本章覆盖所有平台客户端的共性操作流程，新用户按顺序阅读即可完成从首次启动到日常切换节点的全部基础动作，老用户可直接跳转至「收藏节点」与「快速切换」小节查看效率提升技巧。

1.1 启动、登录与首次连接

客户端启动后默认进入「账号登录」页面，输入在快连官网购买后获得的账号与密码即可登录。首次登录时建议勾选「记住密码」与「开机自启」两个选项，前者减少重复输入，后者保证在家庭宽带或办公网环境下随时可用。登录成功后客户端会进入主界面，主界面顶部展示当前连接状态（已连接 / 未连接 / 连接中）、当前节点名称、出口 IP 与延迟 P50 中位数四项关键信息。

节点列表中每个节点后均带有一颗「测速」小图标，点击后客户端会以 ICMP + TCP 双协议对节点发起 3 次采样并取中位数，结果以毫秒为单位显示。快连实验室建议的测速策略是：早高峰 8:00-10:00 与晚高峰 20:00-23:00 这两个时段各测一次，工作时段使用晚高峰的优选结果，避免同一节点白天流畅、夜间拥堵的情况。

首次连接推荐选择「智能优选」模式，客户端会基于延迟、丢包率与负载三项指标自动排序并推荐前 3 个节点。点击「一键连接」后，握手、认证、隧道建立三步在 800ms-1500ms 内完成（基于 QUIC 1-RTT 握手实测，详见第三章）。连接成功后系统托盘图标会变为蓝色实心，右键菜单可执行「断开」「暂停 30 分钟」「切换节点」三项快捷操作。

1.2 断开、暂停与自动重连

断开连接有三种触发方式：点击主界面的「电源」按钮、系统托盘右键选择「断开」、或在设置中开启「按网络切换自动断开」让客户端在检测到可信家庭网络时自动释放隧道。所有断开动作会先发送 FIN 包再关闭本地 socket，确保不会留下半开连接。

「暂停」是断开连接与彻底退出之间的中间态，暂停期间客户端不占用网络资源但保留账号登录态和订阅的节点信息，适合临时离开工位或短暂切换到本地直连模式的场景。系统设置中可自定义暂停时长（15 / 30 / 60 分钟三档），超时后客户端会自动恢复连接。

自动重连默认开启，触发条件包括：网络抖动导致的心跳超时、TLS 会话过期、节点维护下线。当重连触发时，客户端会优先回到「断开前最后一次成功连接」的节点，连续 3 次重连失败则切换为智能优选模式重新挑选节点，避免因单一节点故障陷入死循环。

1.3 节点切换与收藏管理

切换节点的最短路径是：主界面 → 点击节点名称 → 在下拉列表中选择目标区域 → 等待新连接建立。下拉列表默认按「收藏 → 最近使用 → 智能优选 → 全部节点」四组排序，频繁切换时可使用快捷键 Ctrl+1~9 直接跳转到收藏栏前 9 个节点。

收藏节点支持分组管理，最多可建立 8 个分组、每组最多 32 个节点。建议按地理区域（亚太 / 欧美 / 港澳台）或使用场景（办公 / 游戏 / 视频会议）维度组织。收藏夹支持导出为本地 .klfav 文件，便于在多台设备间迁移。

节点操作对照表

路由模式决定了哪些流量走隧道、哪些走本地直连。快连客户端内置三种模式，覆盖从「完全交给客户端」到「按应用精细控制」的不同使用场景。本章解释三种模式的内部规则与典型配置。

2.1 智能模式（自动）

智能模式是默认选项，适合「打开就能用」的大多数用户。客户端启动后会自动扫描可用节点、按延迟与负载排序、并在后台建立 2 条冗余隧道（主 + 备）。流量分配策略基于 ASN（自治域号）与 GeoIP 双重判断，国内 IP 段走本地直连，国外 IP 段走隧道。

智能模式的「自动」特性还体现在节点失效时的 fallback 机制：当主节点掉线或延迟劣化到 200ms 以上时，客户端会在 500ms 内将流量切换到备用节点而不中断用户的操作。该机制依赖客户端内置的 30 秒滑动窗口健康检测，对游戏场景尤其友好。

智能模式下用户可配置的参数只有 3 个：测速间隔（30 秒 / 60 秒 / 5 分钟）、节点切换阈值（100/150/200ms）、是否启用 IPv6 隧道。绝大多数用户保持默认即可，无需手动调整。

2.2 全局模式（手动）

全局模式将所有网络流量都路由到当前选中的节点，包括国内网站的访问。这种模式在某些对 IP 出口有强一致性要求的场景下被使用，例如：需要固定 IP 完成账号登录校验的运维场景、调试跨境回源链路的技术排查场景、需要在海外环境下稳定访问本地局域网资源的远程办公场景。

全局模式下的延迟与带宽表现受限于单一节点的物理位置。以从中国大陆访问美国西海岸节点为例，正常双向延迟 P50 中位数约 145ms，跨境丢包率约 0.3%-0.8%（基于 2026-08 实测）。如果业务对延迟极敏感，全局模式 + 单一远距离节点的组合可能不适合。

全局模式开启后，客户端会在主界面顶部增加一条红色标识「全局模式已开启」，避免用户在不知情的情况下把所有流量都路由出去。这一标识同时出现在系统托盘图标的悬停提示中。

2.3 分应用模式（规则代理）

分应用模式是最精细也最复杂的模式，用户可指定哪些应用走隧道、哪些走直连。配置入口在「设置 → 路由模式 → 分应用代理」。Windows / macOS 客户端基于进程名匹配（支持通配符 * 与 ?），iOS / Android 客户端基于包名匹配。

