Windows VPN 推薦：全域代理與分流實測比較

Windows VPN 推薦這件事，難點通常不在裝哪個用戶端，而在兩件事：讓哪些軟體走線路，以及線路在晚間尖峰時段是否穩定。桌面端把這兩件事拆成兩個獨立選項——全域代理與分流規則，再疊上系統代理、TUN 虛擬網卡兩種連線層。下面依連線方式、用戶端與協定、遊戲與辦公軟體相容性、開機自動啟動四個環節逐項比較，最後給出依用途選線路與方案的判斷順序。

全域代理與分流：兩種模式各管什麼

全域代理把除了區域網路以外的全部流量交給線路，DNS 解析也一併交給用戶端處理。好處是不用維護規則，裝好就能用；代價是中國大陸網站也要繞一圈，實際速度取決於線路的回程品質。

分流（規則模式）依網域、IP 網段、處理程序或地理資料庫判斷：命中直連規則的請求走本地網路，其餘走線路。中國大陸網站直連、海外網站走線路，兩套 DNS 各管一邊。規則越細，維護成本越高，但日常瀏覽的體感差別也越明顯。

兩者的關鍵差別在 DNS 與 UDP。系統代理模式下，DNS 往往由應用程式自行解析，查詢會落到本地電信業者；TUN 模式由用戶端接管 DNS，搭配 fake-ip 一類的機制，解析結果與出口保持一致。想確認目前出口，可以打開本站的我的 IP頁面，看地區是否與所選線路標籤一致。

DNS 洩漏如何自我檢查

先在用戶端的連線詳情裡確認 DNS 一欄指向線路側，再比對出口地區與線路標籤。兩者對不上，多半是系統代理殘留，或者分流規則把解析放回了直連。

Windows 上常見的三種連線方式

Windows 沒有統一的開關，不同用戶端接管流量的層級不同，涵蓋範圍差別很大。下表依連線層列出三種常見做法。

連線層	涵蓋範圍	適用情境	注意事項
系統代理（HTTP / SOCKS5）	遵循系統代理設定的瀏覽器與部分桌面軟體	臨時查資料，只讓瀏覽器走線路	遊戲與部分用戶端不支援；DNS 由應用程式自行解析
TUN 虛擬網卡	全部 TCP / UDP 流量，含遊戲與命令列工具	需要整台電腦生效	要安裝虛擬網卡驅動程式，首次設定需系統管理員權限
瀏覽器擴充功能 / 處理程序代理	僅瀏覽器，或指定的單一處理程序	只想讓一個工具走線路	可能與系統代理衝突，不影響其他軟體

連線層只決定哪些流量被接管，線路類型決定流量怎麼走。直連是本地出口直接連到落地節點；中轉先經第三地轉發，成本低但頻寬共享；IEPL 專線走獨立的國際乙太網路通道，不擠公網出口，尖峰時段的穩定性通常更好，價格也更高。

選擇順序：只在一個瀏覽器裡查資料，系統代理就夠用；要讓遊戲、命令列工具和桌面用戶端一起生效，選 TUN；對尖峰時段穩定性要求高，再把線路從直連或中轉換成 IEPL 專線。

用戶端與協定：匯入訂閱後先看四項

Windows 用戶端大致分兩類：系統級 VPN 用戶端，以及匯入訂閱連結的規則型用戶端。後者常見的有 v2rayN、Clash Verge Rev、NekoRay 等，介面不同，流程一致：複製訂閱連結，新增訂閱，更新節點，選取線路。協定支援上，Shadowsocks、VMess、Trojan、VLESS 是通用項目，Hysteria2 與 TUIC 走 QUIC，需要較新的核心版本。

✅ 訂閱是否完整取得：節點數量與線路清單對得上，手動更新一次就能看到新節點。
✅ 規則是否生效：打開中國大陸網站，連線頁裡應顯示 DIRECT，而不是走線路。
✅ DNS 是否被接管：TUN 模式下 DNS 查詢應指向用戶端，而不是本地電信業者。
✅ 是否勾選自動連線：否則每次重新啟動都要手動點一次。
❌ 不要同時開兩個代理用戶端：系統代理與 TUN 會互相搶佔，常見情況是連得上卻打不開網頁。
❌ 不要把訂閱連結貼到公開場合：連結等同於帳號憑證。

協定之間沒有絕對優劣，差別在傳輸方式與適用情境。

協定	傳輸方式	適用情境	注意事項
Shadowsocks	以 TCP 為主，UDP 中繼看伺服器端實作	輕量代理，支援的用戶端多	需要外掛才能偽裝成一般 HTTPS 流量
VMess	TCP、WebSocket、gRPC	通用訂閱，用戶端支援廣	依賴時間校驗，系統時間偏差過大會連不上
VLESS	TCP + TLS / XTLS	網頁瀏覽與長連線	協定本身不帶加密，安全性依賴外層 TLS
Trojan	TLS，與 HTTPS 共用連接埠	需要與 443 連接埠流量混跑	必須設定憑證，網域與憑證要對應
Hysteria2	QUIC，基於 UDP	封包遺失較多的網路	UDP 被限速時表現反而下降
TUIC	QUIC，基於 UDP	對握手延遲敏感的情境	同樣依賴 UDP 通道品質

