想讓 Windows 上只有指定程式使用 VPN，其他流量維持直連，關鍵不是單純開啟「系統代理」，而是確認用戶端支援哪一種分流方式，以及目標程式的連線是否真的被規則接管。瀏覽器、遊戲啟動器、桌面應用程式可能各自採用不同的連線方式；用戶端顯示已連線，不代表每個程式都已按預期分流。以下從功能辨識、規則設定、逐項驗證到還原設定，整理一套較容易排查的操作流程。
先了解 Windows 分流控制的是什麼
分流的目的，是依照應用程式或網路規則，決定連線要經過代理線路，還是直接使用目前的網路。實際能控制到哪一層，取決於用戶端的模式與功能，並非所有名為「VPN」的程式都能按執行檔指定流量。開始設定前，先分清楚系統代理、規則模式與 TUN 等虛擬網路介面的差異，再查看用戶端是否明確提供「按應用程式分流」或相近功能。
- 系統代理：修改 Windows 的代理設定，讓會遵循系統代理的程式把請求交給本機代理。這通常適合瀏覽器等會讀取系統設定的應用程式，但不代表所有程式流量都會被接管。
- 網域或 IP 規則：依目的網域、IP 位址或規則集選擇代理、直連或其他出口。它能處理常見的網站分流，但不一定能區分同一部電腦上的兩個程式。
- TUN 或虛擬網路介面：在網路層接收較多類型的流量，適合檢查不使用系統代理的應用程式。是否支援按程式分流，仍要看用戶端、設定方式和 Windows 權限，不能只因啟用了 TUN 就認定已完成應用程式分流。
若用戶端沒有按應用程式分流功能，可考慮以網域規則達成接近的效果，例如讓特定網站使用代理、其他網站直連；但這不是完全等同於「只有某個程式走代理」。同一個程式可能連線至多個網域，也可能由背景服務或更新程序發出請求。反過來說，不同程式也可能連到相同服務網域，因此單靠網域規則未必能精準區分應用程式。
選擇支援方式並準備設定
Windows 用戶端的分流功能與操作位置各有不同。官方客戶端可能提供簡化的應用程式清單，也可能只有系統代理或全域連線模式；Clash Verge、sing-box 等相容客戶端則常以規則、TUN 或設定檔控制路徑。請以目前安裝版本的介面與文件為準，不要直接套用其他版本的步驟，也不要假設某一種客戶端必然支援所有分流方式。
設定前先保存目前狀態，至少記下用戶端模式、目前選用的線路、系統代理是否開啟，以及已經存在的自訂規則。若用戶端可以匯出設定檔或建立備份，先備份再修改。這樣遇到公司內網無法開啟、遊戲連線異常或其他程式無法上網時，可以先回到已知的設定，而不是在多個選項間反覆切換。
- 確認用戶端已匯入訂閱並載入線路；訂閱連結只應貼到可信任的用戶端，不要公開分享。
- 在設定中尋找「應用程式分流」、「程序規則」、「TUN」、「流量模式」或相近名稱，閱讀該選項對接管流量的說明。
- 確認目標程式的實際執行檔名稱與路徑。桌面程式可能包含主程式、啟動器和背景服務，不能只憑桌面捷徑名稱判斷。
- 選擇該程式使用代理或直連，並確認其他流量的預設路徑符合需求；若用戶端要求管理員權限，僅在信任軟體且瞭解用途時授權。
如果使用 Clash Verge 一類的規則型客戶端，先確認目前是規則模式還是全域模式，再查看設定檔是否支援按程序匹配。部分規則只處理網域或 IP；有些按程序識別的設定則需要配合 TUN 或特定平台能力。sing-box 的配置選項也會依版本、平台和入站方式有所不同。不要把網路上其他人的設定片段直接貼入自己的設定檔，尤其是無法確認作用範圍的路由與 DNS 規則。