配置分应用代理的常见组合有：浏览器（Chrome / Firefox / Safari）走隧道获得海外访问能力；办公软件（飞书 / 钉钉 / 企业微信）走直连保持低延迟；游戏客户端按目标区服所在区域就近选择节点；下载工具（迅雷 / IDM）走直连避免消耗隧道带宽。

三种模式对照表

加密协议栈是客户端安全性的核心。本章面向具备一定网络基础的用户，解释快连客户端支持的 4 类加密算法与传输协议的内部工作原理，以及在不同场景下应如何选择。

3.1 对称加密层：AES-256-GCM 与 SM4-CBC

对称加密用于隧道内业务流量的加解密，要求速度快且支持并行。快连默认采用 AES-256-GCM（256 位密钥、GCM 认证模式），在现代 CPU（支持 AES-NI 指令集）下单核加解密吞吐可达 8-12 Gbps，远高于普通家庭宽带的上限，因此加密几乎不会成为性能瓶颈。

对于部分国产化系统（如统信 UOS、麒麟 OS），客户端自动切换至国密 SM4-CBC 算法。SM4 是中国国家密码管理局发布的分组密码标准，分组长度 128 位、密钥长度 128 位，安全性与 AES-128 相当。在国产化平台上使用 SM4 既满足合规要求，也避免了依赖未在国产 CPU 中实现加速的 AES-NI 指令。

两种算法的协商通过客户端启动时的「加密能力声明」阶段完成。客户端告知服务端本地支持的算法列表，服务端按优先级匹配最优项，用户也可在高级设置中强制指定某一种。

3.2 传输协议层：QUIC 与 TCP+KCP

QUIC 是快连的默认传输层协议，基于 UDP 实现 1-RTT 握手（首次连接需 1 次往返，后续连接 0-RTT）。相比传统 TCP+TLS 的 2-RTT 握手，QUIC 在跨海高延迟场景下能节省 100-300ms 的连接建立时间。基于 2026-08 实测，从中国大陆到美西节点的 QUIC 握手 P50 中位数 178ms，而 TCP+TLS 握手 P50 中位数 312ms。

在网络环境对 UDP 有限制（如部分企业网封锁 UDP 443）的场景下，客户端会自动回退到 TCP+KCP 组合。KCP 是基于 UDP 的可靠传输协议（被用在 TCP 受限环境），但在 TCP 隧道中运行时退化为类 TCP 行为以满足网络策略。

QUIC 的多路复用特性意味着一个连接内可承载多个独立的 HTTP/3 流，避免了 TCP 中的「队头阻塞」问题。在同时打开多个标签页或下载多个文件时，QUIC 用户的体验明显优于 TCP 用户。

3.3 密钥协商层：TLS 1.3 与 X25519

所有握手过程都基于 TLS 1.3 协议，密钥交换使用 X25519 椭圆曲线算法（前向保密）。TLS 1.3 相比 TLS 1.2 精简了握手步骤（从 2-RTT 降到 1-RTT），并移除了不安全的旧算法（如 CBC 模式套件、RC4、SHA-1）。

客户端内置证书钉扎（Certificate Pinning）机制，仅信任预先植入客户端的快连服务端证书指纹。即使有攻击者通过中间人方式伪造证书，客户端也会因指纹不匹配而拒绝连接。这一机制在公共 Wi-Fi 场景下尤其重要。

协议栈对照表

DNS 是网络访问的「第一步」，也是隐私泄露最常见的环节。本章解释快连客户端在 DNS 层提供的三重防护机制——加密 DNS、远端解析与防泄漏——以及它们如何协同工作。

4.1 加密 DNS：DoH 与 DoT

传统 DNS 查询使用 UDP 53 端口明文传输，任何中间节点都能看到用户访问了哪些域名。DoH（DNS over HTTPS）将 DNS 查询封装在 HTTPS 流量中，端口为 443；DoT（DNS over TLS）将 DNS 查询封装在 TLS 中，端口为 853。两者都能防止 DNS 查询被窃听或篡改。

快连客户端默认启用 DoH，解析服务器为客户端内置的快连 DNS（基于 Cloudflare 1.1.1.1 与 Quad9 9.9.9.9 双线路）。用户可在设置中选择 DoT 模式（适合对 DNS 延迟极敏感的场景），或关闭加密 DNS（不推荐，仅在排查 DNS 故障时临时使用）。

DoH 的代价是首次解析延迟增加 30-80ms（多一次 TLS 握手），但对于浏览器打开网页的整体加载时间影响微乎其微，因为 DNS 结果会被客户端缓存（默认 TTL 5 分钟）。

4.2 远端解析：隧道内 DNS

在隧道模式下，DNS 查询应当走隧道内部而不是本地网络，避免 ISP（网络运营商）看到用户的访问目标。快连客户端默认在连接建立后把所有系统 DNS 查询路由到隧道内的远端 DNS 解析器，这是「隧道内 DNS」的典型实现。

远端解析的好处是双重的：一方面 ISP 看不到用户的 DNS 查询记录，增强了隐私；另一方面用户在境外的访问请求获得的 DNS 结果是「境内解析器返回的海外 IP」，避免了国内 DNS 污染导致的访问失败。

远端解析的故障排查路径是：在客户端设置 → 网络诊断中查看「DNS 出口」字段，确认显示的是隧道内 IP（如 10.x.x.x 或 172.16.x.x）而不是本地 ISP 分配的地址。

