在手机端配置代理（Proxy）通常是为了让特定应用或整个设备的网络流量通过指定的中转节点。许多用户在使用 Clash、Shadowrocket 或 Surge 等客户端时，常遇到“应用内可用但系统其他应用无法上网”或“配置后完全断网”的问题。这通常是因为代理类型选择错误、APNs 推送未生效或系统代理开关未正确触发。本文将针对 iOS 和 Android 两大主流平台，详细拆解手动配置代理的具体步骤、常见报错原因及验证方法。
iOS 系统代理配置详解
iOS 系统的网络架构较为封闭，手动代理设置主要依赖于 Wi-Fi 配置和描述文件（Profile）两种机制。对于普通用户，理解这两种方式的区别是配置成功的前提。
通过 Wi-Fi 配置手动代理
这是最基础的手动设置方式，适用于需要为当前 Wi-Fi 网络指定统一出口的场景。
• 进入设置入口：打开“设置” > “无线局域网”，点击当前连接 Wi-Fi 名称右侧的蓝色“i”图标。
• 配置代理服务器：向下滑动找到“HTTP 代理”选项，将其从“关闭”切换为“手动”。
• 填写服务器信息：
* 服务器：填入代理节点的 IP 地址或域名。
* 端口：填入对应的端口号。
* 用户名/密码：如果代理节点需要认证，在此处填写；若无需认证，保持空白即可。
• 保存并验证：点击左上角“返回”，系统会自动测试连接。
关键注意点：iOS 的 Wi-Fi 手动代理仅对 HTTP 和 HTTPS 流量有效，且部分应用（如银行类 App）可能因 SSL Pinning（证书绑定）技术而拒绝代理连接。此外，这种方式无法自动处理 UDP 流量（如 DNS 查询、游戏数据包），因此不适合需要完整代理功能的场景。
使用描述文件（Profile）实现全局代理
若需让所有应用（包括 UDP 流量）都走代理，必须使用客户端生成的描述文件。
• 生成配置文件：在代理客户端（如 Clash for iOS, Surge, Shadowrocket）中，找到“安装描述文件”或“安装配置文件”选项。客户端会根据当前订阅节点生成一个 `.mobileconfig` 文件。
• 安装描述文件：点击安装后，系统会跳转到“设置” > “已下载描述文件”或“配置描述文件”。点击“安装”，输入锁屏密码确认。
• 信任描述文件：进入“设置” > “通用” > “关于本机” > “证书信任设置”，找到对应客户端的描述文件，打开开关。
• 启用代理模式：回到客户端 App，开启“系统代理”或“Tun 模式”（如果支持）。
为什么需要描述文件？
iOS 出于安全考虑，禁止普通应用直接劫持系统流量。描述文件是一种系统级授权机制，允许客户端在系统网络层建立隧道，从而捕获并转发所有流量。如果安装后仍无法上网，请检查描述文件是否过期或被其他网络管理配置覆盖。
🔥 推荐：适合 iPhone 使用的稳定 VPN 方案
如果你主要在 iPhone 上使用翻墙工具，建议优先关注 iOS 兼容性、订阅导入、节点切换和连接失败排查，减少掉线和配置错误。
Android 系统代理配置详解
Android 系统的代理配置相对灵活，分为“单应用代理”和“系统全局代理”两种路径。不同厂商（如小米、华为、三星）的界面略有差异，但逻辑一致。
配置 Wi-Fi 全局代理
适用于希望当前 Wi-Fi 环境下所有流量都经过代理的场景。
• 进入网络详情：打开“设置” > “WLAN”（或 Wi-Fi），点击当前连接网络的名称或右侧的设置图标。
• 修改网络配置：找到“高级选项”或“代理设置”，将“代理”从“无”改为“手动”。
• 填写代理信息：
* 主机名：输入代理服务器地址。
* 端口：输入对应端口。
* Bypass 代理：部分机型允许设置例外域名，通常留空即可。
• 保存测试：保存后，打开浏览器访问 IP 查询网站，确认 IP 地址已变更为代理节点 IP。
局限性说明：Android 的 Wi-Fi 手动代理同样主要作用于 HTTP/HTTPS 流量。对于 UDP 流量（如视频流媒体、游戏），系统通常不会通过 HTTP 代理转发，除非设备已 Root 或使用特定框架（如 Xposed/Frida）。
使用“专用 VPN”或“代理应用”模式
现代 Android 系统（Android 5.0+）提供了强大的 VPN Service API，允许应用接管系统流量。
• 安装客户端：下载并安装支持 Android 的代理客户端。
• 开启代理：在 App 内点击“连接”或“开启代理”。
• 系统弹窗授权：系统会弹出“是否允许此应用创建 VPN 连接”的提示，点击“确定”或“允许”。
