VPN全隧道模式与其他代理冲突的核心在于路由优先级和协议层级的差异。全隧道模式通常接管系统级路由表，将所有流量强制通过指定接口；而代理模式（如PAC或系统代理）多在应用层或网络层进行流量转发。当两者同时启用时，操作系统的路由决策机制可能导致流量绕过代理直接进入隧道，或者代理试图拦截VPN流量造成循环依赖。这种冲突往往表现为部分应用无法连接、DNS解析异常或延迟激增，根源在于缺乏明确的“谁先处理流量”的规则。
全隧道模式与系统代理同时运行时，数据流在路由层面可能产生冲突，导致连接异常。
全隧道与分隧道对代理的影响
区分全隧道与分隧道是理解冲突的前提。全隧道模式（Split-tunneling的反义词）强制所有出站流量经过VPN网关，包括本地内网流量，除非客户端明确配置了绕行规则。相比之下，分隧道仅将匹配特定IP或端口的流量送入隧道，其余流量走默认网关。在分隧道模式下，本地应用的系统代理设置仍可有效控制非隧道流量；但在全隧道模式下，原本指向本地代理端口的流量可能被直接加密封装，袋鼠导致代理软件无法感知部分连接。
常见冲突场景：DNS解析失效
一个典型场景是VPN启用后，本地代理软件（如基于系统API的HTTP代理）失效。此时，操作系统发出的DNS查询请求可能仍遵循系统网络栈的默认路由，但默认路由已指向VPN接口。如果VPN服务端未配置正确的DNS递归解析或转发能力，这些查询会失败或被劫持。用户观察到的是代理软件图标正常，但网页加载出现“无法连接”而非“代理超时”。这说明流量进入了隧道但未被正确解析，而非代理软件本身崩溃。排查时需确认VPN客户端是否覆盖了系统DNS设置，以及代理软件是否具备独立的DNS解析能力。
路由表竞争与策略路由
当同时运行全隧道VPN和透明代理时，底层路由表会出现竞争。例如，透明代理通常通过iptables或Windows防火墙建立重定向规则，而VPN客户端（如WireGuard或OpenVPN）则添加默认路由指向tun/tap设备。若VPN路由的度量值（metric）更高或更优先，所有流量（包括本该进代理的）直接进VPN，代理失效；若代理规则强制重写目标地址，但VPN网关未配置相应的回程路由，数据包将因TTL耗尽或被防火墙丢弃而失联。这种竞争没有固定赢家，取决于操作系统内核的网络栈实现及具体软件的路由注入策略。因此，不能简单假设代理一定优于VPN，需通过查看实时路由表确认实际路径。
低影响排查方法：路由跟踪
解决冲突前，应先进行只读检查以避免误操作。在Windows系统中，使用`tracert`或`route print`观察特定目标IP的路由路径；在Linux/macOS中，袋鼠VPN手机连接设置使用`traceroute`和`netstat -rn`（或`route get`）。重点观察流量在进入网络栈初期，是匹配到了代理端口的重定向规则，还是直接匹配到了VPN默认路由。如果流量直接指向VPN接口，说明全隧道模式已覆盖代理策略。此时无需卸载驱动或修改系统设置，只需在VPN客户端配置文件中添加“绕行规则”（Bypass/Exempt routes），将代理所需的本地IP或特定端口排除在全隧道之外，或调整代理软件工作于更底层模式以拦截已加密前的流量。具体绕行语法需查阅对应VPN软件的官方文档，因不同实现差异较大。