4.3 防泄漏策略

即使开启了隧道模式，仍有几种场景会导致 DNS 泄漏：① IPv6 DNS 查询走了系统默认配置而未被隧道接管；② 部分应用硬编码了自定义 DNS 服务器（如 Chrome 的「安全 DNS」设置）；③ WebRTC 在浏览器中暴露了本地 IP。快连客户端针对这三种场景分别提供了防护策略。

对 IPv6 泄漏，客户端默认禁用系统的 IPv6 DNS 出口，所有解析请求都走 IPv4 隧道。用户也可以选择「保留 IPv6」让 IPv6 查询也走隧道（适用于开启了 IPv6 节点访问的用户）。

对应用硬编码 DNS，客户端在 Windows 平台通过 LSP（Winsock Layered Service Provider）拦截所有 DNS 查询并重定向到隧道内 DNS；在 macOS 平台通过系统扩展（System Extension）实现。Linux 平台则使用 nftables/iptables 规则。

DNS 防护等级对照

分应用代理是高级用户最常用的功能。本章详解三种规则匹配模式（白名单 / 黑名单 / 关键字）的内部机制、性能开销与典型配置案例。

5.1 白名单模式：仅列表中的应用走隧道

白名单模式的工作方式是：默认所有应用走本地直连，仅当应用的进程名 / 包名匹配列表中的规则时才走隧道。这种模式适合「只有少量应用需要访问海外资源」的场景，例如只让浏览器和翻译工具走隧道，其他应用保持国内直连以获得最低延迟。

白名单的优势是节省隧道带宽，企业内部系统、本地办公软件都不消耗节点流量。缺点是如果漏配了某个需要访问海外的应用，需要手动添加规则，否则该应用会因「走本地直连」而无法访问目标网站。

Windows 平台白名单支持通配符，例如 chrome* 可匹配 Chrome、Chromium、Chrome Beta 等所有以 chrome 开头的进程。macOS 平台除进程名外还支持 Bundle ID 匹配（如 com.google.Chrome）。

5.2 黑名单模式：仅列表中的应用走直连

黑名单模式与白名单相反：默认所有应用走隧道，仅当应用匹配列表中的规则时才走本地直连。这种模式适合「绝大多数流量都希望走隧道，只有少量本地应用需要保持直连」的场景。

黑名单的典型应用场景包括：将企业 OA、远程桌面等需要在本地局域网访问的应用加入黑名单，避免它们被错误路由到海外节点造成访问失败；将 P2P 下载工具加入黑名单，避免消耗隧道带宽和节点流量配额。

黑名单的隐藏风险是漏配会导致本地应用访问异常。建议在第一次配置黑名单时，先用一段时间的「观察模式」（仅记录命中但不实际路由），确认所有需要本地直连的应用都被列出后再切换到真实生效。

5.3 规则模式：按应用 + 域名组合精细控制

规则模式是最强大的配置方式，允许用户为每个应用指定不同的路由目标。例如：「Chrome 浏览器走香港节点、企业微信走本地直连、Spotify 走美国节点」。每条规则包含三个字段：应用标识（进程名 / 包名）、目标域名（支持通配符）、路由目标（本地直连 / 指定节点 / 智能优选）。

规则模式的典型案例是「办公场景」配置：浏览器访问 *.google.com 走香港节点、访问 *.baidu.com 走本地直连；企业微信 * 走本地直连；下载工具 * 走本地直连；Git 工具访问 github.com 走日本节点。

规则匹配性能开销对照

流量统计帮助用户了解自己的网络使用情况、识别异常流量、规划套餐升级。本章介绍客户端内置的三类统计视图（实时 / 历史 / 应用分布）以及数据导出的具体方法。

6.1 实时流量视图

实时流量视图位于主界面下半部分，以双折线图展示最近 60 秒的上行（Tx）和下行（Rx）速率。采样间隔 1 秒，刷新间隔 1 秒，图表保留最近 60 个采样点形成滑动窗口。鼠标悬停曲线任意位置可看到该时刻的具体速率值（单位 MB/s 或 Mbps 可在设置中切换）。

实时视图的「峰值速率」字段会记录当前会话的最高速率，重启客户端后清零。如果发现峰值速率持续低于套餐承诺带宽（如 100Mbps 套餐但峰值始终低于 30Mbps），大概率是节点问题，可通过测速与切换节点解决。

实时视图还提供「会话累计」字段，显示当前会话从连接到现在的总流量（上行 + 下行分列）。会话累计数据每 5 秒持久化一次到本地数据库，异常关闭客户端不会丢失。

6.2 历史流量与日历视图

历史流量视图以日历形式展示过去 90 天的每日流量总和。点击任意日期可下钻到当日详情，包括按小时分布的流量柱状图、Top 5 应用流量排行、当日连接节点切换次数三项数据。日历视图支持按周 / 按月聚合，最高可查看过去 12 个月的月度趋势。

历史数据保留期为 90 天，超过 90 天的数据会自动清理（仅本地清理，服务端不做保留）。如需长期保存，可在「设置 → 数据管理 → 导出历史」中将指定时间段的数据导出为 CSV 文件。

历史视图的「异常告警」机制会标记流量异常突增的日子，例如某日流量是近 30 日平均值的 3 倍以上时会用红色感叹号标注。异常告警可在「设置 → 通知 → 流量异常告警」中关闭。

6.3 应用分布与节点分布

应用分布视图按应用（进程名 / 包名）统计最近 7 天 / 30 天 / 90 天的流量消耗。视图以环形图展示 Top 10 应用，剩余应用合并为「其他」。点击扇区可下钻到该应用的详细流量趋势与连接的节点列表。

节点分布视图按节点统计流量消耗，帮助用户识别最常用的节点。基于这一数据，用户可以优化收藏夹——把最常用的 5-8 个节点放在收藏最前面，避免每次都要滚动列表查找。

