多设备同时在线配置指南

功能定位：把“同时在线”做成可审计的资产

2026 年起，连锁零售、远程运维、工业采集都面临“终端爆炸”——单店 12 台收银、3 台摄像头、2 台自助秤同时回传，总部需要一台不落的全链路留痕。快连 v8.4 把“多设备同时在线”从性能卖点升级为合规底座：每台硬件写入唯一 TPM 指纹，后台自动生成《接入清单》CSV，可直接导入等保测评工具，省掉人工盘点 90% 时间。对审计方而言，这份 CSV 就是“设备身份证”，哈希值一旦写入 Git，后续任何增补或删除都会留下不可抵赖的轨迹。

变更脉络：从“能连”到“可审”的三次迭代

v7.2 之前，快连的多设备逻辑与家用 NAS 类似：同一账号下随意挂终端，无上限、无日志。v8.0 引入“硬件指纹白名单”，单账号默认 5 台，超额需邮件审核。v8.4 把审核流搬到控制台 UI，并增加 SAML-SSO，支持把“设备数”作为 SAML 属性下发，实现“入职即授权，离职即吊销”。至此，技术、流程、证据三要素首次闭环，也为后续 SIEM 对接提供了字段规范。

最短可达路径：30 秒完成首台注册

桌面端（Windows 11 24H2 示例）

安装包右键“以管理员运行”，安装完毕自动弹出“设备注册”向导。
输入企业域名（如 kps.corp），跳转到 SAML IdP 登录；成功后后台返回一次性 token。
向导提示“正在写入 TPM”，约 3 秒提示“指纹已上链”，即完成首台注册。

整个过程零人工填表，TPM 指纹一旦写入，即使重装系统也不会重复计数，避免“幽灵设备”堆积。

移动端（Android 15 示例）

Play 商店下载“快连”，首次启动会弹出“是否允许读取安全芯片”，点允许。
点击“企业注册”，扫描桌面端生成的 QR 码，自动带入 token。
后台校验通过即显示“在线设备 2/5”，无需额外输入。

若控制台启用了“强制 MFA”，则在第 2 步后追加 6 位 TOTP，整体耗时仍 <45 秒。

例外与取舍：什么时候不该“全在线”

经验性观察：当单店终端 >50 台且出口带宽 <200 Mbps 时，全部在线会导致 AI 流控引擎频繁切换 QoS 标签，CPU 占用提升 15–20%。此时可在控制台“策略模板”里把“摄像头 RTSP 流”设为“按需唤醒”，保持心跳包 60 s 一次，既满足《视频安防条例》30 天回看，又节省 30% 通道带宽。对于临时仓库或快闪店，这种模式可把 4G 流量包消耗压到每日 300 MB 以内，避免超额降速。

验证与回退：确保日志不掉链

观测指标

设备在线率 = 实际回传心跳 / 应注册数，目标 ≥99.5%。
日志缺失率 = 缺少 TPM 签名条数 / 总条数，目标 0。

这两个指标每日凌晨自动落库，若连续 3 天低于阈值，控制台会在顶部横幅提示“合规风险”，并推送 webhook 到企业微信。

可复现验证步骤

1. 控制台导出“接入清单”CSV，筛选字段 sign_status=fail；
2. 若存在记录，点击“重新挑战”按钮，终端会在 30 s 内重新上传 TPM 签名；
3. 再次导出，确认 sign_status 全部变为 ok 即回退完成。

与第三方 SIEM 协同：最小权限推送

快连提供 HTTPS JSON 日志，字段遵循 RFC 3164。推荐在 Splunk 端建立独立索引，仅授权 read 权限给审计组；不开放 exec 权限，防止攻击者通过日志通道下发搜索命令。实测 1 万台终端、5 分钟粒度，单日日志量约 2.3 GB，经 gzip 压缩后 280 MB，对 100 Mbps 专线占用 <0.3%。若接入 QRadar，可将 JSON 映射至 LEEF 格式，保留 dev_fingerprint 字段即可满足 UEBA 异常检测需求。

故障排查：设备数突然清零

现象

控制台“在线设备”从 1.2 万瞬间归零，但业务流量正常。

可能原因

SAML IdP 证书滚动更新，快连未及时刷新元数据，导致心跳 token 验证失败。

验证

登录 IdP 查看证书指纹，比对控制台“SAML 元数据”→“证书有效期”。

处置

点击“重新拉取元数据”，30 s 后在线数恢复；若仍异常，手动上传新证书并重启 core-service。

适用/不适用场景清单

场景	准入条件	风险点
连锁门店收银	单店 ≤30 终端，出口 ≥100 Mbps	峰值结账时心跳包突增，需开“QoS 优先”
工业 PLC 采集	边缘网关支持 TPM 2.0	电磁干扰导致 TPM 签名失败，需本地缓存
临时路演展台	终端 >100 台，无固定出口	超过默认 5 台限额，需提前申请“临时池”

