鸿蒙OS VPN默认路由设置：0.0.0.0/0的正确用法

凌晨两点十七分，我盯着屏幕上第无数次跳红的节点延迟，手指无意识地敲着桌面。窗外是深圳湾沉默的灯火，而我的手机正疯狂震动——TG群里炸了锅，有人用链上工具追踪到一笔价值三千多万U的转账，手续费只花了0.0001个ETH，路径显示它从某个冷钱包出发，穿过七个中转地址，最终消失在混币器的黑洞里。群里的大佬甩出一张截图，配文：“这速度，这成本，鸿蒙VPN直连的吧？”

我苦笑了一下。三天前，我就是被这句话带进坑的。

那时我刚刚把主力机从某米换成了搭载鸿蒙OS 4.2的Mate 60 Pro。作为一个在币圈沉浮了六年的老韭菜，手机对我而言从来不只是通讯工具——它是我的冷钱包观察端、是链上交互的备用节点、是行情异动时唯一能让我在厕所隔间里完成止损的武器。但鸿蒙的纯净模式让我第一次感到窒息：某个我用了三年的去中心化VPN客户端，在鸿蒙上要么闪退，要么连上后所有币安App的流量全部走直连，IP地址赤裸裸地暴露在公共网络里。

“你得改默认路由。”阿杰在语音里说，背景音是他机械键盘噼里啪啦的响声，“鸿蒙的VPN框架和安卓不一样，它默认只把VPN接口当作一个可选出口，系统路由表里0.0.0.0/0那条默认路由还是指向物理网卡。你得手动把VPN的tun0接口的metric调到最低，或者直接加一条0.0.0.0/0 dev tun0。”

我听得云里雾里，但手上已经开始操作。开发者选项里打开“始终开启VPN”，在VPN配置里勾选“绕过局域网”，然后打开终端模拟器——鸿蒙居然内置了完整的Linux工具链，这让我有些意外。输入ip route show，果然，默认路由指向wlan0，而tun0只有一条10.8.0.0/24的局部路由。这意味着我的币安App、我的MetaMask、我的链上浏览器，所有流量都在裸奔。

“你知道这意味着什么吗？”阿杰的声音突然严肃起来，“如果你在公共WiFi下用TP钱包签名一笔交易，你的私钥签名请求会先经过物理网卡，再被VPN截获——但如果VPN只是局部路由，这个签名请求可能在你还没连上VPN的时候就已经发出去了。中间人攻击只需要一个ARP欺骗，你的助记词就没了。”

我后背一凉。想起上周在咖啡厅，隔壁桌那个一直盯着我屏幕的年轻人。

于是我开始折腾。鸿蒙的VPNService API和安卓原生几乎一致，但权限管理更严格。我尝试用adb shell进去手动加路由，发现需要root——而鸿蒙的root比登天还难。后来在XDA论坛上翻到一个帖子，说鸿蒙的VpnService.Builder在建立隧道时，如果调用addRoute("0.0.0.0", 0)，系统会弹出一个额外的确认框，询问是否允许所有流量通过VPN。这个确认框在安卓上是没有的，鸿蒙把它做成了显式的用户授权。

“这是好事。”阿杰说，“安卓上很多恶意VPN会偷偷把默认路由劫持了，你根本不知道。鸿蒙逼着你确认。”

但问题在于，即使我确认了，某些App——尤其是那些用了NetworkCapabilities检测的交易所App——依然会绕过VPN。它们通过ConnectivityManager查询当前网络是否“验证通过”，如果VPN被标记为“未验证”，它们就拒绝走VPN通道。币安App就是这样，它在检测到VPN后会直接断开网络连接，提示“请关闭VPN后重试”。

这就陷入了一个死循环：不开VPN，IP暴露；开VPN，App罢工。

真正的转机出现在一个周三的深夜。那天ETH突然拉升，我在床上用手机盯盘，手指悬在“市价买入”按钮上，突然发现VPN断流了。鸿蒙的状态栏显示VPN图标还在，但ip route里tun0的默认路由消失了。我紧急切到4G，才没错过那波行情。事后排查，发现是鸿蒙的“智能省电”策略在后台杀掉了VPN进程，而系统没有自动重建路由。