6.4 数据导出

数据导出支持两种格式：CSV（Excel / Numbers 可打开）和 JSON（便于程序化处理）。导出范围可选择「最近 7 天」「最近 30 天」「自定义时间段」，导出文件包含原始数据（按小时聚合）而不只是图表渲染结果。

流量监控指标对照表

账号管理是用户权益的基础。本章介绍客户端内可执行的账号操作、套餐升降级流程、设备管理与退款规则，所有操作均通过客户端内嵌的「账号中心」完成。

7.1 套餐类型与设备数限制

快连官网提供三种基础套餐：月卡（30 天有效）、季卡（90 天有效）、年卡（365 天有效）。每个账号可同时在线的设备数量根据套餐不同：月卡 3 台、季卡 5 台、年卡 8 台。超出设备数限制时，最早登录的设备会被强制下线（不弹窗提示，直接断开）。

设备管理列表展示当前账号下所有已登录设备，包含设备名称、操作系统、最后活跃时间、累计流量四项信息。用户可在此手动将不再使用的设备「登出」，立即释放设备名额。

套餐到期前 7 天，客户端登录后会弹出续费提醒横幅。横幅同时出现在客户端主界面和移动端推送通知中。已过期账号仍可登录客户端查看历史流量，但无法建立连接，提示「套餐已到期，请续费」。

7.2 续费、升级与降级

续费可在「账号中心 → 我的套餐 → 续费」中选择同档位套餐延长有效期，续费时长叠加在当前有效期之后。升级（如月卡升级年卡）按差价补足，新有效期从升级当天起算 365 天。降级（如年卡降级月卡）不支持在套餐有效期内操作，需等到期后再降级。

所有支付通过快连官网完成（不在客户端内支付），客户端仅展示订单链接和支付状态。支持的支付方式包括：支付宝、微信支付、银联（部分套餐）。企业用户可联系商务邮箱 [email protected] 申请对公转账。

续费成功后新套餐权益立即生效，无需重新登录客户端。如果发现权益未生效，可在「账号中心 → 套餐状态」中点击「刷新权益」强制从服务端拉取最新状态。

7.3 退款规则

快连支持购买后 7 天内无理由退款，前提是账号累计使用时长不超过 24 小时、累计消耗流量不超过 10GB。退款申请通过客户端「账号中心 → 申请退款」提交，需填写退款原因（多选）和支付宝 / 微信收款账号。

退款审核周期为 1-3 个工作日。审核通过后款项原路退回（支付宝 / 微信）或通过转账退回（银联），到账时间依支付渠道而定，一般 1-7 个工作日。已使用超过 24 小时或累计消耗流量超过 10GB 的账号不再支持无理由退款，但可联系客服协商部分退款方案。

账号操作速查表

故障排查是手册的最后一章，按用户最常遇到的四类问题分类：连接建立失败、连接速度过慢、连接频繁掉线、账号状态异常。每类问题给出诊断流程、自助排查步骤与何时需要联系客服的判断标准。

8.1 连接失败（握手超时 / 认证失败）

连接失败的典型表现是：点击「一键连接」后进度条卡在「正在连接」状态超过 30 秒，最终弹出错误提示「握手超时」或「认证失败」。

第一步排查路径：① 检查本地网络是否通畅；② 检查账号密码是否正确（重新输入并勾选「显示密码」确认）；③ 检查账号是否到期（账号中心 → 我的套餐）；④ 检查客户端版本是否最新。

第二步排查路径：① 在「设置 → 网络诊断」中运行诊断工具，工具会自动测试 TCP 443 / UDP 443 / QUIC 握手三步；② 如果 UDP 443 被防火墙拦截（公司网常见），切换传输协议为 TCP+KCP；③ 如果所有协议都无法连接，临时关闭本地防火墙 / 杀毒软件后重试。

8.2 连接速度过慢

速度过慢的典型表现是：连接成功但下载速率远低于套餐承诺值（如 100Mbps 套餐实测仅 5Mbps）。

排查路径：① 对至少 5 个不同节点执行「测速」，排除延迟 P50 超 200ms 或丢包率超 1% 的节点；② 检查本地是否开启了 P2P 下载、视频会议、网盘同步等后台流量；③ 在「设置 → 路由模式」中切换到「分应用模式」，把 P2P 类应用加入黑名单。

常见误区是把单次慢速归因为「节点问题」，实际上 80% 的慢速问题来自本地因素。建议在排查时先断开其他设备的连接、关闭后台应用后重新测速。

8.3 连接频繁掉线

掉线的典型表现是：连接维持几分钟到几十分钟后自动断开。常见原因有四类：① 网络切换（Wi-Fi ↔ 移动网络）；② 节点维护或过载；③ 心跳超时设置过短；④ 本地防火墙 / 杀毒软件主动断开。

针对网络切换：客户端提供「网络变化自动重连」选项，启用后切换网络时会在 3-5 秒内自动重连。针对节点过载：在主界面查看节点负载指示灯，绿色为正常、黄色为繁忙、红色为过载，过载节点应避免使用。

8.4 账号异常（异地登录 / 余额异常）

账号异常的典型表现是：收到异地登录提醒短信、客户端提示「账号已在其他设备登录」、或套餐有效期突然缩短。出现这些情况应第一时间修改密码并检查设备管理列表。

紧急处理步骤：① 进入「账号中心 → 安全设置 → 修改密码」，密码长度不低于 12 位；② 在「设备管理」中将不认识的设备全部「登出」；③ 开启所有登录提醒方式；④ 怀疑被盗用立即联系 [email protected] 申请冻结。

