始终开启在系统框架里管什么
Android 自 7.0（API 24）起提供 always-on VPN。系统可在开机时拉起已授权的 VPN 服务，并在设备保持开机期间维护该服务生命周期。官方写明：启停由系统负责，通往网关的隧道仍由应用继承的 VpnService 建立。Clash Meta for Android 是 Clash.Meta 的图形界面，仓库要求最低 Android 5.0、建议 7.0 及以上，与始终开启的版本门槛对齐。讨论该选项时应看系统 VPN 策略，而不是把应用内一次手动连接当成系统保活。
始终开启不等于隧道一定可用。应用仍须完成 VpnService.prepare() 授权，配置本地 TUN 并调用 establish()。权限被撤销或 establish() 返回空，就不会有可用接口。Android 8.0 及以上，始终开启若断开或无法接通，系统会给出不可消除通知；重新连通或关闭该选项后通知消失。活动连接还会在状态栏显示钥匙图标，并在快捷设置托盘提供信息面板。
按日常节奏判断要不要开
先对照使用频率。若希望重启后不必再进应用发起连接、由系统维持同一服务，始终开启才对应官方设计。若只是短时排查，系统接管启停后，应用侧再提供断开控制会与设置页冲突；文档要求始终开启场景下停用这类断开界面，因为连接由系统和设置应用控制。
再对照流量策略。始终开启只回答“服务要不要被系统拉起”。另有一项可阻止不走 VPN 的连接：打开后，设置页会警告 VPN 连通前可能没有互联网。日常若仍需在隧道未就绪时使用门户认证页或系统网络，只开始终开启、先不要开拦截，更符合“尽量维持服务且设备还能联网”。只有明确接受连通前可能无网，才适合叠加拦截，二者不能当成同一个开关。
还要承认互斥：每个用户或工作资料同一时间只能有一个活动 VPN 服务，启动新服务会自动停止旧服务；也只能有一个当前已准备的 VPN 应用。仓库给出的包名为 com.github.metacubex.clash.meta。设备上若还有其他 VPN 客户端，始终开启绑定哪一个，重启后被拉起的就是哪一个。
适用条件、操作顺序与失败下一步
适用条件：系统不低于 Android 7.0；设备满足 Clash Meta 建议版本；该应用曾出现系统连接请求对话框并被确认信任；在 Settings > Network & Internet > VPN 能看到该应用，且可配置系统选项或忘记该 VPN。
顺序上应先完成应用侧配置并成功建立过一次连接，确保授权已写入系统，再进入上述 VPN 页打开始终开启。从未同意连接请求就依赖开机自启，缺少官方所述的准备步骤。
判断依据：重启后服务由系统经 onStartCommand() 拉起；状态栏出现钥匙图标或快捷设置出现信息面板；连不上时，Android 8.0 及以上应留下不可消除的断连通知。
若没有这些现象：检查是否被其他 VPN 应用抢占；在 VPN 页确认始终开启仍开启、应用未被忘记。断开、忘记应用或关闭始终开启，系统都会停止活动连接并调用 onRevoke()，此时流量已改走其他接口。仍异常时，先关闭始终开启，改由应用手动启动，区分是系统保活失败还是本地接口未能建立。应用若在清单中声明不支持始终开启，系统会禁用设置里的相关控件，这属于能力声明，不是配置错误。
参考资料： https://developer.android.com/develop/connectivity/vpn https://github.com/MetaCubeX/ClashMetaForAndroid