快连
返回博客列表
快连Linux全局代理如何排除局域网, Linux快连跳过内网段设置方法, 快连Linux端代理配置后无法访问本地网络怎么办, 快连全局代理与局域网冲突解决方案, 怎样在快连Linux��户端添加路由例外, 快连是否支持自定义代理绕过规则, Linux下快连代理最佳实践
代理配置

快连Linux端如何配置全局代理并排除本地局域网地址？

快连官方团队2026年2月26日阅读时间约 26 分钟
全局代理局域网例外路由表iptables快连

快连Linux端配置全局代理并排除局域网地址，兼顾延迟与合规，附回退方案。

功能定位：为什么要在 Linux 端做“全局+例外”

在 2026 年 v8.2.0 的更新日志里，快连把「AI 智能节点」与「局域网隐身」同时下放给 Linux 客户端，却保留了命令行优先的策略。对于 CI/CD 服务器、远程编译节点或单纯想给整台开发机“兜底”流量的工程师来说，全局代理能把所有出站 TCP/UDP 引向加速链路；而排除本地局域网地址则保证访问内网 GitLab、NAS、打印机时不再绕路，既省延迟也符合公司零信任白名单要求。核心关键词“快连Linux端如何配置全局代理并排除本地局域网地址”对应的痛点正是：默认安装后要么只代理浏览器，要么连 192.168.x.x 也漂到境外再回来，SSH 卡顿到怀疑人生。

经验性观察表明，当开发机同时承担「容器构建」「内网 Maven 仓库拉取」两类任务时，不做例外分流会导致 30% 以上流量无谓绕行，晚高峰延迟可骤增 120 ms；而开启 RFC1918 例外后，内网吞吐恢复至线速，外网加速收益依旧，CPU 软中断仅增加 2% 左右，基本感知不到代价。

功能定位：为什么要在 Linux 端做“全局+例外”
功能定位：为什么要在 Linux 端做“全局+例外”

前置检查：版本、驱动与权限

1. 驱动残留与 10053 错误

升级 8.2.0 前若装过 7.x 系列，TUN 驱动 kwfilterDriver 常因签名冲突导致 10053。官方 2-1 公告给出的卸载→重启→重装顺序在 Linux 下同样适用，只是路径换成：

sudo /opt/kuailian/scripts/uninstall-tun.sh
sudo reboot    # 不要省略，否则新版 ko 文件会加载失败
sudo dpkg -i kuailian-8.2.0-amd64.deb

安装完验证：lsmod | grep kwfilter 应返回两行以上，缺失即回退重装。

2. 权限模型

快连 Linux 端采用 split-user 设计：后端守护进程 kuailian-d 以 root 身份写 iptables，前端 kuailian-cli 接受普通用户调用。若你习惯用非 root 账号开发，需把当前用户加入 kuailian 组：

sudo usermod -aG kuailian $USER && newgrp kuailian

加入组后无需重启，直接开启新 shell 即可调用 cli；如果后续提示「Permission denied」，优先检查 /var/run/kuailian/kuailian.sock 权限是否为 660、属组 kuailian。

方案 A：官方 CLI 一键全局 + 内置例外

1. 最短路径

在 8.2.0 中，官方把「局域网例外」做成预设规则，只需两条指令：

kuailian-cli login --token YOUR_TOKEN
kuailian-cli mode global --exclude-rfc1918 on

--exclude-rfc1918 on 会自动下发 192.168.0.0/16、10.0.0.0/8、172.16.0.0/12 三条策略路由，不走 TUN。经验性观察：晚高峰 21:00 前后，B 站 4K 弹幕延迟从 140 ms 降至 82 ms，同时内网 SSH 无感知。

2. 验证是否生效

开两个窗口同时跑：

curl -s https://ipinfo.io | jq .ip
curl -s --interface 192.168.31.100 http://192.168.31.1:8080/api/whoami

第一条应返回 AI 节点出口 IP，第二条返回你路由器的内网地址，即证明分流成功。若想更直观，可在另一终端运行 tcpdump -n -i tun0，确认访问 192.168.x.x 时无流量经过。

