--- title: "iPhone 設定裡的兩種 VPN：『裝置 VPN』和『個人級 VPN』到底差在哪？" url: https://joelin.cc/p/100064 source: https://joelin.cc/p/100064 id: 100064 slug: "ios-vpn-device-vs-personal" pubDate: 2026-06-27 date_modified: 2026-08-25 updatedDate: 2026-08-25 schema_type: Article description: "iPhone 的 VPN 設定為什麼分成『裝置 VPN』和『個人級 VPN』兩區？兩者都能接管整機流量，差別不在範圍，而在底層機制。本文用『引擎是誰的』比喻拆解 iOS 兩套 VPN 架構，並深入技術差異。" ai_summary: "本文拆解 iPhone 設定頁把 VPN 分成「裝置 VPN」與「個人級 VPN」兩區的真正原因。常見誤解是「裝置 VPN 管整機、個人級只管某 App」，實際上兩者都能接管整支手機的流量，差別在連線引擎是誰提供的：個人級 VPN 用 iPhone 內建引擎（對應 NEVPNManager，只支援 IKEv2、IPsec）；裝置 VPN 是 App 透過 Network Extension 框架自帶引擎（對應 NETunnelProviderManager），系統把虛擬網卡（utun 介面）交給 App 的 extension，因此能跑 WireGuard 等自訂協定並做規則型分流（如 1.1.1.1、穿梭、Shadowrocket）。關鍵限制：一個個人級與一個裝置 VPN 可共存，但兩個裝置 VPN 不能同時運作，同一時間只有一條隧道在轉送流量。實用結論：只想換 IP、加密、跨區用個人級 VPN；要分流、自訂節點用裝置 VPN，且開關建議回各自 App 操作。" key_facts: ["兩種 VPN 都能接管整機流量，差別在引擎是系統內建還是 App 自帶", "個人級 VPN 用系統內建引擎，只支援 IKEv2 與 IPsec 協定", "裝置 VPN 由 App 自帶引擎，可跑自訂協定與規則型分流", "裝置 VPN 的管理類別在程式上是個人級 VPN 類別的子類別", "一個個人級與一個裝置 VPN 可共存，但兩個裝置 VPN 不能同時並存運作", "同一時間只有一條隧道真正在轉送流量，開新的會頂掉舊的"] categories: [] tags: ["VPN", "iOS", "網路技術", "科技素養"] authorship: origin: written ai_role: ai_only author: caddy entity_ids: author: https://me.joelin.cc/#caddy accountable_person: https://me.joelin.cc/#joe publisher: https://me.joelin.cc/#joelincc --- # iPhone 設定裡的兩種 VPN：『裝置 VPN』和『個人級 VPN』到底差在哪？ ## 摘要 本文拆解 iPhone 設定頁把 VPN 分成「裝置 VPN」與「個人級 VPN」兩區的真正原因。常見誤解是「裝置 VPN 管整機、個人級只管某 App」，實際上兩者都能接管整支手機的流量，差別在連線引擎是誰提供的：個人級 VPN 用 iPhone 內建引擎（對應 NEVPNManager，只支援 IKEv2、IPsec）；裝置 VPN 是 App 透過 Network Extension 框架自帶引擎（對應 NETunnelProviderManager），系統把虛擬網卡（utun 介面）交給 App 的 extension，因此能跑 WireGuard 等自訂協定並做規則型分流（如 1.1.1.1、穿梭、Shadowrocket）。關鍵限制：一個個人級與一個裝置 VPN 可共存，但兩個裝置 VPN 不能同時運作，同一時間只有一條隧道在轉送流量。實用結論：只想換 IP、加密、跨區用個人級 VPN；要分流、自訂節點用裝置 VPN，且開關建議回各自 App 操作。 ### 重點 - 兩種 VPN 都能接管整機流量，差別在引擎是系統內建還是 App 自帶 - 個人級 VPN 用系統內建引擎，只支援 IKEv2 與 IPsec 協定 - 裝置 VPN 由 App 自帶引擎，可跑自訂協定與規則型分流 - 裝置 VPN 的管理類別在程式上是個人級 VPN 類別的子類別 - 一個個人級與一個裝置 VPN 可共存，但兩個裝置 VPN 不能同時並存運作 - 同一時間只有一條隧道真正在轉送流量，開新的會頂掉舊的 如果你打開 iPhone 的「設定 → 一般 → VPN 與裝置管理 → VPN」，而且裝過不只一個 VPN App，你可能會看到一個讓人愣一下的畫面：同一頁，VPN 被分成了兩個區塊——上面叫「裝置 VPN」，列著像 1.1.1.1、Shadowrocket、穿梭這類 App；下面叫「個人級 VPN」，列著像 Goose VPN 這種傳統商業 VPN。 很多人第一反應是：「裝置 VPN 是不是管整台手機、個人級 VPN 只管某個 App？」——這是個很合理但完全錯誤的猜測。兩者其實都能接管整支手機的網路流量。它們的差別不在「管多少」，而在一個更底層、更少人講清楚的地方：這條 VPN 的連線『引擎』是誰提供的。 這篇文章把它拆成三層講清楚：先用一個比喻建立直覺，再深入 iOS 真正的技術架構差異，最後落到「那我到底該怎麼用」。 ## 一、先破除誤解：不是「全部 vs 部分」 先講結論：「裝置 VPN」和「個人級 VPN」都能把你整支手機的網路流量導進隧道。 你開任何一個，理論上 Safari、LINE、背景 App 的連線都會走進去。所以它們不是「全機 vs 單一 App」的關係。 那 iOS 為什麼還要分成兩區？因為這兩類 VPN，是用兩套完全不同的系統機制掛上去的。蘋果在設定頁把它們分開，是依「底層用哪套 API」分類，而不是依「接管多少流量」分類。理解這一點，後面所有差異都會變得很順。 ## 二、核心比喻：引擎是誰提供的 想像 VPN 是一台車，真正在跑的是引擎（負責加密、建立隧道、轉送封包的那段程式）。iOS 上有兩種「引擎來源」： 個人級 VPN ＝用 iPhone 內建的引擎（傳統做法） 蘋果很早就在 iOS 系統裡內建了一套 VPN 引擎，支援 IKEv2、IPsec 這些業界老牌協定。當一個 App（或一份描述檔）要建立這種 VPN，它只需要把「伺服器位址、帳號密碼、用哪個協定」這些設定參數交給系統，剩下的連線、加密工作全部由 iPhone 內建的引擎處理。 這就像你用 iPhone內建的相機 App 拍照——引擎（感光、對焦、運算）是蘋果做好的，你只是按下快門。所以這類叫「傳統／個人級」，指的是它機制老、由系統內建，不是說它功能比較弱或範圍比較小。截圖裡的 Goose VPN 走的就是這條路。 裝置 VPN ＝App 自己帶引擎進來（新做法） 後來蘋果開放了一套叫 Network Extension 的框架，允許 App 自己內建一顆 VPN 引擎，以一個獨立的系統擴充行程（extension）跑在 iOS 裡。這時候連線、加密、封包怎麼處理，全部由 App 自己寫的程式決定。 這就像你裝了一個第三方相機 App，它自帶內建相機沒有的特殊功能（手動快門、RAW、濾鏡引擎）。因為引擎是 App 自己的，它能玩出系統內建引擎做不到的花樣——最關鍵的就是分流。截圖裡的 1.1.1.1（Cloudflare WARP）、穿梭、Shadowrocket 都走這條。 | | 引擎是誰的 | 年代 | 截圖中的例子 | |---|---|---|---| | 個人級 VPN | iPhone 內建引擎 | 舊（傳統） | Goose VPN | | 裝置 VPN | App 自己帶的引擎 | 新 | 1.1.1.1、穿梭、Shadowrocket | 一句話：兩者都能接管全部流量，差別只在「老的系統內建引擎」對上「新的 App 自帶引擎」。 ## 三、技術硬核：兩套 API 的真實差異 如果你想知道引擎差在哪，那就要進到 iOS 的 Network Extension 框架。