Always-on VPN 锁定与 VPN 模式强制

什么是 Always-on VPN 锁定

Android 的 Always-on VPN 功能可以让设备始终保持某个 VPN 连接。但普通用户可以：关闭 VPN App、切换 VPN、甚至手动关掉 Android 设置里的 Always-on 开关。

Device Owner 的优势在于——强制 VPN 模式。OwnDroid 调用 DevicePolicyManager 的 setAlwaysOnVpnPackage() 后：

• VPN 断开会自动重连
• 用户无法在系统设置里关闭 Always-on VPN 选项
• 如果 VPN App 被禁用/卸载，设备会进入Blocked 状态（断网，直到 VPN 恢复）
• 还可以加上「锁 VPN」模式——防止流量绕过 VPN（split tunnel 被禁用，所有流量必须走 VPN）

操作步骤

1. 先装好 VPN App 并正常连接一次，确保 VPN App 支持 Always-on VPN
2. OwnDroid → 网络 → Always-on VPN
3. 选择 VPN App 的包名
4. 打开「强制 VPN 模式」（VPN Lockdown）
5. 打开「允许绕过 VPN」的应用白名单（可选，某些应用不走 VPN）

强制 VPN + DNS 过滤 = 家长控制

这是最强大的家长控制/自我管控组合：

1. 安装一个支持 DNS 过滤的 VPN App——比如 ReThinkDNS、Blokada、AdGuard Home 的 VPN 客户端
2. 在 VPN App 里配好要拦截的域名列表（色情、赌博、毒网站）
3. OwnDroid 强制 Always-on VPN + VPN Lockdown
4. 用户无法绕过 VPN → 所有 DNS 查询都经过过滤
5. 配合「阻止卸载 + 挂起 VPN App」，用户连关 VPN App 都做不到

GitLab 上的 GrapheneOS 自我管控方案就是这样组合 OwnDroid + ReThinkDNS 实现的。

Blocked 模式

如果 Device Owner 设置了 VPN Lockdown 而 VPN App 不在运行，Android 会进入 Blocked 状态——设备完全断网，直到 VPN 恢复连接。这是最强制的 VPN 策略，但要确保 VPN App 不会意外退出（比如被 MIUI 后台杀掉）。

MIUI/HyperOS 用户注意：务必把 VPN App 加入电池白名单（无限制），否则 VPN App 会被系统杀掉导致 Blocked 状态。

注意

• VPN Lockdown 模式下某些系统功能可能异常（比如 Android Pay/NFC 支付可能需要在白名单里）
• VPN App 本身不要放到 VPN 白名单外（它自己也需要网络连接才能工作）
• 设置 Always-on VPN 后如果想换 VPN App，先在 OwnDroid 里清除当前强制配置