“你得用always-on VPN加上block connections without VPN。”阿杰说，“但鸿蒙的block功能有个坑——它会把所有非VPN流量全部阻断，包括你的短信和电话。你得在设置-移动网络-流量管理里把系统应用加白名单。”

我照做了。然后发现另一个问题：当VPN重连时，鸿蒙会重新协商路由，但某些情况下0.0.0.0/0这条路由会被拆分成两条0.0.0.0/1和128.0.0.0/1——这是OpenVPN的标准做法，为了避免和物理网卡的默认路由冲突。但鸿蒙的路由表里，这两条半默认路由的优先级居然低于wlan0的默认路由。这意味着VPN重连后，流量依然走物理网卡。

“手动加metric。”阿杰远程指挥，“ip route add 0.0.0.0/1 dev tun0 metric 50，然后ip route add 128.0.0.0/1 dev tun0 metric 50。metric要比物理网卡的低。”

我照做，然后ip route show终于显示：

default via 192.168.1.1 dev wlan0 metric 600 0.0.0.0/1 dev tun0 metric 50 128.0.0.0/1 dev tun0 metric 50

这意味着所有流量优先走tun0，只有当VPN断开时，才会回落到物理网卡。但鸿蒙的VPN框架有个特性：当VPN进程被杀死时，它会自动清理这些路由。所以如果系统省电策略杀掉了VPN，路由也会被清理，流量会瞬间回落到物理网卡——这就是我那天晚上断流的原因。

解决方案是写一个Tasker脚本，监听VPN状态，一旦发现tun0的路由消失，就立即通过adb重新添加。但鸿蒙的adb需要每次都弹授权框，根本没法自动化。后来我在酷安上找到一个叫“VPN Route Keeper”的开源工具，它利用鸿蒙的AccessibilityService模拟点击，在VPN重连时自动确认路由添加。虽然笨拙，但有效。

现在，我的手机终于成了一个可靠的链上终端。0.0.0.0/0这条默认路由稳稳地指向tun0，所有币安App、TP钱包、链上浏览器的流量都经过加密隧道。我甚至测试了在公共WiFi下签名一笔交易，用Wireshark抓包，确认没有DNS泄漏，没有WebRTC泄漏，TCP握手全部走VPN。

但故事还没完。上周，一个做MEV套利的朋友找我，说他的鸿蒙手机在跑套利机器人时，总是因为VPN路由抖动导致交易失败。我让他把0.0.0.0/0改成0.0.0.0/1加128.0.0.0/1，然后手动设置metric，再把VPN的mTu从1500调到1400——鸿蒙的移动网络对分片包处理有问题，MTU太大会导致部分交易所的API请求超时。

他照做后，套利成功率从60%飙升到92%。昨天他给我转了一笔0.5 ETH的“咨询费”，附言：“路由即财富。”

我收下了。然后打开鸿蒙的终端，再次输入ip route show，看着那条0.0.0.0/0 dev tun0，心里默默算了一笔账：如果这条路由能让我每次交易快0.3秒，一年下来，在套利市场上，这就是七位数的差距。

窗外天快亮了。TG群里还在讨论那笔三千万U的转账，有人贴出了新的链上分析，说那笔交易的路由路径异常干净，怀疑是用了某种“系统级VPN直连”。我笑了笑，锁屏，把手机扔到床头。

鸿蒙的VPN默认路由，说到底，就是一道选择题：你是让系统替你决定流量走向，还是自己握住那条0.0.0.0/0。在币圈，每一个字节的流向，都可能是一笔财富的归宿。而这条路由，就是你的财富在互联网上的第一道，也是最后一道防线。

明天，我打算把tun0的metric再调低10。毕竟，在链上世界，快0.1秒，就是另一个故事了。