全局路由与分应用分流配置指南

全局路由与分应用分流配置指南

连锁门店收银系统、远程 NAS 与 4K 直播都在抢带宽，如何既让“关键业务”走最稳链路，又让“娱乐流量”不浪费卫星额度？本文用 2026 年 1 月仍在维护的快连 v8.4「星链」版，拆解「全局路由」与「分应用分流」两套策略的指标导向→方案对比→监控验收，让你 10 分钟落地、10 秒回退。

功能定位与变更脉络

全局路由（Global Route）指客户端所有流量默认进入 WireGuard-2025 隧道，再由「玄武」AI 选路 2.0 决定走 5G-A、千兆家宽或卫星链路；分应用分流（App Split）则把指定进程或目标域名按 ACL 模板拆出去，直连或进不同隧道。2025-11 的 v8.4 把「跨境办公」模板预置为 ACL，可一键把 Teams、Figma 等 18 款 SaaS 拉到 UDP 冗余通道，减少高清会议卡顿。

与旧版差异：v8.3 以前的分流只能按「IP 段」写死，更新到 v8.4 后支持「进程名+域名」双维度，且策略支持「卫星/地面」双栈回退。若你从 v8.3 升级，首次启动会弹窗提示「是否迁移旧策略」，选「是」可自动把旧 IP 段转成 ACL，但会丢失端口级粒度，需要手动补回。

指标导向：先定 KPI，再选方案

1. 搜索速度：连锁门店收银系统查询总部 PostgreSQL，要求 SQL 往返 <120 ms，丢包 <0.1%。
2. 留存：家庭 NAS 用户外出保种，要求 BT/PT 走低价地面链路，避免卫星流量耗尽降速。
3. 成本：企业租户 10 万终端，单端卫星流量单价 0.08 元/MB，需把非业务流量压缩 30% 以上。

方案 A：全局路由 + AI 流控

适用场景：终端网络环境复杂（CGNAT + 多层 NAT），需要最大化打洞成功率。打开「设置→连接→默认路由→全局」，AI 流控 3.0 会自动给「远程桌面」打最高 QoS 标签，给「4K 直播」限速 25 Mbps。经验性观察：在移动 5G-A 网络下，Teams 视频卡顿率从 1.8% 降到 0.3%，但卫星流量消耗增加 15%。

方案 B：分应用分流 + 白名单

适用场景：门店收银电脑只需访问 10.0.0.0/8，其他如抖音、腾讯视频全部直连节省卫星。配置路径：桌面端「设置→高级→分流模板→新建→进程名：postgres.exe + 目标段：10.0.0.0/8→策略：走隧道」，其余默认直连。Android 端入口略有差异：「首页→分流→右上角＋→应用→选择「收银系统」→打开「强制隧道」」。验证：在 Windows 资源监视器看 postgres.exe 的 TCP 连接，若远端 IP 属于虚拟网卡 10.255.0.x 即表示成功进隧道。

平台差异与最短路径

例外与取舍：哪些流量不该进隧道

1. 银行 U 盾：国密双证书会拦截 TLS 1.3 的 Client Hello，导致网页白屏。解决：把「*.ebank.com」加入「禁用国密白名单」，并在分流模板里设为「直连」。
2. 校园网 802.1X 认证：全局路由会抢占物理网卡，导致认证弹窗消失。建议：在「SSID 例外」里填写「Campus-WiFi」，连接该 SSID 时自动切直连。
3. 工业 PLC 固件升级：西门子 S7-1200 要求 MTU=1500，隧道默认 1420 会丢包。可在「高级→WireGuard 参数→Override MTU」改成 1500，但会牺牲 5% 打洞成功率。

监控与验收：三步验证

1. 实时面板：桌面端右侧「统计」→ 选「卫星流量」，若 1 小时消耗 >100 MB 且「进程」栏出现「Douyin.exe」，说明分流未生效。
2. 端到端延迟：在门店收银电脑 cmd 执行 ping 10.0.0.5 -n 100，取平均延迟，目标 <120 ms。
3. 丢包率：打开「日志→导出→WireGuard-stats」，看「rx-lost」列，若 >0.1%，回退到「全局路由」并打开「AI 流控」。

故障排查 4 步循环

现象：分流模板不生效，指定应用仍走卫星。
可能原因：Android 15 后台被杀导致 快连 服务重启，ACL 缓存清空。
验证：打开「开发者选项→查看运行服务」，若「KuailianCore」服务被标记为「缓存」即确认。
处置：电池管理→把快连设为「无限制」，并锁定后台。