故障分类速查表

本章覆盖所有平台客户端的共性操作流程，新用户按顺序阅读即可完成从首次启动到日常切换节点的全部基础动作，老用户可直接跳转至「收藏节点」与「快速切换」小节查看效率提升技巧。

1.1 启动、登录与首次连接

客户端启动后默认进入「账号登录」页面，输入在快连官网购买后获得的账号与密码即可登录。首次登录时建议勾选「记住密码」与「开机自启」两个选项，前者减少重复输入，后者保证在家庭宽带或办公网环境下随时可用。登录成功后客户端会进入主界面，主界面顶部展示当前连接状态（已连接 / 未连接 / 连接中）、当前节点名称、出口 IP 与延迟 P50 中位数四项关键信息。

节点列表中每个节点后均带有一颗「测速」小图标，点击后客户端会以 ICMP + TCP 双协议对节点发起 3 次采样并取中位数，结果以毫秒为单位显示。快连实验室建议的测速策略是：早高峰 8:00-10:00 与晚高峰 20:00-23:00 这两个时段各测一次，工作时段使用晚高峰的优选结果，避免同一节点白天流畅、夜间拥堵的情况。

首次连接推荐选择「智能优选」模式，客户端会基于延迟、丢包率与负载三项指标自动排序并推荐前 3 个节点。点击「一键连接」后，握手、认证、隧道建立三步在 800ms-1500ms 内完成（基于 QUIC 1-RTT 握手实测，详见第三章）。连接成功后系统托盘图标会变为蓝色实心，右键菜单可执行「断开」「暂停 30 分钟」「切换节点」三项快捷操作。

1.2 断开、暂停与自动重连

断开连接有三种触发方式：点击主界面的「电源」按钮、系统托盘右键选择「断开」、或在设置中开启「按网络切换自动断开」让客户端在检测到可信家庭网络时自动释放隧道。所有断开动作会先发送 FIN 包再关闭本地 socket，确保不会留下半开连接。

「暂停」是断开连接与彻底退出之间的中间态，暂停期间客户端不占用网络资源但保留账号登录态和订阅的节点信息，适合临时离开工位或短暂切换到本地直连模式的场景。系统设置中可自定义暂停时长（15 / 30 / 60 分钟三档），超时后客户端会自动恢复连接。

自动重连默认开启，触发条件包括：网络抖动导致的心跳超时、TLS 会话过期、节点维护下线。当重连触发时，客户端会优先回到「断开前最后一次成功连接」的节点，连续 3 次重连失败则切换为智能优选模式重新挑选节点，避免因单一节点故障陷入死循环。

1.3 节点切换与收藏管理

切换节点的最短路径是：主界面 → 点击节点名称 → 在下拉列表中选择目标区域 → 等待新连接建立。下拉列表默认按「收藏 → 最近使用 → 智能优选 → 全部节点」四组排序，频繁切换时可使用快捷键 Ctrl+1~9 直接跳转到收藏栏前 9 个节点。

收藏节点支持分组管理，最多可建立 8 个分组、每组最多 32 个节点。建议按地理区域（亚太 / 欧美 / 港澳台）或使用场景（办公 / 游戏 / 视频会议）维度组织。收藏夹支持导出为本地 .klfav 文件，便于在多台设备间迁移。

节点操作对照表

路由模式决定了哪些流量走隧道、哪些走本地直连。快连客户端内置三种模式，覆盖从「完全交给客户端」到「按应用精细控制」的不同使用场景。本章解释三种模式的内部规则与典型配置。

2.1 智能模式（自动）

智能模式是默认选项，适合「打开就能用」的大多数用户。客户端启动后会自动扫描可用节点、按延迟与负载排序、并在后台建立 2 条冗余隧道（主 + 备）。流量分配策略基于 ASN（自治域号）与 GeoIP 双重判断，国内 IP 段走本地直连，国外 IP 段走隧道。

智能模式的「自动」特性还体现在节点失效时的 fallback 机制：当主节点掉线或延迟劣化到 200ms 以上时，客户端会在 500ms 内将流量切换到备用节点而不中断用户的操作。该机制依赖客户端内置的 30 秒滑动窗口健康检测，对游戏场景尤其友好。

智能模式下用户可配置的参数只有 3 个：测速间隔（30 秒 / 60 秒 / 5 分钟）、节点切换阈值（100/150/200ms）、是否启用 IPv6 隧道。绝大多数用户保持默认即可，无需手动调整。

2.2 全局模式（手动）

全局模式将所有网络流量都路由到当前选中的节点，包括国内网站的访问。这种模式在某些对 IP 出口有强一致性要求的场景下被使用，例如：需要固定 IP 完成账号登录校验的运维场景、调试跨境回源链路的技术排查场景、需要在海外环境下稳定访问本地局域网资源的远程办公场景。

全局模式下的延迟与带宽表现受限于单一节点的物理位置。以从中国大陆访问美国西海岸节点为例，正常双向延迟 P50 中位数约 145ms，跨境丢包率约 0.3%-0.8%（基于 2026-08 实测）。如果业务对延迟极敏感，全局模式 + 单一远距离节点的组合可能不适合。

全局模式开启后，客户端会在主界面顶部增加一条红色标识「全局模式已开启」，避免用户在不知情的情况下把所有流量都路由出去。这一标识同时出现在系统托盘图标的悬停提示中。

2.3 分应用模式（规则代理）

分应用模式是最精细也最复杂的模式，用户可指定哪些应用走隧道、哪些走直连。配置入口在「设置 → 路由模式 → 分应用代理」。Windows / macOS 客户端基于进程名匹配（支持通配符 * 与 ?），iOS / Android 客户端基于包名匹配。

