Connection Guide · 场景选择

系统代理、虚拟网卡、智能路由和全局模式有什么区别？

系统代理与虚拟网卡决定哪些应用流量进入 Verstro；智能路由与全局模式决定已经进入的互联网流量如何出站。先分清两层，再按浏览器、终端或直连需求选择组合。

四个开关其实分属两个层次

01 · 入口层

回答“哪些应用流量进入 Verstro”。系统代理主要覆盖代理感知应用；TUN 从系统网络层覆盖更多不读取系统代理的应用。

02 · 出站层

回答“已经进入的互联网流量如何处理”。智能路由按规则选择直连或节点；全局模式统一使用当前节点，并保留必要绕过项。

关键边界：全局模式不会自动让原本没有进入 Verstro 的应用开始被接管；虚拟网卡开启也不代表所有已进入流量一定使用节点。

下表提供选择起点，不是适用于所有设备的保证。系统代理和虚拟网卡也不必在所有环境中互斥；这里强调的是本次使用的主要入口。

主要入口需求	智能路由：按规则出站	全局模式：统一当前出口
代理感知应用为主：系统代理	适合主要使用浏览器，并希望常用本地或指定流量按规则直连的日常场景。	适合验证浏览器等代理感知应用的统一出口；不能据此推断终端或其他应用也进入。
需要覆盖更多应用：虚拟网卡（TUN）	适合终端、Git、Docker 或部分桌面应用也需进入，同时希望规则保留必要直连的场景。	适合受控排障或需要统一已进入互联网流量出口的场景；不等于整机所有协议、所有应用或无泄漏。

系统代理 + 智能路由通常是权限要求较低的起点。浏览器等遵循系统代理的应用可以进入 Verstro，规则再决定直连或使用节点。

需要临时确认代理感知应用是否统一使用当前节点时，可以切换到系统代理 + 全局模式并对同一个请求复测。浏览器成功只覆盖实际观察到的应用和请求，不能证明终端、Git、Docker 或其他桌面应用采用相同路径。

单独开启系统代理可能无法覆盖这类应用。可以用虚拟网卡（TUN） + 智能路由作为日常起点，让更多应用流量进入 Verstro，再由规则决定出站。

排查“流量没有进入”还是“进入后走错出口”时，可以暂时使用虚拟网卡（TUN） + 全局模式做受控验证：发起一个目标明确的请求，并在“连接”页核对进程、目标主机、传输字节和实际链路。

已完成的真实桌面复现只证明当时一条终端 TCP/HTTPS 请求被识别并按所示链路出站，不能外推到其他应用、UDP、DNS 或长期运行。详细方法见《TUN 模式是什么？哪些流量进入 Verstro，进入后又如何出站》。

需要覆盖更多应用、同时让一部分目标直连时，优先考虑虚拟网卡（TUN） + 智能路由，并检查直连规则、本地网段与目标应用是否按预期命中。

DIRECT 只描述这条已进入请求的出站选择，不表示它从未经过 Verstro 的规则判断。切换到全局模式前，应确认必要的本地、内网和系统绕过仍被保留；全局模式不应被理解为删除全部直连例外。

只打开全局模式，却期待终端自动进入

全局模式属于出站层。若终端不读取系统代理、虚拟网卡又没有接管该请求，改变出站模式不会扩大入口覆盖。

看到 tun=true，就写成请求已被接管

配置值、请求成功、累计流量增长或系统存在虚拟接口都不能单独证明某条请求被接管。应匹配目标应用、主机、字节与链路。

浏览器出口变化，就推断所有应用出口都变化

不同应用可能采用系统代理、自定义代理、直接连接或系统网络栈。应测试真正关心的应用，而不是用浏览器结果替代。

使用全局模式，就承诺“整机所有流量”或“绝不泄漏”

该说法超出当前证据。操作系统、应用、协议、DNS、本地网络、其他 VPN 和安全软件都可能影响实际覆盖。

隐私与证据边界：本文仅使用脱敏文字方法说明，不发布原始测试截图、完整公网 IP、内部节点标识、账号或交易信息。

下一步

到帮助中心核对当前客户端中的入口与出站设置。每次只改变一层，并用目标应用的逐连接记录验证结果。