同一台设备上，视频会议、浏览器和游戏可能需要不同的网络出口。配置分应用网络转发规则设置时，关键不是只勾选应用名称，而是弄清“应用匹配”与“默认路由”各自负责什么：前者决定哪些流量命中规则，后者处理没有命中规则的流量。
各系统和网络客户端的能力并不相同。部分 Android VPN 客户端支持按应用纳入或排除流量；iOS 的按应用 VPN 通常依赖受管理设备和相应配置；Windows 上则要看具体软件是否支持进程级分流。开始前先核对产品说明，不能把代理设置、访问控制和路由规则当成同一功能。
先分清应用匹配和默认路由
应用匹配是条件，例如指定某个应用或进程；匹配成功后，规则把流量送往直连、代理、隧道或阻断等目标。默认路由是兜底处理方式：流量没有匹配到任何更具体的规则时，按它指定的路径发送。若客户端采用相反的规则逻辑，需以其界面说明为准。
举例来说，可将某个支持按应用识别的客户端设为经代理转发，同时让其他流量走默认连接。若默认动作设为“全部转发”，却误以为未选中的应用会直连，就可能造成整机流量都走转发通道。
五个误区，逐项排查
误区一：选了应用，就等于选了它访问的网站
应用匹配识别的是程序或应用标识，不一定识别域名。若目标是只转发某个网站，应查看客户端是否另有域名规则，不能仅靠应用选择器实现。
误区二：未匹配流量会自动直连
这是由默认路由决定的，不是通用规则。建立分应用网络转发规则设置时，先明确未命中流量应直连、转发还是阻断，再检查界面里的默认动作，尤其留意“包含应用”和“排除应用”两种模式的差异。
误区三：规则顺序无关紧要
不少客户端按优先级或列表顺序处理规则。宽泛规则若排在前面，可能先接管流量，导致后面的细分规则不起作用。先放范围更窄、目标更明确的规则，再核实客户端采用“首条匹配”还是优先级数值判定。
误区四：应用名能覆盖所有相关进程
桌面程序可能通过独立更新器或辅助进程联网；移动应用也可能受系统服务影响。匹配主程序不一定覆盖这些流量。查看客户端识别的是应用包名、可执行文件还是进程组，并用日志确认实际命中的对象。
误区五：网页能打开，就证明规则正确
单次网页访问不足以覆盖 DNS 查询、后台连接或不同传输协议。某些应用使用系统 DNS，另一些会采用自身配置；结果还可能受本地缓存影响。应分别检查规则日志、名称解析和目标连接，并确认 IPv4、IPv6 是否都按预期处理。
按这个顺序配置和验证
- 确认支持范围：查明客户端和操作系统是否提供按应用分流，记录应用标识及相关辅助进程。
- 确定目标路径：为每类流量选择直连、代理、隧道或阻断，不确定时先避免设置宽泛的全局接管。
- 添加具体规则：选择应用匹配条件，设置目标路径；若有规则优先级，把具体规则放在宽泛规则之前。
- 明确兜底动作：单独设置默认路由，并确认未匹配应用的结果符合预期。
- 逐项验证：启动目标应用检查规则日志，再测试未选中的应用；更改后清理相关连接或缓存，并分别验证常用网络功能。
记录每条规则的用途、匹配对象和默认动作，后续更新应用或客户端时再复核一次。这样做分应用网络转发规则设置，才能把“谁被识别”和“未命中怎么办”分开管理，而不是靠猜测排错。
常见问题
关闭应用后，规则还会影响它吗？
通常不会产生该应用的新流量，但已有连接可能暂时保持。可断开重连后再检查规则日志。
应用匹配和域名匹配能互相替代吗？
不能。前者按应用识别，后者按域名等网络条件识别；是否能组合取决于客户端功能。
默认路由应该设成直连还是转发？
没有统一答案。按未匹配流量的安全与连通需求选择，并先确认规则覆盖范围，避免意外改变整机流量路径。
规则生效但应用仍无法连接，先看什么？
先看命中日志与目标路径，再核对辅助进程、DNS、地址族支持和客户端权限；不要仅凭应用图标判断匹配成功。