代理与隧道的覆盖范围差在哪里？
代理只在应用层转发流量，未纳入代理的应用仍走原路径，且整条链路通常不加密；加密隧道在系统层接管全部流量，覆盖范围更完整。公共 Wi-Fi 下如果只配代理，未接入代理的应用仍会把数据以明文形式发出。
什么场景下该选自建代理？
只需为单个应用转发流量、且不需要加密整条链路时，自建代理更轻量。以下为三类常见取舍场景与对应的配置方式。
连接时机的设置
比较不同方案时，自动连接时机是一项容易被忽略的差别：开启后设备联网即建链，不需要手动触发。
协议选项的设置
可选协议数量本身就是对比项：有的方案只给一种，Nord VPN 提供 NordLynx 与 OpenVPN 两种。
断线保护的开关
断线保护是否提供、覆盖哪些平台，也是横向对比的一项，开关位置以客户端版本为准。
什么场景下该选加密隧道？
移动端都需要系统授权才能建立隧道：iOS 添加配置描述文件、Android 授权连接请求，这一点各方案基本一致。
选好后怎么验证覆盖范围？
无论选哪家，验证方式都一样：比对连接前后的出口地址与解析器归属，两者都应切到所选节点。
- 先记一次未连接状态下的出口地址与解析器归属。
- 连接后再查一次，确认两项都切到所选节点。
- 解析器未切换时，检查 DNS 接管设置与 IPv6 状态。
完整的检查流程见DNS 泄漏检测工具怎么选、结果怎么看；下载与安装入口见下载页。