配置分应用代理的常见组合有：浏览器（Chrome / Firefox / Safari）走隧道获得海外访问能力；办公软件（飞书 / 钉钉 / 企业微信）走直连保持低延迟；游戏客户端按目标区服所在区域就近选择节点；下载工具（迅雷 / IDM）走直连避免消耗隧道带宽。

三种模式对照表

加密协议栈是客户端安全性的核心。本章面向具备一定网络基础的用户，解释快连客户端支持的 4 类加密算法与传输协议的内部工作原理，以及在不同场景下应如何选择。

3.1 对称加密层：AES-256-GCM 与 SM4-CBC

对称加密用于隧道内业务流量的加解密，要求速度快且支持并行。快连默认采用 AES-256-GCM（256 位密钥、GCM 认证模式），在现代 CPU（支持 AES-NI 指令集）下单核加解密吞吐可达 8-12 Gbps，远高于普通家庭宽带的上限，因此加密几乎不会成为性能瓶颈。

对于部分国产化系统（如统信 UOS、麒麟 OS），客户端自动切换至国密 SM4-CBC 算法。SM4 是中国国家密码管理局发布的分组密码标准，分组长度 128 位、密钥长度 128 位，安全性与 AES-128 相当。在国产化平台上使用 SM4 既满足合规要求，也避免了依赖未在国产 CPU 中实现加速的 AES-NI 指令。

两种算法的协商通过客户端启动时的「加密能力声明」阶段完成。客户端告知服务端本地支持的算法列表，服务端按优先级匹配最优项，用户也可在高级设置中强制指定某一种。

3.2 传输协议层：QUIC 与 TCP+KCP

QUIC 是快连的默认传输层协议，基于 UDP 实现 1-RTT 握手（首次连接需 1 次往返，后续连接 0-RTT）。相比传统 TCP+TLS 的 2-RTT 握手，QUIC 在跨海高延迟场景下能节省 100-300ms 的连接建立时间。基于 2026-08 实测，从中国大陆到美西节点的 QUIC 握手 P50 中位数 178ms，而 TCP+TLS 握手 P50 中位数 312ms。

在网络环境对 UDP 有限制（如部分企业网封锁 UDP 443）的场景下，客户端会自动回退到 TCP+KCP 组合。KCP 是基于 UDP 的可靠传输协议（被用在 TCP 受限环境），但在 TCP 隧道中运行时退化为类 TCP 行为以满足网络策略。

QUIC 的多路复用特性意味着一个连接内可承载多个独立的 HTTP/3 流，避免了 TCP 中的「队头阻塞」问题。在同时打开多个标签页或下载多个文件时，QUIC 用户的体验明显优于 TCP 用户。

3.3 密钥协商层：TLS 1.3 与 X25519

所有握手过程都基于 TLS 1.3 协议，密钥交换使用 X25519 椭圆曲线算法（前向保密）。TLS 1.3 相比 TLS 1.2 精简了握手步骤（从 2-RTT 降到 1-RTT），并移除了不安全的旧算法（如 CBC 模式套件、RC4、SHA-1）。

客户端内置证书钉扎（Certificate Pinning）机制，仅信任预先植入客户端的快连服务端证书指纹。即使有攻击者通过中间人方式伪造证书，客户端也会因指纹不匹配而拒绝连接。这一机制在公共 Wi-Fi 场景下尤其重要。

协议栈对照表

DNS 是网络访问的「第一步」，也是隐私泄露最常见的环节。本章解释快连客户端在 DNS 层提供的三重防护机制——加密 DNS、远端解析与防泄漏——以及它们如何协同工作。

4.1 加密 DNS：DoH 与 DoT

传统 DNS 查询使用 UDP 53 端口明文传输，任何中间节点都能看到用户访问了哪些域名。DoH（DNS over HTTPS）将 DNS 查询封装在 HTTPS 流量中，端口为 443；DoT（DNS over TLS）将 DNS 查询封装在 TLS 中，端口为 853。两者都能防止 DNS 查询被窃听或篡改。

快连客户端默认启用 DoH，解析服务器为客户端内置的快连 DNS（基于 Cloudflare 1.1.1.1 与 Quad9 9.9.9.9 双线路）。用户可在设置中选择 DoT 模式（适合对 DNS 延迟极敏感的场景），或关闭加密 DNS（不推荐，仅在排查 DNS 故障时临时使用）。

DoH 的代价是首次解析延迟增加 30-80ms（多一次 TLS 握手），但对于浏览器打开网页的整体加载时间影响微乎其微，因为 DNS 结果会被客户端缓存（默认 TTL 5 分钟）。

4.2 远端解析：隧道内 DNS

在隧道模式下，DNS 查询应当走隧道内部而不是本地网络，避免 ISP（网络运营商）看到用户的访问目标。快连客户端默认在连接建立后把所有系统 DNS 查询路由到隧道内的远端 DNS 解析器，这是「隧道内 DNS」的典型实现。

远端解析的好处是双重的：一方面 ISP 看不到用户的 DNS 查询记录，增强了隐私；另一方面用户在境外的访问请求获得的 DNS 结果是「境内解析器返回的海外 IP」，避免了国内 DNS 污染导致的访问失败。

远端解析的故障排查路径是：在客户端设置 → 网络诊断中查看「DNS 出口」字段，确认显示的是隧道内 IP（如 10.x.x.x 或 172.16.x.x）而不是本地 ISP 分配的地址。

