快连内外网分离配置流程与检查项

快连隧道拆分配置流程

安装本身很简单，真正需要留意的是分流初始化这一步——它是客户端第一次为你的设备建立规则上下文，做对了后面基本不用再管。

快连Windows 端分流初始化

下载安装包后运行向导，需要管理员权限，因为要安装分流所需的虚拟网卡与过滤驱动。安装完成后首次启动，客户端会请求创建分路规则的表结构，这一步大约需要三秒。Windows 端的分流能力最完整，支持进程指纹与 SNI 双通道识别。

如果安装过程提示驱动签名问题，通常是因为系统策略较严，可在"设置 → 隐私和安全性 → Windows 安全中心"中确认驱动来源后放行。不要通过关闭驱动签名强制校验的方式绕过，那会削弱系统安全性。

快连macOS 端分流初始化

将应用拖入 Applications 后首次运行，需要在"系统设置 → 隐私与安全性"中允许系统扩展。macOS 的分流实现基于 NetworkExtension 框架，无法使用底层 TUN，因此进程指纹的采集深度略低于 Windows，我们会用安装路径特征做补偿。

Apple Silicon 与 Intel 使用不同构建，下载页会自动识别。如果你开启了"隐私保护 → 限制 IP 地址跟踪"，不影响分流功能，但会限制部分诊断数据的采集粒度。

快连Android 端分流初始化

安装后需要在系统弹窗中授予 VPN 权限——这是 Android 上实现流量分流的必要前提，系统不允许第三方应用绕过 VpnService。授予后客户端会建立本地分流点，所有应用流量都经过它做判断。

Android 7 之后系统强制使用 VpnService，我们无法做驱动级拦截，分流在用户态完成。这意味着分流的精度依赖应用信息接口，部分定制系统可能限制该接口，此时可开启"宽松识别"提高覆盖率，代价是粒度变粗。

快连iOS 端分流初始化

通过 App Store 安装。iOS 是四个平台中限制最多的：Apple 不允许第三方 VPN 客户端使用驱动级流量处理，只能走 NetworkExtension，因此 iOS 端不支持按进程粒度的分流。我们采用按目标地址与 SNI 的两级识别来补偿，对绝大多数场景已经够用。

需要说明的是，如果某个应用在 iOS 上既访问国内服务又访问海外服务，且两者域名相同（少见但存在），iOS 端无法拆分，只能整体二选一。这是平台约束，不是功能取舍。

快连把分流配准的 7 步心法

这 7 步来自我们支持团队 12 个月里被问得最多的问题。按顺序做一遍，之后基本不需要再动规则。

快连第 1 步：先观察，别急着改

装好之后不要立刻加规则。先正常使用一天，让客户端自己判断。晚上打开分流诊断面板，看看哪些应用的判定来源是"默认策略"——那才是真正需要你干预的地方，通常不超过三五个。

快连第 2 步：把合规系统的规则锁死

优先处理有合规要求的系统：企业内网、财务、ERP、政务。把它们加入直连白名单，并选择"强制直连"而非"优先直连"。区别在于强制直连会阻断其进入加速隧道的可能，不依赖任何自动判断的准确性。

快连第 3 步：处理同域名的多应用

如果你在用企业微信、钉钉这类"一家公司多个 App 共用域名"的产品，确认进程指纹识别是否生效。在诊断面板里搜索该应用，看判定来源是否显示"进程指纹"。如果显示"地址库"，说明指纹未识别到，需要开启宽松匹配。

快连第 4 步：给游戏单独定策略

游戏客户端通常同时连接国内登录服与海外对局服，建议保持默认的按连接判断，不要按进程整体指定。如果某个游戏对局延迟偏高，再单独把该游戏的进程加入加速名单。

快连第 5 步：检查内网域名

公司内网域名（如 *.corp.example）往往不在公共地址库中，容易被判为海外域名而走加速，导致内网系统无法访问。把它们批量加入直连白名单即可。这一步在企业环境里几乎每次都需要做。

快连第 6 步：用诊断面板做一次验收

配置完成后，打开诊断面板，对照下面三项验收：国内流量出境次数为 0；目标应用全部显示正确的判定来源；没有出现"规则冲突"提示。三项都通过，说明分流配置已经稳了。

快连第 7 步：把结果反馈给我们

如果你发现某个国内服务被误判为海外、或某个海外服务该加速却走了直连，请通过客户端的反馈入口提交。这类反馈是我们扩充地址库的主要来源——我们希望规则库的覆盖来自真实使用，而不是拍脑袋列举。