先把事情说清楚：全局模式的本意是什么
把复杂的问题拆开来讲，我常用一个比喻：想象你的网络是城里的车流，VPN就是一条专用高架路。普通模式下（也叫分应用或分流模式），只有指定的车（应用流量）上高架，其他车继续在地面行驶；而全局模式就是把绝大多数车都引到高架上——这就是设计初衷。用易懂的话说，全局就是“全部走一条路”，以便隐藏真实出口、统一出口IP并享受加密保护。
为什么要用全局模式？
- 隐私和匿名性更强：所有出站连接都通过VPN服务器，外界看到的是同一个出口IP，降低了流量被本地ISP或网络提供方直接识别的概率。
- 避开地理限制：当你想让所有流量看起来来自另一个国家（例如看国外视频或访问受限服务），全局模式是最直接的方式。
- 统一策略管理：对安全性要求高的场景，可以统一设置流量过滤、审计或审查规则。
为何“几乎所有”比“所有”更准确
在讲清楚本意之后，我们要回到技术层面。全局模式尽管目标是代理全部流量，但在现实里有多个环节会影响“是否所有流量都真正走代理”。下面我把这些环节一项一项拆开。
影响因素一：操作系统和权限
不同操作系统对网络栈的控制方式不同。像iOS和Android有各自的VPN接口（例如iOS的NEPacketTunnel、Android的VpnService），第三方应用通过这些接口来接管流量。但是：
- 部分系统级流量（例如某些后台服务、系统更新、运营商短信通道）可能不通过普通VPN接口；
- 应用权限不足时，某些低层次路由规则无法被修改，导致存在例外；
- 桌面系统（Windows、macOS、Linux）中，如果VPN客户端不以管理员/root权限安装或不修改系统路由表，流量可能不会全部走VPN。
影响因素二：路由表和策略路由
VPN的作用通常是修改系统的路由表，把默认路由（default gateway）指向VPN虚拟网卡，从而让默认走向变为VPN隧道。但如果：
- 路由表保留了局域网路由（例如本地网段 192.168.x.x/16），那么访问局域网设备不会走VPN；
- 设备上存在多条路由或策略路由（基于应用、端口或目标IP分流），则会产生例外流量；
- IPv6路由与IPv4路由被分别处理，若VPN只代理IPv4，IPv6流量可能直接外发，造成“绕过”。
影响因素三：应用白名单与分流规则
很多VPN客户端（包括快连）会提供“白名单/例外”功能，允许用户指定某些应用不走VPN（直连），便于打印机、局域网控制器或本地服务继续使用本地网络。这是人为配置导致的显性例外。
影响因素四：DNS解析策略
即便你把所有IP流量都通过了VPN，如果DNS请求仍在本地解析，浏览器先做的域名解析可能泄露你的真实IP或DNS查询记录。常见问题包括：
- VPN没有劫持系统DNS，仍然走ISP的DNS；
- 某些应用使用固定的DNS-over-HTTPS/DoT配置，可能绕过VPN；
- 双栈环境下，一个协议的DNS走VPN而另一个不走。
如何验证“流量是否全部走了VPN”——实用的检测步骤
验证不复杂，关键是按步骤来。我推荐以下从易到难的检测方法：
步骤 1：看IP地址
- 在开启快连全局模式后，访问“我的IP”类网站（或用命令行：curl ifconfig.me）——如果显示的是VPN服务器的IP，说明常见的HTTP/HTTPS流量走了VPN。
- 但注意：这只验证了浏览器/应用层的公共出口IP，不能保证系统所有协议都走了VPN。
步骤 2：做路由跟踪
- 在终端（Windows 的 tracert / Linux/macOS 的 traceroute）追踪到某个公网IP，查看第一跳是否是VPN隧道或VPN服务器；
- 若第一跳仍然是本地网关，说明路由表默认路由未被替换。
步骤 3：抓包检查（更深入）
用 Wireshark 或 tcpdump 抓包，观察流量接口和目的地：
- 抓取物理网卡（如 wlan0/eth0）和虚拟VPN网卡（如 tun0/tap0）分别的流量；
- 如果目标IP的包出现在 tun0 上，说明走了隧道；若在物理网卡上，未走VPN。
步骤 4：检查DNS和IPv6
- 使用 dig/nslookup 查询域名，指定通过本地和VPN的DNS，看解析是否一致；
- 检查本机的 IPv6 地址和路由（ifconfig / ip addr / ip route），确认是否有IPv6直接外发。
配置建议：如何尽量做到“真正所有流量走VPN”
如果你的目标是把尽量多的流量都套进VPN管道，可以按下面的清单逐项操作。
- 启用系统级全局路由改变：安装时允许客户端修改系统路由表，或使用管理员权限运行客户端。