• 状态栏确认：通知栏会出现“已激活 VPN”图标，表示系统级代理已生效。
常见故障排查：
* 无法连接：检查手机是否开启了“飞行模式”或“移动数据”中的“个人热点”，这些功能会干扰 VPN 路由。
* 部分应用闪退：某些金融或安全类 App 会检测 VPN 状态并拒绝运行。此时需在客户端设置中开启“绕过 VPN 应用”或“直连模式”，将此类 App 加入白名单。
代理连接失败的常见原因与排查
配置完成后若无法上网，请按以下顺序进行排查。大多数问题并非客户端故障，而是网络环境或配置细节导致的。
| 故障现象 | 可能原因 | 排查与解决步骤 |
|---|---|---|
| 连接成功但无网络 | DNS 污染或路由冲突 | 1. 尝试更换客户端内的 DNS 设置（如使用 8.8.8.8 或 1.1.1.1）。 2. 检查是否开启了“路由规则”中的“全局代理”或“GFWList”模式。 |
| HTTP 可用，HTTPS 报错 | 证书未信任或 SSL Pinning | 1. iOS：检查描述文件是否已信任。 2. Android：检查是否安装了 CA 证书。 3. 部分 App 强制绑定证书，无法通过代理，需使用“绕过”功能。 |
| UDP 流量不通 | 代理类型不支持 UDP | 1. 确认客户端是否开启了“Tun 模式”或“系统代理”。 2. 手动 Wi-Fi 代理不支持 UDP，必须使用客户端模式。 |
| 频繁断线 | 网络波动或 Keep-Alive 设置 | 1. 检查 Wi-Fi 是否开启了“休眠时保持连接”选项。 2. 在客户端中开启“心跳包”或“Keep-Alive”功能，防止连接被运营商切断。 |
| IP 泄露 | 未启用 IPv6 阻断 | 1. 在客户端设置中开启“禁用 IPv6”或“仅 IPv4”。 2. 部分路由器会暴露真实 IPv6 地址，阻断后可避免泄露。 |
代理设置中的关键概念辨析
为了更精准地配置，用户需理解以下几个核心概念，它们直接影响代理的效果和稳定性。
HTTP 代理 vs SOCKS5 代理
* HTTP 代理：仅处理 HTTP 和 HTTPS 请求。优点是对 Web 浏览优化较好，缺点是无法处理其他协议（如 DNS、游戏数据包）。在 Android 的“手动代理”中，通常只支持 HTTP 代理。
* SOCKS5 代理：更底层的协议，可以处理任何类型的 TCP 流量。大多数现代代理客户端默认使用 SOCKS5。在配置时，确保客户端输出协议与代理服务器支持的协议一致。
系统代理（Tun 模式） vs 应用代理
* 应用代理（Proxy by App）：仅客户端 App 内部流量走代理，其他应用不受影响。优点是不影响其他应用的网络体验，缺点是配置复杂，需手动指定哪些应用走代理。
* 系统代理（Tun 模式）：通过系统级 VPN 接口，将所有应用的流量（包括后台更新、系统服务）都重定向到代理。优点是配置简单、无遗漏；缺点是对电池消耗较大，且可能触发部分 App 的安全检测。
路由规则的作用
路由规则（Routing Rules）决定了哪些流量走代理，哪些流量直连。
* 全局模式：所有流量都走代理。适用于需要完全隐藏 IP 的场景，但可能导致国内网站访问变慢。
* 规则模式（GFWList）：仅对特定域名（如被屏蔽的网站）走代理，国内域名直连。这是最推荐的模式，兼顾速度与隐私。
* 直连模式：所有流量都不走代理。仅用于测试网络本身是否正常。
安全与隐私注意事项
在使用代理节点时，安全性是不可忽视的一环。
• 警惕公共 Wi-Fi 下的代理：在公共网络环境下，确保代理连接本身是加密的（TLS/SSL）。如果代理节点未加密，中间人攻击者可能窃取你的明文数据。
• 验证证书有效性：安装描述文件或 CA 证书后，定期检查其有效期。过期的证书会导致连接失败或安全警告。
• 避免使用不可信来源的配置文件：仅从可信赖的客户端或服务商处获取配置文件。恶意配置文件可能包含后门或窃取设备信息。
• 定期更新客户端：代理协议和加密算法不断更新，旧版本客户端可能存在已知漏洞。保持客户端为最新版本可确保证书兼容性和安全性。
总结
手机代理设置的核心在于理解目标平台（iOS/Android）的网络机制。iOS 用户应优先依赖描述文件实现全局代理，而 Android 用户则需善用系统 VPN API。配置过程中，务必关注协议类型（SOCKS5 vs HTTP）、路由规则（全局 vs 规则）以及 IPv6 处理等细节。遇到故障时，按 DNS、路由、证书、协议顺序排查，通常能解决 90% 以上的配置问题。