，Android 会显示连接请求，说明应用将建立 VPN 连接。核对应用名称后选择「确定」或「允许」。
- 检查两处状态。客户端应显示运行中；系统「VPN」页面应显示对应应用已连接。状态栏图标受系统显示策略影响，不能只靠图标判断。
- 测试实际请求。打开一个原本可以直连的网页，再访问一个需要走代理的目标；随后查看客户端的连接记录或日志，确认命中的策略符合预期。
如果误点了取消，通常重新点击启动就会再次请求授权，不必立刻清除应用数据。若反复没有弹窗，先看系统 VPN 页面是否已有连接，再查看客户端错误日志；受设备管理策略约束的手机，也可能被管理员禁止添加 VPN。
Android 13 及以上的通知权限
Android 13 起，通知权限与 VPN 连接授权分开处理。允许通知有助于从通知栏观察服务状态和停止连接，但拒绝通知不等于撤销 VPN 授权，也不能据此断定前台服务没有运行。排查时优先查看系统 VPN 状态，再看客户端服务状态。
始终开启 VPN：先弄清两个开关的区别
在接近原生的 Android 上，常见入口是「设置」→「网络和互联网」→「VPN」→对应应用旁的齿轮。Samsung 等系统可能把入口放在「连接」→「更多连接设置」→「VPN」。找不到时，直接在系统设置中搜索「VPN」。
| 系统选项 | 主要作用 | 使用前提 |
|---|---|---|
| 始终开启 VPN | 让系统尝试维持或恢复所选 VPN 服务，包括重启后的恢复 | 客户端声明支持，且配置可以正常加载 |
| 阻止不使用 VPN 的连接 | VPN 未连接时阻断绕过它的网络访问 | 已经验证联网、应用排除与故障恢复行为 |
| 电池不受限制 | 减少应用受到的后台电池限制 | 仍需核对厂商额外的后台管理规则 |
「始终开启 VPN」不是所有客户端都支持。Android 从 7.0 起提供相关能力，但应用可以声明不支持，受管设备也可能限制修改。若开关灰色或没有显示，先确认客户端支持情况，不要用修改订阅的方法寻找这个系统开关。
先验证连接稳定，再考虑打开阻断开关。打开「阻止不使用 VPN 的连接」后，客户端启动失败、配置读取失败或服务未恢复，都可能表现为整台手机无法联网。被排除在 VPN 之外的应用也可能受到阻断，不能再假设“排除应用就一定能直连”。
首次测试建议保留一个恢复办法：记住系统 VPN 设置入口。若开启阻断后断网，先在该入口关闭阻断，再排查客户端。始终开启也不能保证代理节点始终可用，更不能代替电池与后台设置。
省电白名单：先改应用电池项，再查厂商后台管理
Android 的 Doze 是设备空闲时的省电机制，应用待机与厂商后台管理还会施加其他限制。所谓“加入白名单”，通常指允许该应用更自由地后台运行，而不是关闭整台手机的省电功能。优先只调整正在使用的客户端，避免给所有应用解除限制。
先做这三步
- 长按客户端图标→「应用信息」→「电池」。如有「不受限制」，先选它；如界面使用「允许后台活动」等开关，确认已允许。
- 搜索「电池优化」。若系统另有优化应用列表，切换到「所有应用」，找到客户端并设为「不优化」。部分系统与上一项是同一套设置，不必寻找两个独立开关。
- 检查当前省电模式。测试时先退出超级省电或极限省电模式。普通省电模式是否影响服务，需要在本机验证，不能只看应用已经加入白名单。
常见厂商的额外入口
以下是常见菜单名称示例，不是所有版本的固定路径。HyperOS、One UI、EMUI 及其他系统更新后，入口可能移动；以手机「应用信息」和设置搜索结果为准。
| 系统 | 优先检查的入口 | 容易漏掉的设置 |
|---|---|---|
| Pixel／接近原生 Android | 设置→应用→查看所有应用→客户端→应用电池用量 | 允许后台使用；部分版本需进入该项选择不受限制 |
| 小米 MIUI／HyperOS | 应用信息→省电策略→无限制 | 在权限或应用管理中检查自启动；部分版本称为后台自启动 |
| Samsung One UI | 设置→电池→后台使用限制 | 从休眠、深度休眠列表移除；如有从不自动休眠应用，可加入客户端 |
