入口：高级 → VPN 隧道 → Apple 系统 VPN。选项依据系统版本和 App 版本的能力显示。

始终开启与按需连接

“始终开启”默认关闭。开启后请求系统在可用网络上建立连接，基于 Apple 按需机制实现；不等于受监督设备的 Always On VPN，也不承诺所有流量永远不会离开 VPN。

关闭“始终开启”后显示“按需连接”，后者也默认关闭。

Wi-Fi 规则包含两个独立列表：

• 连接这些 Wi-Fi 时自动连接 VPN。
• 连接这些 Wi-Fi 时断开 VPN。

使用完整、准确的 SSID 名称，同一名称不能同时出现在两边。未列出的 Wi-Fi 保持当前连接行为，不隐式归入任一列表。

iOS 另外设置蜂窝网络动作，macOS 另外设置 Ethernet 动作，分别选择自动连接或断开。保存后应用策略。

接管全部流量

默认关闭；开启后显示四个排除选项，在支持的系统上默认均开启：

• 局域网
• 蜂窝服务
• Apple 推送通知
• 与已连接 Apple 设备的通信

这些是系统层例外，与 Xray 路由规则不同。不当组合可能导致网络不可用，或影响本地服务。不了解影响时，请保留默认值。

绕过 VPN 的网段

关闭“接管全部流量”后，可在独立网段页面添加 IPv4/IPv6 CIDR，例如 192.168.50.0/24。默认列表为空，不自动排除全部私网。填写的网络由系统绕过 VPN，不再进入 Xray 路由。

重新开启“接管全部流量”会保留列表但停用它；关闭 IPv6 时也保留 IPv6 条目，但不应用。修改有效列表后保存，当前 VPN 需要重新连接。

排除网段不会自动修改 DNS，也不提供自动企业 Split DNS。需要解析内网域名时，还应配置路由本地 DNS。

隐藏 VPN 图标（iOS/iPadOS）

在本页开启“隐藏 VPN 图标”。此选项默认关闭，仅在 iOS/iPadOS 显示，不适用于 macOS 或其他平台。

仅在“接管全部流量”关闭时生效。开启全流量接管后，隐藏图标开关会停用，但保留已保存的选择。不要仅为隐藏图标而关闭原本需要的全流量接管。保存有效变更后，已连接的 VPN 需要确认并重新连接；未连接时在下次连接生效。

App 保留默认隧道路由，在运行时追加 0.0.0.0/31 排除网段；启用 IPv6 时再追加 ::/127，关闭 IPv6 时不添加 IPv6 路由。无需手动填写这些网段，它们不会写回用户的排除列表，也不会改写 Xray 配置或 VPN 连接状态。该设置对常规配置和 Raw JSON 均适用，但不能通过导入 Xray JSON 设置。

这是利用系统路由行为间接隐藏图标，不保证所有 iOS/iPadOS 版本的显示效果一致，并可能影响 Wi-Fi 与蜂窝网络切换。请在真机上检查网络切换和锁屏恢复；出现异常时关闭此选项并重新连接。图标是否显示不能作为 VPN 是否连接的判断依据。

隧道 DNS over TLS

Apple 隧道设置提供 DNS over TLS。DNS 地址和服务器域名在VPN 隧道中修改，默认域名为 dns.google；地址、域名和服务的 TLS 证书必须匹配。这是平台 DNS 选项，不替代 Xray 的本地／代理 DNS。

macOS 版本与退出

Mac App Store 使用 Packet Tunnel，OneXraySE 使用 System Extension，后者不提供 Xray 文件日志区域。

关闭窗口只隐藏 App。“退出”不停止系统 VPN；“退出并停止 VPN”先断开再退出。需要停止隧道及其按需连接行为时，请使用后者。