Android 提供了 VpnService.protect 来解决这个问题。调用 protect 后系统会把这个 socket 排除在虚拟网络路由之外——它发出的数据走物理网卡，不经过 TUN 接口。

VpnService 通过 Builder 类来配置虚拟网络参数。下面是 WeakNet 的实际配置代码：

我Yi经允许客户端VPN安全组中的所有流量。.返回腾讯云官网AWS VPC将流量路由到客户端VPN连接关注问题社区首页 问答首页 AWS VPC将流量路由到客户端VPN连接问AWS VPC将流量路由到客户端VPN连接 ENStack Overflow用户提问于2019-05-13 23:25:06回答 1查kan 339关注 0票数 0我Yi经成功地配置了到运行OpenVPN的计算机的AWS Client VPN连接。我Ke以访问我的VPC上的任何设备,我允许访问这些设备...

vpnInput.read 会阻塞。 因为前面设置了 setBlocking，当 TUN 接口没有数据时read 会一直阻塞，不消耗 CPU。有数据到来时read 返回这一次读到的字节数。每次 read 返回的恰好是一个完整的 IP 数据包——这是 TUN 设备的语义决定的。

VpnService 是怎么工作的？

setMtu — 设置 TUN 接口的Zui大传输单元。 是以太网标准 MTU，几乎所有网络设备dou支持。geng大的值可Neng被中间路由器分片，geng小的值浪费带宽。

TUN 设备的工作原理

TUN 设备是一种特殊的虚拟网络设备，它工作在 IP 层，和普通的物理网卡并列存在。

VpnService 的核心Neng力是创建一个虚拟的 TUN 网络接口。

TUN 接口的数据读取

setBlocking — 让 TUN 文件描述符的 read 和 write 在没有数据时阻塞当前线程，而不是立即返回。替代方案是设置为 false 然后轮询，但轮询会不断消耗 CPU，对于需要长时间运行的网络服务来说不可接受。阻塞模式下线程在没有数据时会挂起，不占 CPU，直到有数据到来才被唤醒。

TUN fd 的阻塞读与中断

Thread.interrupt对 TUN 文件描述符的 FileInputStream.read 无效。

说实话，这个问题困扰了我hen久。直到我发现关闭 fd 是唯一可靠的方法——哈哈，这算是歪门邪道了吧，但确实有效！你懂的。

Zui直觉的写法是

addRoute

但在部分国产 ROM 上，事情就不那么美好了。某些厂商对 Android 的网络管理模块Zuo过定制，部分版本的 ROM 在处理

0.0.0.0/0

// 用两条 /8 路由代替 ./0：部分厂商 ROM 对 / 路由有兼容性问题，会直接忽略
builder.addRoute;
builder.addRoute; 

为什么百度不收录我的文章呢？ 可Neng是因为内容不够原创，或者关键词优化不到位。 咱就是说要想被收录，就得确保内容有自己的特色，别人才愿意收录你的嘛。

当手机上的 App 发出网络请求时系统查找路由表，发现目标 IP 匹配某个特定范围，于是把数据包发给 TUN 接口。

应用进程从 TUN 读到这个包，解析目标地址，创建经过protect 处理的 socket 连接到目标服务器，把数据转发出去。

远端服务器返回的响应通过这个 socket 回到应用进程，应用进程再把响应写回 TUN 接口。

系统从 TUN 读到响应，交给发出请求的 App。

这一过程就像一个闭环，你的数据流转自如既保证了安全性，又实现了灵活的数据处理。

下一篇，我们来拆解IP 数据包的解析过程，以及 WeakNet 如何实现 DNS 故障模拟的功Neng设计思路和具体实现步骤等相关技术细节内容等...

整个链路就这样闭环了。

路由配置是 VpnService 里Zui容易踩坑的地方。

Android 客户端流量拦截，主要依赖VpnService类服务拦截流量，其本质是建立了一个虚拟网卡 /dev/tun 文件，可在启动网卡建立连接前设置路由表、分包规则等...