| 华为 EMUI | 设置→应用和服务→应用启动管理 | 关闭自动管理后，按需允许自启动、关联启动和后台活动 |
| OPPO／一加／realme | 应用信息→耗电管理或电池用量 | 检查允许后台活动；自启动权限可能在单独的应用管理入口 |
| vivo／iQOO | 设置→电池→后台耗电管理 | 选择允许后台高耗电，并检查应用自启动权限 |
最近任务界面的“锁定应用”可以作为补充，但它通常只是减少一键清理时被移除的机会，不等于获得系统电池豁免。也不要把划掉任务卡片、系统回收进程和「强行停止」混为一谈：强行停止后，通常需要手动重新打开应用，不能依赖自启动立即恢复。
锁屏后掉线：用固定流程区分服务退出和网络故障
测试时一次只改一类设置，并记录时间。下面的 5 分钟、15 分钟是建议观察窗口，不是某款手机的实测保证；短时通过也不代表整夜待机一定稳定。
- 建立亮屏基线。固定使用一个已确认可用的节点，记录当前 Wi-Fi 或移动数据网络、VPN 状态和测试网页能否打开。
- 锁屏 5 分钟后检查。解锁后先去系统 VPN 页面，不要先打开客户端，避免应用重新启动掩盖了退出现象。
- 再测试 15 分钟。记录 VPN 是否仍连接、网页首次请求是否成功，以及客户端日志是否出现服务重启、连接超时或解析失败。
- 测试网络切换。分别在 Wi-Fi 切换到移动数据、移动数据切回 Wi-Fi 后发起新请求。切网导致已有 TCP 连接中断并不罕见，要看新连接能否恢复。
- 最后测试重启。确认开机解锁后的恢复情况；若系统配置了 VPN 阻断，还要确认失败时的恢复入口可用。
根据观察结果继续排查
- 系统 VPN 已断开，打开客户端后恢复：重点检查后台限制、崩溃记录和其他 VPN 是否抢占；白名单只能解决其中一部分原因。
- 系统 VPN 仍连接，所有新请求都超时：检查当前节点与上游网络，换一个已确认可用的节点复测，避免直接归咎于 DNS。
- 日志出现域名解析失败：再检查 DNS 配置及其上游是否可达。不要随意把浏览器地址栏输入的 IP 测试结果当成结论，HTTPS 证书与虚拟主机也会影响访问。
- 只有一个应用异常：查看是否配置了应用绕过、仅代理选中应用，或被系统限制后台数据；同时核对规则最终命中的策略。
- 只有锁屏通知不及时：目标应用自己的省电限制、推送通道和后台数据权限也要检查，不能只调整 Clash。
几个容易混淆的设置问题
已经开启 TUN，还需要允许 VPN 连接吗？
在普通未获取 root 权限的 Android 本地 VPN 接管方案中，需要。TUN 描述虚拟网络接口或相关接管方式，VpnService 是客户端申请该能力的系统接口。订阅中的 TUN 字段、客户端界面的接管开关与 Android 授权不是同一个东西；是否读取这些字段还取决于客户端实现。
加入省电白名单后，能保证一直在线吗？
不能。白名单减少后台限制，但网络切换、节点故障、系统内存压力、客户端崩溃和手动强行停止仍会影响连接。应以系统 VPN 状态、服务日志和实际新请求共同判断，而不是只观察延迟测试数字。
需要修改 7890 端口才能解决锁屏掉线吗？
通常不需要。7890 常见于部分配置的本地 HTTP 或混合代理监听端口，但并不是所有客户端的固定值。它与 Android 是否允许后台服务运行是不同问题。只有日志明确提示端口占用或本地代理连接失败时，才针对监听端口排查。
双开空间或工作资料里，需要重新设置吗？
通常需要分别检查。不同用户或工作资料中的应用实例拥有各自的授权与管理环境，个人空间的白名单不能直接证明工作资料中的实例已获许可。企业设备的 VPN 还可能由管理员指定；遇到不可修改的选项，应先确认管理策略。
最后按顺序核对：配置已启用、系统 VPN 已授权、没有另一款 VPN 抢占、应用允许后台运行、厂商省电限制已调整，再做锁屏与切网测试。仍然异常时，保留发生时间、系统版本、客户端版本和脱敏日志，比反复重装更有助于定位。基础配置步骤可继续查看使用文档，概念不清楚时可查术语手册。