适用/不适用场景清单

• 适用：连锁门店 <100 ms 延迟查询、家庭 NAS 外出保种、工业摄像头跨网段回传。
• 不适用：高并发 Web 爬虫（每秒 >5000 次 TCP 新建）、需要固定出口 IP 的第三方支付白名单、MTU>1500 的老旧工控。

版本差异与迁移建议

若你仍在 v8.2，需先升级到 v8.4 才能使用「进程名」分流；v8.1 及更早版本无国密/量子双证书，政务投标请直接全新安装。升级前导出「设置→备份→生成加密二维码」，升级后扫码还原，可避免重新配对硬件指纹。

最佳实践 5 条速查表

1. 先测延迟再分流量：用 ping 把内网 IP 基线跑 100 包，再写 ACL。
2. 卫星额度告警：控制台「费用中心」开 80% 短信提醒，防止娱乐流量爆表。
3. 每次改策略先克隆：分流模板右上角「⋮→复制」，出错 10 秒切回。
4. 国密白名单最小化：只加域名，不加通配符，防止误杀。
5. 每年 3 月证书年审：把「SM4+Kyber」开关关闭再开，强制刷新 CRL。

案例研究

案例 1：200 家便利店「秒级」收银

背景：某连锁品牌高峰期 200 家门店同时访问总部 ERP，原走公网，SQL 平均往返 280 ms，丢包 1.2%，导致收银小票打印延迟。
做法：全店 Windows 收银机统一装 Kuailian v8.4，启用「分应用分流」，仅 postgres.exe 与 10.0.0.0/8 走 WireGuard，其余娱乐流量直连；同时打开「AI 流控」给 ERP 打最高 QoS。
结果：3 天内延迟降到 92 ms，丢包 0.05%，月度卫星流量仅增加 8%，单店月省 4G 流量费 120 元。
复盘：初期因忘记把「*.update.microsoft.com」排除，导致夜间补丁走卫星，触发 80% 额度告警；后把 Windows 更新域名加入「直连」即解决。

案例 2：万人校园晚高峰直播不卡

背景：某高校 1.2 万师生，晚 20:00-23:00 同时刷 4K 直播，出口 3 Gbps 常被占满，教学平台 Zoom 会议卡顿投诉日增 40%。
做法：在宿舍 Android 盒子批量部署 Kuailian v8.4，启用「全局路由 + AI 流控」，把 Zoom、学习通、雨课堂标记为「教学」通道，限速 6 Mbps；抖音、B 站标记为「娱乐」，限速 2 Mbps，且允许卫星链路在地面拥塞时兜底。
结果：教学流量平均延迟 45 ms，娱乐流量卫星占比 22%，整体出口利用率从 98% 降到 73%，投诉量下降 85%。
复盘：初期 AI 限速误判 OBS 推流为「娱乐」，导致线上期末考试推流中断 30 秒；后在「自定义应用」里把 obs64.exe 手动划入「教学」并锁定模板，后续零事故。

监控与回滚 Runbook

以下脚本与阈值均基于 v8.4 公版，可直接复制到 Zabbix / Prometheus Alertmanager。

异常信号清单

• 卫星流量 1 h 增量 >200 MB 且进程名含「WeChat」
• 端到端 RTT >150 ms 持续 5 min
• rx-lost >0.3% 且 tx-retries 每秒 >30
• 隧道握手重连 >3 次 /10 min

定位步骤

1. 实时面板核对「进程→流量」排序，确认违规应用。
2. 导出 WireGuard-stats.csv，对比「handshake-last」列，若时间戳不更新则握手失败。
3. 在终端执行 kuailian-cli logcat --tag=ACL，查看是否出现「missed match」。
4. 检查电池管理/电源策略，确认 快连 服务未被系统休眠。

回退指令

桌面端：托盘图标右键→「紧急模式」→「回退全局路由」；Android：通知栏→「Kuailian 常驻通知」→「一键直连」。10 秒内生效，无需重启应用。

演练清单（季度）

1. 克隆当前模板→故意写错域名→验证告警是否触发。
2. 手动把卫星额度调到 90%，观察 80% 短信是否准时。
3. 在测试机把 MTU 调到 1500，ping 1420 大包 1000 次，记录丢包变化。
4. 用 iptables 模拟 5% 丢包，观察 AI 流控是否自动降级到 5G-A。

FAQ

Q1：iOS18 无法添加分流应用？

结论：系统描述文件冲突。

背景/证据：iOS18 早期 Beta 把 快连 描述文件签名策略改为 SHA-384，导致 v8.4 旧描述文件被驳回；升级到 8.4.1 小版本后 Apple 官方商店说明已修复。