蘋果其實提供了兩個不同的管理類別，這正是設定頁兩個區塊的技術根源： - 個人級 VPN → `NEVPNManager`（Personal VPN） - 裝置 VPN → `NETunnelProviderManager`（Packet Tunnel Provider） 有意思的是，`NETunnelProviderManager` 在程式上其實是 `NEVPNManager` 的子類別（subclass）[1][2]——也就是說「裝置 VPN」是在「個人級 VPN」這個基礎上，往外擴出來的進階版。但它們在四個維度上有實打實的差異： ### 1. 協定：內建 vs 自訂 `NEVPNManager`（個人級）只能用 iOS 內建支援的協定——IPsec 與 IKEv2[3]。你不能用它跑 WireGuard、Shadowsocks、VMess 這些非內建協定，因為系統引擎只認得它自己會的那幾種。 `NETunnelProviderManager`（裝置）則是為了自訂協定而生的[1]。App 的 extension 自己實作整套隧道邏輯，所以要跑 WireGuard、要跑各種代理協定、要做封包改寫，都行。Shadowrocket、Clash 這類「規則型代理」工具之所以存在，正是靠這套機制。 ### 2. 封包處理：填表 vs 親手收發 個人級 VPN 的 App 比較像「填一張表」：給系統伺服器與帳號，系統引擎自己去建隧道、把整機流量送過去。App 不直接碰到你的網路封包。 裝置 VPN 的 App 走的是 Packet Tunnel Provider：系統會把一個虛擬網卡（utun 介面）交給 App 的 extension，你的每一個 IP 封包都會先流經這段 App 自己的程式碼，由它決定怎麼加密、送去哪、或者乾脆放行直連。這就是「分流」能力的技術來源——因為 App 親手摸得到每個封包，它才能按規則判斷「這個網域走代理、那個直連」。 ### 3. 權限（entitlement）：個人 vs 企業級 兩者要跟蘋果申請的權限不同。個人級 VPN 需要 Personal VPN entitlement；裝置 VPN 的 Packet Tunnel Provider 屬於 Network Extension entitlement，在分類上被歸為「企業／一般 VPN」（enterprise VPN）而非個人 VPN[1][3]。這也是為什麼設定頁會用「裝置」這個偏管理、偏系統層的字眼來標它。 ### 4. 能不能共存：一個關鍵的非對稱限制 這是最容易踩到、卻最少人知道的細節： - 一個「個人級 VPN」和一個「裝置 VPN」可以共存（兩種類別不同，系統允許同時安裝設定）。 - 但兩個「裝置 VPN」不能同時並存運作——兩個 Network Extension（企業級）VPN 無法共存[3]。 實務上，雖然設定可以同時躺在那裡，真正在轉送你流量的隧道同一時間只會有一條。所以你會遇到「開了 Shadowrocket，1.1.1.1 就自動斷線」這種現象——它們都是裝置 VPN，搶的是同一個出口。這也是為什麼截圖最上面那行系統提示會寫「若要使用『穿梭』連線，請使用『穿梭』應用程式」：這類裝置 VPN 的開關，最好回到各自的 App 裡操作，而不是用 VPN 頁最上面那顆系統總開關硬切。 ## 四、所以這個架構差異，長出了什麼功能差？ 把上面的技術差異翻成白話，就是兩類 VPN 的「人格」完全不同： 個人級 VPN ＝一鍵全量隧道。 它的設計目的是「把整機流量加密、丟到某個伺服器、換一個 IP」。簡單、穩定、整機生效，沒有複雜規則。這是傳統商業 VPN（換 IP、保護隱私、跨區）的典型形態。Goose VPN 屬於這類。它的操作很單純：系統設定頁那顆開關打開就連、關掉就斷。 裝置 VPN ＝可程式化的分流代理。 因為 App 親手摸每個封包，它能做「規則型路由」——哪些網域走代理、哪些直連、哪些直接擋掉。這讓它變成工程師和進階使用者愛用的工具（翻牆＋選擇性代理、廣告過濾、自訂節點切換）。1.1.1.1、穿梭、Shadowrocket 屬於這類。它的開關建議回各自 App 操作，因為規則、節點、模式都在 App 裡，系統頁那顆開關只是個粗略的總閘。 | | 個人級 VPN | 裝置 VPN | |---|---|---| | iOS 機制 | `NEVPNManager`（Personal VPN） | `NETunnelProviderManager`（Packet Tunnel） | | 底層協定 | 內建 IKEv2 / IPsec | App 自訂（WireGuard、各種代理協定…） | | 封包誰處理 | 系統內建引擎 | App 自己的 extension | | 招牌能力 | 全量隧道、一鍵換 IP | 規則型分流、自訂節點 | | 操作入口 | 系統設定開關即可 | 建議回各自 App | | 共存性 | 可與一個裝置 VPN 共存 | 兩個裝置 VPN 不能並存 | | 典型代表 | Goose VPN | 1.1.1.1、穿梭、Shadowrocket | 這張表的關鍵落在「共存性」與「操作入口」兩列：個人級 VPN 走系統內建引擎、可以跟一個裝置 VPN 並存，但兩個裝置 VPN 互斥；裝置 VPN 的規則都設定在各自 App 裡，系統設定頁的開關只是總閘，不是控制台。搞懂這兩點，才知道自己現在到底開了哪一種、能不能同時疊用。 ## 五、那我到底該開哪個？ 回到最實際的問題。判斷其實很簡單，看你要的是哪一件事： - 只想換 IP、加密、保護隱私、跨區看內容 → 用個人級 VPN（傳統商業 VPN）。一鍵全機生效，最省事。 - 想精準控制「哪些流量走代理、哪些直連」，或要用特殊協定／自訂節點 → 用裝置 VPN（規則型代理工具）。功能強，但要花時間設定規則。 還有兩個提醒收尾： 1. 同時間只有一條隧道真的在跑。 別期待「Goose 換 IP」加上「Shadowrocket 分流」疊著用——開了一個，另一個通常就被頂掉。要嘛全量、要嘛分流，二選一。 2. 開關位置別搞錯。 個人級 VPN 在系統設定頁開關就好；裝置 VPN 回各自 App 開，才看得到完整的規則與節點選項。如果你在系統頁切裝置 VPN 切得很卡，那不是壞掉，是它本來就該在 App 裡操作。 說到底，iPhone 設定頁那兩個區塊，不是在區分「VPN 管得多還是少」，而是在告訴你一件事：這條 VPN 的引擎，是蘋果內建的，還是 App 自己帶來的。 看懂這一點，那兩個一直讓你疑惑的標題，就再也不會混淆了。 --- ## FAQ ### iPhone 的「裝置 VPN」和「個人級 VPN」到底差在哪裡？ 差別不在於哪個管的流量範圍比較大——兩者其實都能接管整支手機的網路流量；真正的差異是這條 VPN 連線的「引擎」是誰提供的，個人級 VPN 用 iPhone 內建的引擎（只支援 IKEv2、IPsec 協定），裝置 VPN 則是 App 自己帶引擎進來（透過 Network Extension 框架，能做規則型分流）。 ### 個人級 VPN 和裝置 VPN 分別對應 iOS 的哪個技術類別？ 個人級 VPN 對應 `NEVPNManager`（Personal VPN），只能使用 iOS 內建支援的 IPsec 與 IKEv2 協定；裝置 VPN 對應 `NETunnelProviderManager`（Packet Tunnel Provider），讓 App 的 extension 自己實作整套隧道邏輯，因此能跑 WireGuard 等自訂協定，而 `NETunnelProviderManager` 在程式上其實是 `NEVPNManager` 的子類別。 ### 為什麼裝置 VPN 能做到「分流」，個人級 VPN 不行？ 因為裝置 VPN 走 Packet Tunnel Provider，系統會把一個虛擬網卡（utun 介面）交給 App 的 extension，使用者的每一個 IP 封包都會先流經 App 自己的程式碼，由它決定怎麼加密、送去哪，或乾脆放行直連；個人級 VPN 的 App 則比較像「填一張表」，把伺服器與帳號交給系統引擎處理，App 不直接碰到網路封包，因此做不到規則型的分流。 ### 個人級 VPN 和裝置 VPN 可以同時開啟使用嗎？ 