若只需要瀏覽器使用代理，且瀏覽器會遵循 Windows 系統代理，先用系統代理模式測試通常比較簡單。若目標是遊戲、通訊軟體或不遵循系統代理的桌面程式，應優先確認用戶端是否提供可用的流量接管方式；沒有支援時，就要接受只能依網域規則處理，或改用其他經確認相容的方案。
逐步設定指定 App 走代理
不同用戶端的按鈕名稱不完全相同，以下流程以設定邏輯為主。若介面沒有相應選項，請不要自行推測隱藏參數；先查看用戶端說明，確認目前版本是否支援。操作時一次只改一項，並保留變更前後的設定紀錄，才能知道問題是由哪一個規則造成。
- 確認基本連線。先選擇一條可用線路，確認用戶端連線狀態正常；記下尚未啟用分流前，目標程式和其他常用程式的表現，作為後續比較基準。
- 開啟分流或流量接管功能。如果要按程序辨識，確認介面或文件明確說明支援應用程式規則。需要啟用 TUN 時，先閱讀權限、路由及與其他網路工具的相容性說明。
- 加入目標程式規則。選擇目標程式的執行檔，指定為代理或直連。若程式透過啟動器啟動，可能需要分別檢查啟動器和實際執行程式；只有在用戶端支援且確定有需要時，才加入相關程序。
- 設定其他流量的預設路徑。明確選擇未符合規則的流量要直連或採用其他路徑。若只設定了目標 App 的規則，卻沒有檢查預設規則，其他程式可能仍會依全域模式使用代理。
- 套用後重新啟動目標程式。部分程式會在啟動時讀取網路環境，套用規則後關閉並重新開啟，避免舊連線仍沿用先前的路徑。
如果用戶端提供直連、代理、拒絕等規則動作，應依使用需求選擇，不要把「沒有規則」當作一定直連。不同客戶端對預設動作的定義可能不同，還要留意規則的先後順序：較早匹配的規則可能先於後續規則生效。若自訂規則被訂閱更新或設定檔更新覆蓋，應確認用戶端的規則管理方式，避免每次更新後設定悄悄改變。
- ✅ 只加入確定需要指定路徑的程式，並核對執行檔是否正確。
- ✅ 另外檢查預設流量模式，確認未符合規則的程式仍走預期路徑。
- ✅ 變更後重新啟動目標 App，再進行連線測試。
- ❌ 不要同時啟用多個代理客戶端或多套 TUN 接管，避免路由和系統代理互相影響。
訂閱連結用來取得線路設定，不是分流規則一定會自動正確的保證。若匯入後沒有線路或設定異常，先確認訂閱更新狀態與用戶端相容性，再檢查自訂規則。第一次安裝或需要確認匯入流程時，可參考快速上手；若要取得適用於 Windows 的客戶端，請從下載頁面查看。
確認指定程式與其他流量的路徑
驗證時不要只看用戶端的「已連線」提示。挑一個有明確網路活動的目標 App，在它實際使用的功能中測試；同時用另一個未指定的程式檢查直連是否正常。每次測試都維持同一個線路和網路環境，避免同時換線路、改規則和切換模式，否則結果難以比較。
可用以下方式逐項確認：
- 檢查目標程式：在 App 內載入會連線的頁面或功能，確認能完成實際操作。若它有多個服務頁面，分別測試登入、內容載入或資料同步等不同請求。
- 檢查出口結果：如果目標 App 本身提供網路診斷或出口資訊，可與未啟用代理時的結果比較。只用瀏覽器查 IP，最多隻能證明該瀏覽器的連線路徑，不能代表其他程式也走同一條路。
- 檢查直連程式：在另一個未加入代理規則的 App 中測試常用本地網站或辦公資源，確認它們仍可連線。公司內網和企業 VPN 應依組織提供的設定使用。
- 檢查 DNS 與背景連線：若網頁可以開啟但服務內容載入失敗，確認 DNS 規則和程式使用的附屬網域是否走預期路徑。部分 App 也會由背景服務發出請求，單看主視窗未必足夠。