- 关闭分应用/白名单：确保没有应用被设为直连。
- 启用或配置DNS劫持：让DNS查询也通过VPN的DNS服务器或使用DoH通过VPN。
- 禁用IPv6或确保IPv6也被代理：如果VPN不支持IPv6，最好在系统层面禁用IPv6，防止泄露。
- 使用kill switch（断线断网）功能：当VPN断连时自动切断所有外发，避免短暂的直连泄露。
- 检查并删除保留局域网路由（慎用）：如果不需要访问局域网设备，可以移除对应路由，从而把所有流量导入VPN。
快连特性与常见设置（基于通用VPN客户端实现逻辑）
下面按功能模块说明：这些是大多数有全局模式的VPN会提供的选项，快连的界面名词可能不同，但原理类似。
连接模式选择
- 全局模式（Global）：尝试让所有流量通过VPN；
- 分流/智能模式（Split/Smart）：只有目标被列入黑名单/白名单的应用或目的才走VPN；
- 应用独享/仅浏览器模式：仅指定应用流量通过VPN。
白名单/黑名单
白名单意味着指定应用不走VPN；黑名单意味着只有指定应用走VPN。选择错误会导致流量不按预期代理。
协议与专有通讯
快连宣称使用“私有通讯协议”，这会影响穿透封锁和稳定性，但不改变路由层面的工作方式。只要VPN在系统层面创建了虚拟网卡并替换默认路由，协议本身对“是否所有流量走代理”的影响有限，更多影响的是性能、延迟和被封锁概率。
常见疑惑答疑（FAQ）
问：为什么有时网站显示VPN IP，但有些应用还是显示我的真实IP？
因为不同应用可能使用不同的网络接口或协议，有些应用可能使用系统不走默认路由的方式发包；有时是DNS解析在本地，或IPv6流量直接走ISP。
问：桌面端和手机端的全局表现会一样吗？
不一定。桌面端VPN客户端通常能更自由地修改路由和安装驱动（如tap/tun），而手机端受系统限制更多（尤其iOS）。所以桌面端实现全局更容易，而手机端有时需要额外配置或权限。
问：我可以100%保证没有任何流量泄露吗？
技术上很难保证“零泄露”——尤其在没有完全控制设备和操作系统的情况下。不过通过上文的配置（禁IPv6、劫持DNS、启用kill switch、管理员权限）以及不断检测，可以把风险降到非常低。
实操小表格：不同场景下全局模式是否适用
| 场景 | 全局模式是否合适 | 注意点 |
| 观看国外流媒体 | 适合 | 确认VPN服务器所在国家/地区的出口IP未被封禁，注意延迟 |
| 需要访问公司内网资源 | 一般不适合（或需分流） | 全局可能把内网流量也转发，导致访问失败；可设置例外或使用双网卡策略 |
| 局域网打印与设备控制 | 不适合 | 保留局域网直连，或禁用全局模式 |
| 极度重视隐私的场景 | 适合 | 同时禁用IPv6、强制DNS走VPN、开启kill switch |
故障排查清单（边做边想的那种）
- 先确认快连显示已连接并选择的是全局模式；
- 用“我是谁（what is my ip）”类工具确认浏览器出口IP变化；
- 检查系统路由表（Windows: route print；Linux: ip route；macOS: netstat -rn），确认默认路由指向VPN虚拟网卡；
- 抓包看物理网卡与虚拟网卡流量分布；
- 查看是否有应用列入白名单或开启了分流；
- 检查是否有IPv6地址并测试IPv6是否被代理；
- 如果发现短暂泄露，启用或配置kill switch；
- 必要时联系快连客服，提供抓包或日志以便诊断。
补充：法律、服务与性能方面的考量
使用全局模式会把所有流量都经过所选的出口服务器，意味着你需要信任该VPN服务商的日志政策和隐私声明。即便是私有协议也无法替代对审计能力和透明度的要求。另外，全局模式通常会带来更高的带宽占用和延迟，因为所有流量都经过VPN服务器；这会影响P2P、游戏和实时通话的体验。
随手可行的小技巧（实践导向）
- 如果不确定，先在电脑上试全局模式并用抓包验证再在手机上启用；
- 开启快连的试用时段先检验几个你常用的服务（邮件、流媒体、视频通话），观察是否有功能受限；
- 为重要场景保留手动开关：需要访问内网或打印时临时关闭全局模式；
- 定期做泄露检测（IP、DNS、WebRTC、IPv6），养成习惯。
写到这里，顺便提醒一句：技术上把“全部流量”真正封装进VPN需要客户端、操作系统和用户配置三方面的协作。快连做到了将大多数流量走隧道这一点，但要实现零例外，还得靠上面那些配置和检测手段。若你愿意，我可以一步步带你在你的设备上按上面的“检测步骤”做一次完整验证，边做边调整，那样会更稳妥。就先这样，想到别的问题我再接着说。