Q2：为何「全局路由」下局域网 NAS 消失？

结论：虚拟网卡优先级高于物理网卡。

背景/证据：Windows 把 WireGuard 接口跃点设为 5，低于 Wi-Fi 25；在「高级→跃点覆盖」里把 LAN 段 192.168.0.0/16 设为「直连」即可恢复。

Q3：Android 端提示「ACL 模板过大」？

结论：单文件域名上限 512 条。

背景/证据：官方文档 v8.4 changelog 明确「模板压缩后 ≤32 KB」；拆分教学/娱乐两个模板即可。

Q4：macOS 睡眠唤醒后握手失败？

结论：系统关闭了 UDP socket。

背景/证据：Apple 技术笔记 TN2277 指出 Wake-on-WiFi 会回收非 TCP 套接字；在「设置→高级→保持活动」打开「DPD 30s」解决。

Q5：卫星流量凌晨突增 2 GB？

结论：Windows 更新分流未生效。

背景/证据：升级 v8.4 后旧 IP 段模板被自动转换，但缺失「*.delivery.mp.microsoft.com」；手动补域名后凌晨流量下降 92%。

Q6：工业相机画面花屏？

结论：MTU 分片导致报文乱序。

背景/证据：海康 SDK 要求 1400≤MTU≤1472；把隧道 Override MTU 设为 1400 并开启「UDP 快速转发」后花屏率 0%。

Q7：控制台无法下发策略？

结论：设备 token 过期。

背景/证据：v8.4 引入「量子令牌」有效期 90 天；在「关于→重新激活」扫码即可刷新，无需重装。

Q8：能否把分流模板导出给第三方？

结论：可以，但需脱敏。

背景/证据：模板右上角「⋮→导出」生成 .json，含内部网段；使用官方「acl-sanitizer」工具可自动把 10.0.0.0/8 替换成示例段。

Q9：iPhone 热点下策略失效？

结论：系统共享接口不走 快连。

背景/证据：iOS 限制 Personal Hotspot 流量不经过 NetworkExtension；此属系统边界，暂无解决方案，建议切 Android 热点。

Q10：v8.4 能否降级回 v8.3？

结论：可以，但会丢失「进程名」策略。

背景/证据：卸载时勾选「保留配置文件」即可回退；降级后 v8.3 无法识别新模板，需手动删除 /data/split_v2 文件夹。

术语表

ACL（Access Control List）

分流模板内的匹配规则，支持进程名、域名、IP 段；首次出现在「分应用分流」章节。

AI 流控 3.0

Kuailian 内置的 QoS 引擎，可识别 600+ 应用并自动限速；见「方案 A」。

CGNAT

运营商级 NAT，导致无法获取公网 IPv4，影响打洞；见「方案 A」背景。

DPD（Dead Peer Detection）

心跳保活机制，用于睡眠唤醒后快速重连；见 FAQ Q4。

Global Route

全局路由，所有流量强制进隧道；见首段定义。

KPI

关键绩效指标，本文指延迟、丢包、成本；见「指标导向」。

Kyber

NIST 选定的后量子算法，v8.4 用于密钥交换；见「最佳实践」。

MTU

最大传输单元，隧道默认 1420；见「例外与取舍」。

QoS

服务质量标签，决定哪类流量优先；见「方案 A」。

RTT

往返时延，验收指标之一；见「监控与验收」。

SM4

国密对称加密算法，用于证书层；见「最佳实践」。

Split Templates

分应用分流模板的英文菜单名；见平台差异表。

WireGuard-2025

Kuailian 基于 WireGuard 内核二次开发的隧道协议；见功能定位。

玄武

官方 AI 选路引擎代号；见功能定位。

量子令牌

v8.4 引入的短期 JWT，用于策略下发；见 FAQ Q7。

风险与边界

1. 固定出口 IP：卫星链路采用动态 NAT，无法保证每日 IP 一致，若第三方支付网关要求白名单，请改用地面专线方案。
2. 高并发新建：经验性观察，>5000 次/秒 TCP 新建时，v8.4 用户态转发 CPU 占用 >80%，可能出现抖动；此时应改用 DPI 硬件分流。
3. 老旧工控：MTU>1500 的 Profinet 协议无法分片，隧道强制 1420 会丢包；替代方案为「旁路镜像+物理层交换机」。

未来趋势与官方路线图

官方 2026 Q2 预览版已透露「v8.5 区域链选路」——把华东/华南卫星地面站做成链式调度，进一步压低跨境延迟；同时计划开放 API，允许企业把分流 ACL 与 CMDB 联动。若你管理 10 万终端，可提前在控制台「实验室」申请灰度，届时只需把 CMDB ���「业务等级」字段映射到 API，即可自动生成策略，无需人工维护模板。