iPhone 上的 VPN 配置,配置的到底是什么
iOS 不允许普通应用直接接管网络流量。能在 iPhone 上把流量送出去的客户端,都要通过系统的 NetworkExtension 框架注册一份 VPN 配置,由系统负责建立和维护这条隧道。这带来两个直接后果:第一次连接时必然弹出授权窗口,那不是客户端在额外索要权限,而是 iOS 在向你确认;连接建立之后由系统维持,App 被切到后台甚至被回收,已建立的连接也不会因此断开。
iPhone 上常见两种配置方式,差别比想象中大:
| 对比项 | 系统手动配置 | 客户端订阅导入 |
|---|---|---|
| 需要准备 | 服务器地址、账号、密钥逐项手填 | 一条订阅链接 |
| 切换线路 | 回到设置里编辑配置 | 客户端列表里点一下 |
| 分流规则 | 不支持按域名分流 | 按订阅下发的规则集分流 |
| DNS | 跟随系统 | 可单独指定,并让解析走线路 |
| 线路更新 | 手动改配置 | 更新订阅即刷新 |
| 适合场景 | 固定一条线路、偶尔使用 | 线路多、要按场景切换 |
日常使用建议走第二种:一条订阅链接里包含线路列表、分流规则与 DNS 参数,线路有变动时在客户端里点一次「更新订阅」就能同步。
VPN-LG 的订阅覆盖 120+ 国家与地区、190+ 条线路,换线路不需要重新配置,在客户端列表里直接点选即可。
获取客户端:在 App Store 里要核对什么
App Store 里的选择比想象中多,按下面四步走,基本不会装错:
- 搜索客户端名称,先核对开发者名称与图标是否与官网一致。同名或近似名的应用不少,装错一个,后面每一步都会跟着错。
- 看两个信息:最低系统版本要求、最近一次更新时间。长期不更新的客户端,在新版 iOS 上更容易出兼容问题。
- 搜不到条目时,先确认当前 Apple ID 所在地区。部分客户端只在特定地区的商店上架,这种情况换地区后能搜到,并不是应用下架。
- 安装完成后先别急着连接,打开看一眼它是否支持「订阅 / Subscription」导入——这是后面用一条链接管理全部线路的前提。
判断一个 iOS 客户端是否合用,看三点:能不能导入订阅链接、有没有分流规则设置、连接是否走系统网络扩展。第三点决定了它能否在锁屏之后继续维持连接。
拿到订阅链接:复制之前先确认三件事
登录 VPN-LG 用户面板,在订阅区域找到订阅链接并复制。三个细节值得注意:
- 订阅链接是一串以 https:// 开头的地址,它等同于账号凭证。不要发到聊天群,也不要连着截图一起发出去。
- 复制请用「拷贝」,不要手抄。链接里的参数区分大小写,少一个字符,客户端就会直接提示格式错误。
- 同一条链接可以反复使用:换新手机或重装客户端时,回面板重新复制一次、重新导入即可,不用逐台单独配置。
导入订阅:两种方式与那次授权弹窗
订阅链接拿到手,导入方式有两种,按客户端的支持情况选:
方式一,客户端内添加。打开客户端,找到「订阅」或「服务器订阅」入口,新建一条订阅,把链接粘贴进地址栏,保存后点「更新」。线路列表会刷新出来,这是兼容性最好的方式。
方式二,点链接一键导入。在 iPhone 上直接点订阅链接,如果系统里已装有支持 URL scheme 的客户端,会弹出「用哪个 App 打开」,选中客户端后订阅地址自动填入。装了多个客户端时注意别选错。
导入完成后,点任意一条线路开始连接,系统会弹出授权窗口:「"客户端名称" 想添加 VPN 配置」,下面有「允许」和「不允许」。点「允许」,再用 Face ID 或锁屏密码确认一次,连接才会真正建立。
这个窗口只在第一次连接时出现。如果不小心点了「不允许」,连接会一直失败,处理方法是:到「设置 → 通用 → VPN 与设备管理」里(旧版本系统里这一项叫「VPN」),把刚生成的残留配置删掉,回到客户端重新连接,弹窗会重新出现。
不要手动编辑或删除正在使用的 VPN 配置。需要更换客户端时,先在新客户端里完成一次连接并确认能正常上网,再回设置里删掉旧配置。顺序反过来,容易出现两条配置互相抢占流量的情况。
验证生效:四项检查,别只看连接图标
状态栏出现 VPN 图标、客户端首页显示「已连接」,这些只说明配置存在,不说明流量真的走了线路。按下面四项逐条确认:
- ✅ 客户端内能看到实时变化的上行 / 下行流量计数。数字长时间静止,通常意味着连接并没有真正建立。
- ✅ 打开本服务的网络检测页,核对出口 IP 的归属地是否与你选的那条线路一致。IP 归属地是外部给出的答案,比客户端自己的状态显示可信。
- ✅ 打开一个只在海外可达的服务,看能否正常加载。这一步验证的是流量路径,而不只是配置权限。
- ✅ 检查 DNS 解析位置:出口 IP 在海外,解析请求却由国内的 DNS 服务器回答,说明解析没有跟着线路走,存在 DNS 泄漏。
- ❌ 只看客户端图标亮着就认为完成。切换 Wi-Fi 之后状态显示可能滞后,真实链路需要重新确认一次。
- ❌ 跑一次测速就当验证完成。速度只反映线路质量,不反映出口位置。
四项里任何一项对不上,先断开再重连一次。仍然对不上,按「订阅是否更新到最新 → 配置权限是否还在 → 分流模式是否被切到直连」的顺序排查。
判定标准:出口 IP 归属地、能打开的服务、DNS 解析位置,三项指向同一地区,才算配置完成。对不上时先断开重连,再依次检查订阅、权限与分流模式。
分流模式、DNS 与按需连接
分流模式:日常用规则,排障用全局
多数 iOS 客户端提供三种模式:
- 全局:所有流量都走线路。排查问题时用它做对照最直接。
- 规则:按订阅下发的规则集判断,需要走线路的域名走线路,其余直连。日常用这个,既省流量,也避免国内服务被绕远。
- 直连:全部不走线路,等同于临时关闭。
规则集是随订阅一起更新的。改过订阅之后,记得在客户端里手动点一次「更新订阅」,规则才会刷新。
DNS:解析位置要和出口地区对得上
客户端一般提供「跟随系统」和「手动指定」两种 DNS 选项。验证时如果发现出口 IP 在海外、解析结果却来自国内,把 DNS 改成手动指定一个公共 DNS,并确认解析请求也跟着线路走,通常就能解决。
按需连接与后台行为
按需连接(On-Demand)开启后,系统在切换到蜂窝网络、加入新 Wi-Fi 时会自动建立连接,不用每次手动点;关闭则每次都要自己连。
两个常见误解可以一并澄清:锁屏不会断开连接,因为维持隧道的是系统而不是 App;把客户端的「后台 App 刷新」关掉,也不影响已建立的连接,只会影响 App 内数据的刷新。
蜂窝网络下连不上
如果 Wi-Fi 下正常、切到蜂窝网络就断,先看「设置 → 蜂窝网络」里该客户端的开关是否打开。iOS 允许单独限制某个 App 使用蜂窝数据,开关关着时,客户端刷新订阅、更新线路都会失败。
常见问题
导入订阅后线路列表是空的,怎么办?
先检查链接是否被完整复制——最常见的原因是末尾少了几个字符,或者粘贴时带进了空格。确认无误后,在客户端里手动点一次「更新订阅」。仍然为空,回面板重新复制一次链接再试。
显示已连接,但网页打不开?
把分流模式切到全局再试一次。全局可用而规则模式不可用,说明问题出在规则集上,更新订阅即可;两种模式都打不开,再检查 DNS 设置和出口 IP 归属地。
换了新 iPhone,配置要重做吗?
要重新导入一次订阅,步骤和第一次配置完全相同。账号不绑定设备,同一账号不限台数,五端可以同时在线,旧手机上的配置删不删都不影响使用。
开启之后会不会影响 iCloud 同步?
规则模式下,Apple 相关域名一般走直连,同步不受影响。如果切到全局模式后发现同步变慢,把模式切回规则即可。
想换一条线路,需要重新导入订阅吗?
不需要。线路列表由订阅提供,在客户端里直接点另一条线路就完成切换。只有订阅链接本身发生变化时,才需要重新导入。
小结:一次配置,后面只做两件事
整套流程真正需要动手的只有一次:获取客户端、导入订阅、允许添加配置、验证三项指标。之后日常只剩两个动作——需要换地区时在列表里点一条线路,线路有变动时点一次「更新订阅」。
卡在某一步时,按顺序回查:客户端是否支持订阅导入 → 订阅链接是否完整 → VPN 配置是否被允许 → 出口 IP 与 DNS 是否指向同一地区。四步里总有一处能对上症状。
一句话版本:装一个支持订阅导入的客户端,导入订阅,在系统弹窗里点「允许」,然后用出口 IP、可打开的服务、DNS 解析位置三项确认线路生效。