4.3 防泄漏策略

即使开启了隧道模式，仍有几种场景会导致 DNS 泄漏：① IPv6 DNS 查询走了系统默认配置而未被隧道接管；② 部分应用硬编码了自定义 DNS 服务器（如 Chrome 的「安全 DNS」设置）；③ WebRTC 在浏览器中暴露了本地 IP。快连客户端针对这三种场景分别提供了防护策略。

对 IPv6 泄漏，客户端默认禁用系统的 IPv6 DNS 出口，所有解析请求都走 IPv4 隧道。用户也可以选择「保留 IPv6」让 IPv6 查询也走隧道（适用于开启了 IPv6 节点访问的用户）。

对应用硬编码 DNS，客户端在 Windows 平台通过 LSP（Winsock Layered Service Provider）拦截所有 DNS 查询并重定向到隧道内 DNS；在 macOS 平台通过系统扩展（System Extension）实现。Linux 平台则使用 nftables/iptables 规则。

DNS 防护等级对照

分应用代理是高级用户最常用的功能。本章详解三种规则匹配模式（白名单 / 黑名单 / 关键字）的内部机制、性能开销与典型配置案例。

5.1 白名单模式：仅列表中的应用走隧道

白名单模式的工作方式是：默认所有应用走本地直连，仅当应用的进程名 / 包名匹配列表中的规则时才走隧道。这种模式适合「只有少量应用需要访问海外资源」的场景，例如只让浏览器和翻译工具走隧道，其他应用保持国内直连以获得最低延迟。

白名单的优势是节省隧道带宽，企业内部系统、本地办公软件都不消耗节点流量。缺点是如果漏配了某个需要访问海外的应用，需要手动添加规则，否则该应用会因「走本地直连」而无法访问目标网站。

Windows 平台白名单支持通配符，例如 chrome* 可匹配 Chrome、Chromium、Chrome Beta 等所有以 chrome 开头的进程。macOS 平台除进程名外还支持 Bundle ID 匹配（如 com.google.Chrome）。

5.2 黑名单模式：仅列表中的应用走直连

黑名单模式与白名单相反：默认所有应用走隧道，仅当应用匹配列表中的规则时才走本地直连。这种模式适合「绝大多数流量都希望走隧道，只有少量本地应用需要保持直连」的场景。

黑名单的典型应用场景包括：将企业 OA、远程桌面等需要在本地局域网访问的应用加入黑名单，避免它们被错误路由到海外节点造成访问失败；将 P2P 下载工具加入黑名单，避免消耗隧道带宽和节点流量配额。

黑名单的隐藏风险是漏配会导致本地应用访问异常。建议在第一次配置黑名单时，先用一段时间的「观察模式」（仅记录命中但不实际路由），确认所有需要本地直连的应用都被列出后再切换到真实生效。

5.3 规则模式：按应用 + 域名组合精细控制

规则模式是最强大的配置方式，允许用户为每个应用指定不同的路由目标。例如：「Chrome 浏览器走香港节点、企业微信走本地直连、Spotify 走美国节点」。每条规则包含三个字段：应用标识（进程名 / 包名）、目标域名（支持通配符）、路由目标（本地直连 / 指定节点 / 智能优选）。

规则模式的典型案例是「办公场景」配置：浏览器访问 *.google.com 走香港节点、访问 *.baidu.com 走本地直连；企业微信 * 走本地直连；下载工具 * 走本地直连；Git 工具访问 github.com 走日本节点。

规则匹配性能开销对照

流量统计帮助用户了解自己的网络使用情况、识别异常流量、规划套餐升级。本章介绍客户端内置的三类统计视图（实时 / 历史 / 应用分布）以及数据导出的具体方法。

6.1 实时流量视图

实时流量视图位于主界面下半部分，以双折线图展示最近 60 秒的上行（Tx）和下行（Rx）速率。采样间隔 1 秒，刷新间隔 1 秒，图表保留最近 60 个采样点形成滑动窗口。鼠标悬停曲线任意位置可看到该时刻的具体速率值（单位 MB/s 或 Mbps 可在设置中切换）。

实时视图的「峰值速率」字段会记录当前会话的最高速率，重启客户端后清零。如果发现峰值速率持续低于套餐承诺带宽（如 100Mbps 套餐但峰值始终低于 30Mbps），大概率是节点问题，可通过测速与切换节点解决。

实时视图还提供「会话累计」字段，显示当前会话从连接到现在的总流量（上行 + 下行分列）。会话累计数据每 5 秒持久化一次到本地数据库，异常关闭客户端不会丢失。

6.2 历史流量与日历视图

历史流量视图以日历形式展示过去 90 天的每日流量总和。点击任意日期可下钻到当日详情，包括按小时分布的流量柱状图、Top 5 应用流量排行、当日连接节点切换次数三项数据。日历视图支持按周 / 按月聚合，最高可查看过去 12 个月的月度趋势。

历史数据保留期为 90 天，超过 90 天的数据会自动清理（仅本地清理，服务端不做保留）。如需长期保存，可在「设置 → 数据管理 → 导出历史」中将指定时间段的数据导出为 CSV 文件。

历史视图的「异常告警」机制会标记流量异常突增的日子，例如某日流量是近 30 日平均值的 3 倍以上时会用红色感叹号标注。异常告警可在「设置 → 通知 → 流量异常告警」中关闭。

6.3 应用分布与节点分布

应用分布视图按应用（进程名 / 包名）统计最近 7 天 / 30 天 / 90 天的流量消耗。视图以环形图展示 Top 10 应用，剩余应用合并为「其他」。点击扇区可下钻到该应用的详细流量趋势与连接的节点列表。

节点分布视图按节点统计流量消耗，帮助用户识别最常用的节点。基于这一数据，用户可以优化收藏夹——把最常用的 5-8 个节点放在收藏最前面，避免每次都要滚动列表查找。