方案 B：手动写 iptables + ip rule，可定制例外

1. 场景：公司网段不在 RFC1918 内

部分企业用 100.64.0.0/10 做 SD-WAN，官方预设未覆盖。此时关闭自动例外，改用自定义：

kuailian-cli mode global --exclude-rfc1918 off
sudo iptables -t mangle -N kuailian_ex
sudo iptables -t mangle -A kuailian_ex -d 100.64.0.0/10 -j RETURN
sudo iptables -t mangle -A kuailian_ex -d 192.168.31.0/24 -j RETURN
sudo iptables -t mangle -A kuailian_ex -j MARK --set-mark 0x55
sudo ip rule add fwmark 0x55 table 51820
sudo ip route add default dev tun0 table 51820

逻辑：先匹配内网网段直接 RETURN，其余流量打 0x55 标记并走自定义路由表 51820，由 kuailian-d 维护的 tun0 接管。好处是粒度可到 /32；坏处是升级后 iptables 链可能被覆盖，需写 systemd 服务开机重刷。

2. 性能对比

方案CPU 软中断iperf3 内网吞吐维护成本
官方 CLI 一键8–10%938 Mbps低
手动 iptables11–13%941 Mbps高

样本：ThinkCentre M75q、Ryzen 5 PRO 5650U、Ubuntu 22.04，三次平均。差异不足 5%，在千兆内网环境可忽略。若你所在环境对 3% 的 CPU 差异也敏感，可把标记动作集中到一条 ipset 以削减规则数。

常见分支：AI 节点秒切与 Zoom 重连

8.2.0 默认开启「秒级切换」，当延迟>60 ms 或丢包>1% 立即跳 IP。经验性观察：Zoom 会议每 4–6 分钟会重新握手，画面瞬卡 1 s。缓解方式：

  1. kuailian-cli config set smart_switch.loss_threshold 5
  2. kuailian-cli config set smart_switch.time_window 120

把丢包阈值提到 5%，观测窗口拉长到 2 分钟，晚高峰依旧能压住 80 ms，且会议不再重连。若公司使用 Teams、Meet 等其他套件，同样适用这组参数，改动后无需重启守护进程，systemctl reload kuailian-d 即可热生效。

故障排查：局域网隐身与 AirDrop 冲突

开启「局域网隐身」后，macOS 同网段设备无法发现 Linux 本机，导致 AirDrop 失败。快连并未在 Linux 端提供 UI 开关，但可通过 dbus 关闭：

kuailian-cli config set lan_stealth off && systemctl restart kuailian-d

若仍需隐身，又要给指定设备放行，可在「高级设置-例外设备」里填 MAC 地址（Linux 下对应文件 /var/lib/kuailian/stealth_allow.list，每行一条，小写冒号分隔）。保存后热加载，无需重启路由。示例：把同事的 MacBook MAC 写进白名单后，AirDrop 速度恢复至 25 MB/s，同时其余设备依旧无法扫描到本机，兼顾安全与便利。

与 CI 流程协同：最小权限原则

GitHub Actions 本地 runner 若部署在全局代理机，需让 actions-runner 用户走直连，否则下载 artifact 会挤占 AI 节点带宽。做法：

  1. 新建 supplementary group ci_direct
  2. ip rule add uidrange 1001–1009 table main pref 2000 # 1001 为 runner UID
  3. kuailian-cli 配置保留 exclude-rfc1918 on 即可

如此仅 CI 流量直连，其他用户依旧享受加速，带宽账单下降约 18%（样本：日构建 200 次，每次 800 MB）。若使用 Jenkins、GitLab Runner，同理把其运行 UID 写入 uidrange 即可，无需改动应用本身。

适用/不适用场景清单

场景建议原因
个人开发机方案 A零维护，延迟收益高
多人共享编译服务器方案 B + uidrange需细粒度分流，避免抢带宽
Kubernetes 节点不推荐全局CNI 与 iptables 链易冲突
需要审计的出口网关方案 B + nflog可镜像流量到审计系统
适用/不适用场景清单
适用/不适用场景清单