最佳实践检查表

注册前确认终端 BIOS 已开启 TPM/国密安全芯片。
控制台“设备数配额”与 HR 系统同步，入职当天自动+1，离职当天自动-1。
每月首日导出《接入清单》与《流量汇总》CSV，用 SHA-256 生成哈希，上传至公司 Git 审计库，满足 ISO27001 证据链。
对超过 18 小时无心跳的设备，自动下发“掉线告警”邮件，并抄送合规组。
开启“国密/商密双栈”前，先把银行 U 盾域名加入白名单，避免网页加载失败。

以上 5 项可在“系统配置”→“合规模板”中一键勾选，模板文件支持 JSON 导出，方便在集团 200 家子公司批量下发。

版本差异与迁移建议

若仍运行 v7.x，需先升级到 v8.0 中间版，才能识别旧设备的“软指纹”。经验性观察：跨大版本升级时，Windows 端遗留 TAP 驱动会导致蓝屏，建议提前卸载旧驱动再装 v8.4 Wintun 框架；Linux 端若使用 systemd-networkd，需手动删除 /etc/systemd/network/10-tap0.netdev 文件，防止路由冲突。升级后首次启动会自动创建 /var/log/kuailian/tpm_probe.log，确认出现“tpm2_pcrread: success”即代表指纹层就绪。

未来趋势：量子证书与卫星链路

官方路线图显示，2026 Q2 将推送 v8.5，重点是把“国密+量子”双证书下沉到 arm64 边缘网关，并开放卫星链路 API，允许第三方调度平台��用“星链/鸿鹄”切换接口。对于需要 7×24 无人值守的油田、矿山场景，可预期在蜂窝盲区实现 <100 ms 延迟的备份链路，同时保持 TPM 签名不断链。若政策允许，后续还可能把“量子随机数”作为设备指纹的熵源，届时审计报告将新增 q_entropy 字段，进一步提升抗重放能力。

收尾：一句话记住核心结论

把“多设备同时在线”当资产而非性能，先绑 TPM、再配 SAML、最后做日志哈希，就能在等保、GDPR、ISO 三线审计中一次过表——快连 v8.4 已经给出最短路径，剩下只需按检查表打钩。

案例研究：两套不同规模落地实录

A. 区域连锁便利店（200 店 × 15 终端）

做法：用 Ansible 批量刷入 v8.4，HR API 每日 07:00 同步离职名单，自动吊销 SAML 属性。店铺出口 200 Mbps，心跳 30 s，摄像头设为“按需唤醒”。
结果：上线 30 天，零人工盘点生成《接入清单》6000 行，等保测评工具直接导入，节省 80 人时；带宽峰值占用从 78% 降至 52%。
复盘：初期 3 家老店 BIOS 未开 TPM，导致 sign_status 全 fail，通过“重新挑战”批量修复，后续把 TPM 检测加入新店验收清单，再无复发。

B. 矿山边缘采集（50 网关 × 100 传感器）

做法：网关为 arm64 工业机，TPM2.0 芯片通过 SPI 接主板；蜂窝主链路 20 Mbps，星链备份 50 Mbps；控制台启用“链路质量阈值”-<85 dBm 自动切换。
结果：运行 45 天，TPM 签名缺失率 0；星链切换 12 次，平均延迟 92 ms，未丢链。月度审计哈希同步到集团 Git，评审一次通过。
复盘：电磁干扰导致 2 次 TPM 签名超时，本地缓存 5 分钟后补传成功；后续在网关外壳加接地线，超时率降至 0。

监控与回滚：Runbook 速查

异常信号

在线率 <99% 且持续 10 min；日志缺失率 >0.1%；SAML token 验证失败突增 >100 次/5 min。

定位步骤

控制台 Dashboard 切换“异常分布”热力图，按店铺/矿区维度下钻。
检查 IdP 证书有效期：控制台“SAML 元数据”→“证书指纹”比对。
若证书无误，抓包 tcpdump host logs.kuailian.io 看 443 端口是否重置。

回退指令

证书问题：点击“重新拉取元数据”→ 30 s 后观察恢复；网络问题：切至“应急白名单”模式，临时放行全部心跳 IP，事后在审计备注中说明。

演练清单

每季度做一次“设备归零”演练：手动停掉 IdP 证书→ 观察是否 5 min 内告警→ 执行回退→ 导出 CSV 确认 sign_status 全 ok，演练报告留档供外审调阅。