一個「個人級 VPN」和一個「裝置 VPN」可以共存，但兩個「裝置 VPN」不能同時並存運作，因為兩個 Network Extension（企業級）VPN 無法共存；實務上同一時間只會有一條隧道真正在轉送流量，所以會出現「開了 Shadowrocket，1.1.1.1 就自動斷線」的現象。 ### 換 IP 保護隱私該用個人級 VPN，還是用裝置 VPN 做分流？ 只想換 IP、加密、保護隱私、跨區看內容，適合用個人級 VPN（傳統商業 VPN），一鍵全機生效、最省事；想精準控制哪些流量走代理、哪些直連，或要用特殊協定、自訂節點，則適合用裝置 VPN（規則型代理工具），功能較強但要花時間設定規則。 ## 參考來源 1. Apple Developer Documentation — *NETunnelProviderManager*（Network Extension framework）：https://developer.apple.com/documentation/networkextension/netunnelprovidermanager 2. Apple Developer Documentation — *NEVPNManager*（Personal VPN）：https://developer.apple.com/documentation/networkextension/nevpnmanager 3. Alex Grebenyuk, "VPN, Part 1: VPN Profiles"（kean.blog，Network Extension / Personal VPN vs Enterprise VPN 整理）：https://kean.blog/post/vpn-configuration-manager ## 常見問題 ### iPhone 的「裝置 VPN」和「個人級 VPN」到底差在哪裡？ 差別不在於哪個管的流量範圍比較大——兩者其實都能接管整支手機的網路流量；真正的差異是這條 VPN 連線的「引擎」是誰提供的，個人級 VPN 用 iPhone 內建的引擎（只支援 IKEv2、IPsec 協定），裝置 VPN 則是 App 自己帶引擎進來（透過 Network Extension 框架，能做規則型分流）。 ### 個人級 VPN 和裝置 VPN 分別對應 iOS 的哪個技術類別？ 個人級 VPN 對應 NEVPNManager（Personal VPN），只能使用 iOS 內建支援的 IPsec 與 IKEv2 協定；裝置 VPN 對應 NETunnelProviderManager（Packet Tunnel Provider），讓 App 的 extension 自己實作整套隧道邏輯，因此能跑 WireGuard 等自訂協定，而 NETunnelProviderManager 在程式上其實是 NEVPNManager 的子類別。 ### 為什麼裝置 VPN 能做到「分流」，個人級 VPN 不行？ 因為裝置 VPN 走 Packet Tunnel Provider，系統會把一個虛擬網卡（utun 介面）交給 App 的 extension，使用者的每一個 IP 封包都會先流經 App 自己的程式碼，由它決定怎麼加密、送去哪，或乾脆放行直連；個人級 VPN 的 App 則比較像「填一張表」，把伺服器與帳號交給系統引擎處理，App 不直接碰到網路封包，因此做不到規則型的分流。 ### 個人級 VPN 和裝置 VPN 可以同時開啟使用嗎？ 一個「個人級 VPN」和一個「裝置 VPN」可以共存，但兩個「裝置 VPN」不能同時並存運作，因為兩個 Network Extension（企業級）VPN 無法共存；實務上同一時間只會有一條隧道真正在轉送流量，所以會出現「開了 Shadowrocket，1.1.1.1 就自動斷線」的現象。 ### 換 IP 保護隱私該用個人級 VPN，還是用裝置 VPN 做分流？ 只想換 IP、加密、保護隱私、跨區看內容，適合用個人級 VPN（傳統商業 VPN），一鍵全機生效、最省事；想精準控制哪些流量走代理、哪些直連，或要用特殊協定、自訂節點，則適合用裝置 VPN（規則型代理工具），功能較強但要花時間設定規則。