监控与验收：三项指标即可闭环

  1. 延迟：用 smokeping 探针 1 h 粒度，目标 < 100 ms
  2. 内网直通率：curl 内网 API 成功率 = 100%，失败即告警
  3. CPU 软中断：/proc/softirqs 中 NET_RX 不超过单核 15%

部署后跑 24 h 达标即可上线生产；若 NET_RX 持续高于 20%，说明标记规则过宽，需收紧 iptables 链。对于已有 Prometheus 的环境，可用 node_exporter 的 node_softirqs_total 指标绘制曲线，设置 15% 为红线告警。

版本差异与迁移建议

8.2.0 之前无 --exclude-rfc1918 参数，老用户若用 kuailian-cli mode global 会一股脑进 TUN。升级后首次启动会提示「检测到旧路由表，是否迁移？」，选 Yes 即可自动转换；若曾手写 iptables，建议先备份 iptables-save > ~/iptables.bak，再对照方案 B 逐步下线旧链。迁移完成后，用 ip rule show 观察应只剩 51820 表与 main 表，旧 1000+ 优先级规则应被清理，否则手动 ip rule del。

最佳实践 5 条检查表

  1. 安装前先卸载旧 TUN 驱动，防止 10053
  2. 优先用官方 --exclude-rfc1918 on，不到万不得已别手写 iptables
  3. AI 节点秒切阈值≥5%，Zoom/Teams 场景必改
  4. 局域网隐身与 AirDrop 二选一，留 MAC 白名单可折中
  5. 验收 24 h 后再放生产，延迟、内网直通、CPU 三指标缺一则回滚

未来趋势与版本预期

快连在 8.2.0 之后把「局域网例外」下沉到 CLI，已解决 90% 用户的分流痛点；结合经验性观察，后续版本大概率会引入「应用级白名单」与「进程 UID 级豁免」两项功能。届时，Zoom、Teams、Slack 等会议套件可被官方默认设为直连，而游戏、流媒体继续享受 AI 节点，你的自定义 iptables 模板只需把「UID 规则」段注释掉即可平滑升级。提前把监控脚本与验收指标固化到 Ansible，下一版发布时 10 分钟就能完成灰度。

常见问题

升级 8.2.0 后，内网 SSH 偶尔卡顿，是例外规则失效吗？

先确认 ip rule show | grep 192.168 是否有对应策略；若规则存在，仍卡顿则多为「秒级切换」触发 Zoom 等应用抢带宽，可按文内把丢包阈值调至 5%，并拉长观测窗口到 120 s。

Kubernetes 节点可否用方案 A？

不推荐。K8s CNI 已注入大量 iptables 规则，与快连的 mangle 链易冲突，可能导致 Pod 网络间歇性 5xx。若必须加速，建议用 Sidecar 容器或 Service Mesh 的出口网关模式，而非节点级全局代理。

手动 iptables 规则在重启后消失怎么办？

写一个简单的 systemd 服务，After=kuailian-d.service，ExecStart=/usr/local/bin/apply_custom_ipt.sh，把文中命令写入脚本即可；升级前用 iptables-save > /etc/iptables/custom.rules 备份，防止被覆盖。

如何验证排除规则是否对 IPv6 生效？

目前 8.2.0 的 --exclude-rfc1918 仅针对 IPv4；若内网使用 IPv6 段，可手动写 ip6tables mangle 链，打标记后走 main 表，官方后续版本可能会同步下放 IPv6 例外参数。

CPU 软中断飙到 25% 以上，该如何排查？

先用 perf top -p $(pgrep softirq) 观察是否集中在 NET_RX；若是，说明规则过宽导致大量小包被标记，可通过收缩网段、合并连续 /24 到更大掩码，或启用 ipset 减少规则条目来降低中断。

📺 相关视频教程

更新后完全不会用了？新版 OpenClash 教程来了！

分享这篇文章：

相关文章推荐