遊戲與辦公軟體的相容性

多數遊戲不會讀取 Windows 的系統代理設定，只走系統代理的用戶端對遊戲完全無效。要讓遊戲走線路，需要 TUN 模式接管全部流量，或在支援處理程序分流的用戶端裡把遊戲執行檔單獨指定。帶防作弊的遊戲對虛擬網卡比較敏感，建議先用單人模式驗證能否正常啟動。

UDP 是第二道關卡。語音與即時對戰走 UDP，規則裡要放行；Hysteria2 與 TUIC 本身就是基於 QUIC 的協定，在 UDP 被限速的網路裡，反而不如 VLESS、Trojan 這類基於 TCP 的協定穩定。

辦公情境的衝突多半來自路由。公司 VPN 與訂閱用戶端同時開啟時，內網網域可能被分流規則送去了線路，結果是內網系統打不開。區域網路裡的印表機、NAS 也一樣，需要在規則裡把私有網段排除。

rules:
  - DOMAIN-SUFFIX,corp.internal,DIRECT
  - IP-CIDR,10.0.0.0/8,DIRECT,no-resolve
  - IP-CIDR,172.16.0.0/12,DIRECT,no-resolve
  - IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
  - GEOIP,CN,DIRECT
  - MATCH,PROXY

規則由上而下比對，命中即停。把內網網域與私有網段放在最前面，是為了避免被後面的地理資料庫規則攔走。

開機自動啟動與背景常駐

開機自動啟動有三種做法，穩定性依次遞增。

用戶端內建的開機啟動與自動連線。設定最簡單，缺點是用戶端啟動慢時，依賴網路的軟體會先一步送出請求。
Windows 工作排程器。觸發程序設為登入時，勾選以最高權限執行，可以避免 TUN 模式每次啟動都要確認一次權限。
以服務方式執行 TUN。部分用戶端支援安裝服務，裝一次之後由系統在登入前啟動，適合長期開機的機器。

如果開機後圖示顯示已連線、瀏覽器卻打不開網頁，先檢查 Windows 設定裡的代理開關是否被上一次異常結束寫死了位址。用戶端崩潰時來不及把系統代理改回直連，殘留值會一直生效，直到手動關閉。

訂閱連結等同於帳號憑證

訂閱連結裡帶著帳號識別資訊，匯入後不要貼到論壇、截圖或共用文件裡。連結外洩後，在後台面板重設訂閱位址即可讓舊連結失效，再回用戶端重新匯入。

依用途選線路的判斷順序

把上面的選項收成一條判斷鏈，依序走完基本上不會選錯。

先定涵蓋範圍。只要瀏覽器，系統代理就夠；要整台電腦生效，選 TUN。
再定模式。想省心選全域；中國大陸網站多、在意速度選分流。
再選落地地區。依目標服務所在的國家或地區選，物理距離近不等於快，回程線路品質更關鍵。
再選線路類型。尖峰時段要穩選 IEPL 專線，預算有限選中轉，短時間任務直連即可。
再看協定。遊戲與語音需要 UDP，優先選支援 UDP 的協定；只開網頁，VLESS、Trojan 這類基於 TCP 與 TLS 的更省心。
最後定方案。依每月實際用量在 ¥9.9/60GB、¥18/250GB、¥28/500GB 三檔裡選；用量不穩定就換成流量包，¥158/300GB 起，用完為止，不會過期。

VPNUJ 的規格可以拿來對照：涵蓋 110+ 國家、160+ 線路，同時上線裝置數不限，註冊只需要使用者名稱和密碼，不用填電子郵件地址，隱私方面的做法是不記錄日誌。

110+

國家 / 地區

160+

線路

不限

同時上線裝置數

14 天

無條件退費

結論：Windows 上的體驗差異，主要來自連線層與線路，而不是用戶端介面好不好看。要整台電腦生效，選 TUN 加分流的組合；尖峰時段要穩，選 IEPL 專線；方案依每月實際用量在三檔裡選，用量不穩定就換成流量包。先用 14 天無條件退費期把常用軟體跑一遍，再決定長期檔位。

本篇沒有列測速數字。同一條線路在不同地區、不同時段的結果差別很大，別人的截圖對你的參考價值有限。更可靠的做法是依上面的順序固定連線層與線路類型，再在自己的網路裡逐項驗證。