6.4 数据导出

数据导出支持两种格式：CSV（Excel / Numbers 可打开）和 JSON（便于程序化处理）。导出范围可选择「最近 7 天」「最近 30 天」「自定义时间段」，导出文件包含原始数据（按小时聚合）而不只是图表渲染结果。

流量监控指标对照表

账号管理是用户权益的基础。本章介绍客户端内可执行的账号操作、套餐升降级流程、设备管理与退款规则，所有操作均通过客户端内嵌的「账号中心」完成。

7.1 套餐类型与设备数限制

快连官网提供三种基础套餐：月卡（30 天有效）、季卡（90 天有效）、年卡（365 天有效）。每个账号可同时在线的设备数量根据套餐不同：月卡 3 台、季卡 5 台、年卡 8 台。超出设备数限制时，最早登录的设备会被强制下线（不弹窗提示，直接断开）。

设备管理列表展示当前账号下所有已登录设备，包含设备名称、操作系统、最后活跃时间、累计流量四项信息。用户可在此手动将不再使用的设备「登出」，立即释放设备名额。

套餐到期前 7 天，客户端登录后会弹出续费提醒横幅。横幅同时出现在客户端主界面和移动端推送通知中。已过期账号仍可登录客户端查看历史流量，但无法建立连接，提示「套餐已到期，请续费」。

7.2 续费、升级与降级

续费可在「账号中心 → 我的套餐 → 续费」中选择同档位套餐延长有效期，续费时长叠加在当前有效期之后。升级（如月卡升级年卡）按差价补足，新有效期从升级当天起算 365 天。降级（如年卡降级月卡）不支持在套餐有效期内操作，需等到期后再降级。

所有支付通过快连官网完成（不在客户端内支付），客户端仅展示订单链接和支付状态。支持的支付方式包括：支付宝、微信支付、银联（部分套餐）。企业用户可联系商务邮箱 [email protected] 申请对公转账。

续费成功后新套餐权益立即生效，无需重新登录客户端。如果发现权益未生效，可在「账号中心 → 套餐状态」中点击「刷新权益」强制从服务端拉取最新状态。

7.3 退款规则

快连支持购买后 7 天内无理由退款，前提是账号累计使用时长不超过 24 小时、累计消耗流量不超过 10GB。退款申请通过客户端「账号中心 → 申请退款」提交，需填写退款原因（多选）和支付宝 / 微信收款账号。

退款审核周期为 1-3 个工作日。审核通过后款项原路退回（支付宝 / 微信）或通过转账退回（银联），到账时间依支付渠道而定，一般 1-7 个工作日。已使用超过 24 小时或累计消耗流量超过 10GB 的账号不再支持无理由退款，但可联系客服协商部分退款方案。

账号操作速查表

故障排查是手册的最后一章，按用户最常遇到的四类问题分类：连接建立失败、连接速度过慢、连接频繁掉线、账号状态异常。每类问题给出诊断流程、自助排查步骤与何时需要联系客服的判断标准。

8.1 连接失败（握手超时 / 认证失败）

连接失败的典型表现是：点击「一键连接」后进度条卡在「正在连接」状态超过 30 秒，最终弹出错误提示「握手超时」或「认证失败」。

第一步排查路径：① 检查本地网络是否通畅；② 检查账号密码是否正确（重新输入并勾选「显示密码」确认）；③ 检查账号是否到期（账号中心 → 我的套餐）；④ 检查客户端版本是否最新。

第二步排查路径：① 在「设置 → 网络诊断」中运行诊断工具，工具会自动测试 TCP 443 / UDP 443 / QUIC 握手三步；② 如果 UDP 443 被防火墙拦截（公司网常见），切换传输协议为 TCP+KCP；③ 如果所有协议都无法连接，临时关闭本地防火墙 / 杀毒软件后重试。

8.2 连接速度过慢

速度过慢的典型表现是：连接成功但下载速率远低于套餐承诺值（如 100Mbps 套餐实测仅 5Mbps）。

排查路径：① 对至少 5 个不同节点执行「测速」，排除延迟 P50 超 200ms 或丢包率超 1% 的节点；② 检查本地是否开启了 P2P 下载、视频会议、网盘同步等后台流量；③ 在「设置 → 路由模式」中切换到「分应用模式」，把 P2P 类应用加入黑名单。

常见误区是把单次慢速归因为「节点问题」，实际上 80% 的慢速问题来自本地因素。建议在排查时先断开其他设备的连接、关闭后台应用后重新测速。

8.3 连接频繁掉线

掉线的典型表现是：连接维持几分钟到几十分钟后自动断开。常见原因有四类：① 网络切换（Wi-Fi ↔ 移动网络）；② 节点维护或过载；③ 心跳超时设置过短；④ 本地防火墙 / 杀毒软件主动断开。

针对网络切换：客户端提供「网络变化自动重连」选项，启用后切换网络时会在 3-5 秒内自动重连。针对节点过载：在主界面查看节点负载指示灯，绿色为正常、黄色为繁忙、红色为过载，过载节点应避免使用。

8.4 账号异常（异地登录 / 余额异常）

账号异常的典型表现是：收到异地登录提醒短信、客户端提示「账号已在其他设备登录」、或套餐有效期突然缩短。出现这些情况应第一时间修改密码并检查设备管理列表。

紧急处理步骤：① 进入「账号中心 → 安全设置 → 修改密码」，密码长度不低于 12 位；② 在「设备管理」中将不认识的设备全部「登出」；③ 开启所有登录提醒方式；④ 怀疑被盗用立即联系 [email protected] 申请冻结。

故障分类速查表