如果規則顯示已匹配，實際連線卻不符合預期，先檢查規則是否套用到正確程序、是否被更高優先序規則覆蓋，以及目標程式是否透過另一個程序建立連線。若用戶端提供連線日誌，可查看目標連線的匹配結果；分享日誌前請先遮蔽帳號、IP、訂閱網址和其他識別資訊。
若目標 App 仍走直連，先關閉並重新啟動 App，再確認流量接管功能是否運作及是否需要管理員權限；不要立刻疊加更多規則。若其他程式也意外走代理，回頭檢查全域模式和預設動作，而不是隻修改目標程式規則。DNS 查詢和應用程式本身的連線也可能使用不同規則，應依用戶端文件確認其處理方式。
常見故障與安全還原方式
設定後無法上網，不一定代表線路失效。系統代理可能仍指向已停止的本機服務，TUN 模式可能與另一個網路工具衝突，或自訂規則把 DNS、公司內網與一般網站分配到不合適的路徑。排查時先記錄是哪一類流量出問題，再逐項恢復，不要同時清空所有規則或重設整台電腦的網路。
- 所有程式都無法連線：先確認用戶端是否仍在執行、所選線路是否可用，再檢查系統代理是否殘留或 TUN 是否與其他代理程式衝突。暫時停用最近新增的設定，比不斷切換線路更容易定位。
- 指定 App 沒有走代理：重新確認執行檔與規則動作，檢查程式是否由另一個背景程序建立連線，以及用戶端是否真的支援按程序分流。若只有網域規則，請確認 App 實際使用的網域已納入。
- 本地網站或公司資源無法使用：檢查這些目的地是否被全域代理或規則誤判，並確認公司 VPN、零信任工具與內部 DNS 是否仍依組織要求運作。遇到企業網路限制時，請洽詢管理單位，不要繞過工作場所的存取政策。
- 關閉用戶端後仍無法正常上網：依用戶端說明關閉系統代理或 TUN，確認 Windows 代理設定已恢復，再重新測試直連。若使用匯入的設定檔，必要時還原先前備份。
建議以可逆的順序還原：先停用新增的應用程式規則，再關閉 TUN 或其他流量接管功能，接著依用戶端設計關閉系統代理，最後重啟目標 App 並確認一般直連恢復。不要在不知道用途時手動刪除 Windows 網路介面、路由或 DNS 設定；若停用用戶端功能後仍有問題，依用戶端提供的修復流程處理，或尋求正式支援。
如果使用 Windows 防火牆或安全軟體，檢查規則時應遵照軟體文件，不要為了讓代理「看起來能連」而全面關閉防護。企業設備上的管理政策也可能限制網路介面或代理設定，遇到權限不足時應聯絡管理員，而不是嘗試繞過限制。
常見問題
開啟 Windows 系統代理後，是否所有程式都會走 VPN？
不一定。系統代理主要讓會讀取 Windows 代理設定的程式使用本機代理；有些桌面程式、遊戲或背景服務可能不遵循這項設定。請在目標 App 中實際驗證，必要時查看用戶端是否提供其他流量接管方式。
用瀏覽器查到代理出口，能證明指定 App 也已分流嗎？
不能。瀏覽器只能證明該瀏覽器當下的連線結果。指定 App 可能使用自己的網路程式庫、背景服務或不同網域，應在 App 本身測試，並查看用戶端規則匹配資訊。
修改分流規則後，為什麼要重新啟動程式？
已建立的連線可能繼續沿用舊路徑，部分程式也會在啟動時讀取代理或網路設定。重新啟動目標 App 可避免把舊連線誤認為新規則沒有生效。
如何快速回到原本的直連設定？
先停用新增規則與流量接管模式，再按用戶端說明恢復系統代理設定，並確認其他代理程式沒有同時執行。若事前有備份，優先還原備份，最後重新開啟常用網站與辦公資源確認連線。