先看最核心的区别
代理通常工作在应用层：浏览器或应用明确把请求交给代理端口。VPN 通常工作在系统网络层：系统把匹配的 IP 数据包送入虚拟接口或隧道。正因为入口不同，两者覆盖范围和配置方式也不同。
| 对比项 | VPN / TUN | 应用代理 |
|---|---|---|
| 覆盖范围 | 通常可覆盖系统大部分应用和 TCP/UDP 流量。 | 只覆盖支持并启用代理的应用。 |
| 加密 | 设备到 VPN 服务器的隧道通常加密。 | 取决于代理协议；代理本身不必然加密。 |
| 权限 | 需要创建 VPN 接口或虚拟网卡，权限更高。 | 通常只需修改应用或系统代理设置。 |
| 兼容性 | 可处理更多不支持代理的应用，但更易与防火墙冲突。 | 简单轻量，但游戏、命令行或特殊应用可能绕过。 |
| 性能 | 封装开销略高，规则统一。 | 开销较低，适合少量指定应用。 |
HTTP 代理与 SOCKS 代理
HTTP 代理理解 HTTP 请求，适合网页和 API；HTTPS 网站通常通过 CONNECT 方法建立通道。SOCKS 代理更通用，转发的是连接而不是具体网页语义，SOCKS5 还可以支持认证和 UDP 转发。
无论使用哪种代理，最终是否加密仍要看应用协议和代理链路。例如访问 HTTPS 网站时，浏览器与网站之间有 TLS；但一个普通 SOCKS 代理并不会额外加密设备到代理服务器之间的所有元数据。
系统代理为什么有时“不生效”
Windows、macOS 和移动系统都提供代理设置，但应用是否遵循取决于自身实现。浏览器通常会读取系统代理，某些游戏、更新器、命令行工具或基于特殊网络库的应用则可能直接连接。
这也是 TUN 模式常被用于“全局接管”的原因：它在更低层获取流量，再按域名、IP、应用或地区规则决定直连还是转发。
DNS 是容易忽略的一环
即使网页请求经过代理，DNS 查询也可能仍由本地网络完成，造成解析结果不一致或暴露访问意图。成熟的客户端会说明 DNS 是本地解析、远程解析，还是按规则分流。出现“能连接但打不开网页”时，DNS 往往是需要优先检查的项目。
怎么选择
按实际需求决定
- 只需要浏览器或开发工具走特定出口：应用代理更轻量。
- 需要游戏、桌面应用或多个程序统一接管：优先考虑系统 VPN 或 TUN。
- 公司内部资源访问：使用单位提供并管理的企业 VPN。
- 需要复杂分流：选择能清楚展示规则、DNS 和连接状态的客户端。
可以同时开启多个工具吗
不建议。多个 VPN、代理软件、防火墙和加速器可能同时修改路由、DNS 或系统代理，导致环路、无法联网或退出后设置残留。排查问题时应先彻底退出其他网络工具，再只保留一个客户端测试。
简单判断：如果问题只发生在某个应用，先检查应用代理；如果整个系统的网络都异常，再检查 VPN/TUN、路由、DNS 和防火墙。