快连kuailian如何为单个应用配置独立代理并跳过局域网？
功能定位：为什么需要“单应用独立代理”
在跨境办公或流媒体解锁场景下，kuailian的“分应用双通道”允许把指定 App 的流量单独送进加密隧道，其余流量仍走本地网络。这样既避免公司 SaaS 被判定异地登录，又能让国内网银、局域网打印机等直接通行，减少来回切换的麻烦。
2026-04-28 发布的 v4.3.0 把 Split-Tunneling 升级到 3.0，粒度从“包名”细化到“进程+域名”二级匹配，并支持局域网跳过开关，官方文档明确写入“合规与数据留存”章节，意味着规则可被本地审计日志记录，满足部分外企的 IT 抽检要求。
版本差异与迁移检查表
| 客户端 | 最低可用版本 | 新增能力 | 迁移注意 |
|---|---|---|---|
| Windows | 4.3.0 | 快捷脚本接口 | 旧版导入订阅需删除 plist 后重启 |
| macOS | 4.3.0 | 同上 | 若提示“无法加载配置”，终端执行官方清理命令 |
| Android | 4.3.0 | 加密 DNS 前置 | 与三星 Knox 冲突时需刷入 DNSPatch-KL 模块 |
| iOS | TestFlight 4.3.1 | 分应用双通道 | 企业签名包需每周手动刷新描述文件 |
提示：版本号以各自应用商店或 TestFlight 页显示的“截至当前的最新版本”为准，切勿使用来路不明的安装包。
操作路径：最短三步完成“单应用独立代理+局域网跳过”
Android 示例（路径差异已标注）
- 打开kuailian → 底部导航“分流” → 右上角“+” → 选择“按应用”。
- 在应用列表勾选目标 App（如 Zoom）→ 进入详情页 → 打开“局域网跳过”开关（默认关闭）。
- 返回主界面 → 启动连接 → 下拉通知栏可见“Split-App: Zoom, LAN Bypass”字样，表示规则生效。
Windows / macOS 示例
- 主界面左侧“分流规则” → 新建 → 类型选“Process” → 填写进程名（zoom.exe）→ 勾选“Skip Local Network”。
- 若需脚本自动化，可在“快捷脚本”页签插入 Python 示例（官方库名 quicklink_sdk，函数 add_process_bypass）→ 保存后点“热重载”。
iOS 示例
由于系统限制，iOS 端的分流列表依赖“privacy tool 配置描述文件”，首次勾选 App 后会弹出“安装描述文件”提示，按系统指引完成即可；局域网跳过复用 Apple 原生“On-Demand 规则”，可在“设置-通用-privacy tool 与网络-快连描述文件”里看到“ExcludeLocalNetworks”键值。
例外与取舍：哪些地址建议强制直连
经验性观察：国内网银、政府 CA 证书验证、企业内网 Git 仓库往往使用私有 IP+非标准端口，一旦被代理会导致 TLS 握手失败。可在“例外 IP 段”里填入 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16，并勾选“跳过私有地址”，这样即使忘记给某个财务 App 打标签，也能兜底直连。
警告：若你所在公司使用零信任网关（如 Zscaler、SASE），请把企业根域名加入“强制企业通道”，否则会出现“双跳”导致延迟飙升。
验证与观测方法
- 使用系统自带“资源监视器”或“活动监视器”，查看目标进程的发送字节是否经过快连虚拟网卡（Windows 名称为 quicklink-tap0）。
- 在 Android 端，开发者选项开启“网络使用情况”→ 选择目标 App → 观察“privacy tool 连接”列是否持续有上行流量；若局域网跳过生效，访问 192.168.1.1 时该列应保持 0 B。
- macOS 可在终端执行
netstat -rn | grep 192.168，若看到“link#X”而非“utunX”，说明本地流量未进隧道。
故障排查：规则不生效的四种常见原因
| 现象 | 可能原因 | 验证动作 | 处置 |
|---|---|---|---|
| 局域网打印机无法发现 | mDNS 广播被隧道隔离 | 在同一网段抓包，看 224.0.0.251 是否有回包 | 把 224.0.0.0/24 加入例外段 |
| 分应用开关灰色 | 系统未授予“读取应用列表”权限 | Android 设置里搜索“应用权限” | 手动开启后重启快连 |
| iOS 描述文件安装失败 | MDM 策略禁止自定义 privacy tool | 联系公司 IT 查看配置描述文件限制 | 改用企业通道白名单 |
| 脚本热重载报错 | 函数名大小写错误 | 查看客户端日志“quicklink-script.log” | 对照官方 SDK 示例修正 |
适用/不适用场景清单
- 适用：①海外 Zoom/Teams 会议；②Netflix 4K 区域解锁；③BT 下载隐藏真实 IP；④开发机只让 Docker 走代理，本地 yum/apt 保持直连。
- 不适用：①需要全局出口 IP 固定的广告归因测试；②金融类 App 强制检测根证书（会因中间人告警拒绝登录）；③IPv6-only 内网（快连目前仅支持 IPv4 局域网跳过）。
最佳实践：四条决策规则
- “先白后黑”——先把必须代理的 App 加入白名单，其余默认直连，减少维护量。
- “例外兜底”——私有网段、CA 证书服务器、打印机 mDNS 一律写进全局例外，避免事后救火。
- “稳定性优先”——AI 智能线路若导致 IP 频繁漂移，手动把切换阈值调到 150 ms 以上或直接关闭。
- “季度审计”——每三个月导出一次分流配置（设置-配置管理-导出 JSON），连同客户端日志打包留存，满足合规抽查。
FAQ（使用 FAQPage Schema）
分应用双通道与旧版 Split-Tunneling 有何区别？
双通道把企业流量与娱乐流量拆成两条物理隧道，可分别设置节点与带宽优先级；旧版仅单隧道内做进程匹配，无法隔离带宽抢占。
局域网跳过是否影响 Chromecast 投屏？
只要 224.0.0.0/24 和 192.168.0.0/16 在例外列表，mDNS 广播可正常发现设备；经验性观察，投屏延迟无明显增加。
导出配置后，能否直接分享给同事？
可以，但 JSON 里包含你的节点订阅哈希，官方视为敏感信息。建议让同事只复制“rules”字段，自行插入个人订阅，避免共享码被封。
iOS 企业签名包每周掉签，有无长期方案？
截至当前最新版本，官方仅提供 TestFlight 与企业签名双通道；经验性观察，TestFlight 名额满后需等待下一轮公开招募，无永久免签版本。
收尾：下一步行动建议
完成上述配置后，建议立即用“资源监视器”验证目标进程是否仅通过虚拟网卡出站，并记录一次基准延迟。此后每季度复查规则，跟随官方版本更新日志调整例外段，即可在合规与性能之间保持平衡。若需批量部署，优先使用“导出 JSON+脚本热重载”方案，减少人工点选错误。
