一句话解释（先把概念弄清楚）
把“全局模式”想象成家里装了条总管线：默认情况下这根管线要把所有出门的水（网络流量）都引到统一处理点（VPN服务器）再出去。按设计，全局应该是“所有流量都出VPN”，但现实中常见的“漏水口”会导致部分流量没走这根管线。
用费曼法拆解它到底意味着什么
- 是什么：把设备的出站数据包通过一个加密隧道（VPN）转发到远端服务器，再由那边访问目标网站或服务。
- 为什么要这样：隐藏真实IP、规避地域限制、加密本地网络流量。
- 哪些东西“应该”走：普通的HTTP/HTTPS、应用内请求、绝大多数系统进程发起的外网请求。
- 哪些东西可能不走：IPv6流量（若VPN不支持）、本地局域网访问、某些系统级服务、被列入绕过规则或使用特殊内核/驱动的应用。
“全局”为什么会不是真正的“全部”——常见例外
- IPv6支持问题：很多VPN只对IPv4进行隧道处理，若设备同时启用了IPv6且VPN不处理IPv6，请求会直接走本地ISP的IPv6链路。
- DNS泄露：即便数据通过VPN，若DNS查询仍走本地解析器，你的域名解析信息还是会暴露。
- 本地局域网例外：为方便访问打印机、NAS等，软件有时默认允许访问本地网段（如192.168.x.x、10.x.x.x）不走VPN。
- 分应用/智能模式：部分平台或客户端允许为某些应用设置直连或绕过，这会导致“全局”模式失效或不纯粹。
- 系统级或内核级限制：不同操作系统的VPN实现方式不同（Windows的TUN/TAP驱动、iOS的Network Extension、Android的VpnService），这些实现细节会影响路由与规则。
- WebRTC与浏览器特性：浏览器内的WebRTC可能直接暴露本地IP，除非被浏览器或VPN客户端做了专门处理。
- 特殊端口或协议：某些协议（如IPsec、GRE、裸UDP）或固定端口的服务在没有对应转发时可能绕过VPN。
如何验证——五步自测法（简单实操）
别光信“全局”二字，实际动手测一遍就知道了。我平时就是这样检查，省得临时出事。步骤如下：
- 1) IP地址检查：连上快连VPN后，用浏览器访问在线IP检测（在手机或电脑上打开“我的IP”类页面），对比连上前后的公网IP，看是否变成VPN提供的IP。
- 2) DNS泄露测试：使用DNS泄露检测页面（或工具）看DNS服务器是否仍是本地ISP或其他泄露源。如果能看到真实ISP的DNS，就说明DNS没有被VPN托管。
- 3) IPv6检测：在连上VPN后检查是否有IPv6公网地址（可以在系统网络信息或在线IPv6检测工具查看）。如果有且域名解析返回IPv6优先，就可能走的不是VPN。
- 4) WebRTC测试：在浏览器做WebRTC测试，确认是否泄露局域网或公网IP。
- 5) 路由表与抓包（进阶）：查看本机路由表（Windows用route print、macOS/Linux/Android用ip route/show）确认默认路由指向是否改为VPN接口；需要时用抓包工具（Wireshark/tcpdump）看数据包是否出本地网卡。
不同平台的细节差异（这很关键）
Windows
Windows客户端通常通过驱动（TAP/TUN）修改系统路由，理论上可以把所有IPv4流量导入隧道。注意检查：路由表（route print）、DNS是否被替换，以及是否启用了“允许本地网络访问”之类的选项。
macOS
macOS上用Network Extension或第三方驱动实现，路由与DNS也会改写。但有时系统级服务（如更新服务）可能有例外，另外Catalina以后的系统安全策略会影响客户端权限，可能需要额外授权。
Android
Android通过VpnService工作，能把应用层绝大多数流量导入VPN；不过厂商深度定制或某些系统App在没有权限情况下可能绕过。要特别注意：Android对IPv6的处理和APN设置会影响结果。
iOS
iOS的实现相对封闭，使用Network Extension的VPN能覆盖大部分流量，但受限于系统API，某些低层连接或系统服务行为上会有例外。iOS上分应用VPN（per-app）会明显影响“全局”效果。
路由器级VPN
如果你在路由器上配置快连VPN（前提是路由器支持并且是可信配置），那么连接到该路由器的所有设备流量理论上都会走VPN，这通常是最接近“真正全局”的方式。但仍要处理IPv6和DNS问题（路由器需要处理这些协议）。
如何把“尽量所有流量”做得更彻底（实践可操作项）
- 强制走VPN的DNS：在客户端或路由器上把DNS设置为由VPN推送或指向可信公共DNS，避免系统使用本地ISP解析器。
- 关闭本地局域网例外：如果不需要访问局域网资源，关闭允许本地网络访问的选项（客户端里常见）。
- 处理IPv6：如果VPN不支持IPv6，可以在设备上禁用IPv6，或在路由器端做IPv6隧道处理，避免IPv6直接裸奔。
- 启用“终止开关（Kill Switch）”：网络中断时自动阻止所有外网流量，防止短时间内流量走裸线。
- 避免分应用绕过：检查并关闭客户端的分应用直连规则，确保没有特例。
对付常见问题的小技巧（我经常用）
- 发现IP改变但DNS仍是本地：手动指定DNS为VPN服务端推送的或公共DNS，或者在系统里禁用ISP DNS。
- 检测到IPv6地址：临时关闭设备的IPv6或在路由器上把IPv6流量也走VPN。
- 某个App没走VPN：检查该应用是否有“直连”权限或是否被系统加入白名单；在Android上确认没有受手机厂商的省电策略干扰。
- 局域网设备不可达：如果你需要访问家里NAS，可能不得不在客户端允许局域网例外，或用分应用规则精细控制。
一张表看懂“全局/智能/分应用”差别
| 模式 | 代理覆盖范围 | 典型用途 | 是否可能有例外 |
| 全局（Global） | 理论上设备绝大多数出站流量 | 需要统一出口、隐私保护 | 是，受平台与协议限制（IPv6/DNS/本地网） |
| 智能/混合（Smart） | 只代理被识别需要代理的流量 | 省带宽、访问本地资源时更灵活 | 是，设计就是选择性代理 |
| 分应用（Per-app） | 仅指定应用走VPN | 只为特定App保护或翻墙 | 是，不走的App不经过VPN |
常见问答（读着像聊天的方式）
- 问：“我连上快连启用全局，怎么还被识别出真实国家？”
答：可能是DNS或IPv6泄露，或者目标服务用了更复杂的识别手段（浏览器指纹、账号历史）。先做DNS、IPv6和WebRTC检测。 - 问：“路由器上装了VPN就万无一失了？”
答：接近万无一失，但仍要确认路由器处理了DNS与IPv6，且有可靠的kill switch或防止VPN断开后回落的配置。 - 问：“有什么一键能保证所有流量都走？”
答：没有放之四海皆准的一键，因为各系统与协议差异，最靠谱的是按上面测试步骤去验证并根据结果调整配置。
写到这儿感觉像是在和你一边摆工具一边检验水管——总之，所谓“全局模式”在大多数情况下能把绝大部分流量通过VPN，但要做到绝对“零泄露”，还得关注DNS、IPv6、本地例外和平台实现细节。我常常先把这些检查做一遍，习惯成自然，出问题也就好查得快。