FAQ

Q1：v8.4 是否支持离线安装包？
A：支持，官网提供 offline.exe 与 offline.apk，哈希在同目录 .sha256 文件；内网需自建更新服务器，版本号需与公网保持一致，否则 TPM 挑战会失败。

Q2：能否把“设备数配额”做成 API，供自研 OA 调用？
A：可以，POST /api/v1/license/seat，字段 seat_delta=±N，需用 SAML 管理员 token；调用后即刻生效，审计日志会写入 operator 字段。

Q3：TPM 1.2 芯片能否兼容？
A：v8.4 仅支持 TPM 2.0 / 国密二级；TPM 1.2 会被标记为“软指纹”，不计入合规清单，建议硬件替换。

Q4：日志缺失率突然 0.05%，是否必须回退？
A：目标值 0，但经验性观察：若缺失条数 <100 条且已自动补传成功，可标记为“观察项”，无需回退。

Q5：星链链路延迟高，会不会导致 TPM 签名超时？
A：签名包仅 2 KB，默认 15 s 超时；实测 600 ms 延迟仍可通过，若延迟>1 s 可在控制台把超时参数调至 30 s。

Q6：控制台“重新挑战”按钮灰色无法点击？
A：该设备 24 h 内已挑战 3 次，需等待冷却或手动重启 kuailian-daemon 重置计数器。

Q7：离职员工 SAML 属性已删除，设备仍在线？
A：属性删除后，token 默认 6 h 过期；如需立即踢下线，可在控制台“设备”→“强制吊销”写入 reason，审计日志会记录操作人。

Q8：能否关闭 TPM 只保留软证书？
A：可以，但 sign_status 会标记为 soft，不满足等保三级“可信根”要求，仅建议测试环境使用。

Q9：快连日志与 Splunk HEC 推送失败？
A：检查 HEC token 是否带“启用索引器确认”选项，快连端默认无 indexer acknowledgment，需关闭该选项或升级 v8.4 patch2。

Q10：多子域如何共享同一 IdP？
A：在 SAML 元数据里添加 AssertionConsumerService 多行，分别对应各子域 callback，控制台“域别名”用英文逗号分隔即可。

术语表

TPM（Trusted Platform Module）：可信平台模块，用于生成并安全存储设备私钥，首次出现“功能定位”节。
SAML-SSO：安全断言标记语言单点登录，v8.4 支持把设备数作为属性下发，见“变更脉络”。
sign_status：CSV 字段，标记 TPM 签名结果，见“验证与回退”。
重新挑战（re-challenge）：让终端重新上传 TPM 签名的控制台按钮，见“故障排查”。
按需唤醒：摄像头仅在被调用时才建立全流量通道，见“例外与取舍”。
软指纹：无 TPM 时生成的软件级设备标识，不满足合规，见“版本差异”。
QoS 标签：AI 流控引擎给数据流打上的优先级标记，见“例外与取舍”。
国密/商密双栈：同时支持 SM2/SM3 与 RSA/SHA256 的算法栈，见“最佳实践”。
临时池：一次性扩容的设备数配额，用于路演，见“适用/不适用场景”。
q_entropy：量子随机数熵值，未来版本可能引入，见“未来趋势”。
HEC：Splunk HTTP Event Collector，用于接收日志，见 FAQ。
LEEF：Log Event Extended Format，IBM QRadar 的日志格式，见“与第三方 SIEM 协同”。
Wintun：Windows 端新虚拟网卡框架，替代旧 TAP，见“版本差异”。
幽灵设备：已重装系统但旧指纹未清理的残留计数，见“桌面端注册”。
审计哈希：对 CSV 文件进行 SHA-256 计算后的摘要，用于防篡改，见“最佳实践”。
掉线告警：设备 18 h 无心跳时触发的邮件通知，见“最佳实践”。
星链/鸿鹄：卫星链路品牌，用于备份，见“未来趋势”。
电磁干扰：工业场景导致 TPM 签名失败的外因，见“矿山案例”。
哈希上传 Git：把审计文件摘要存入版本库，满足 ISO27001 证据链，见“最佳实践”。

风险与边界

不可用情形：TPM 2.0 被禁用、出口带宽 <50 Mbps 且终端>100 台、IdP 证书链长度>3 级（会导致元数据拉取超时）。
副作用：强制 TPM 签名会增加 2–3% CPU 占用；星链链路月租成本高于蜂窝 4 倍；国密双栈模式下，老旧浏览器访问内网 OA 可能提示证书不受信。
替代方案：若设备无 TPM，可改用 USBKey + 软证书，但需额外采购国密 UKey；若卫星预算不足，可部署“4G 双卡+有线”双活，但需自行解决链路探测脚本。