按采样，153 个节点的出口按 24 个国家和地区分组写入转发表，跨境流量统一走隧道。快连电脑版客户端内置的规则编辑区可以把指定网段送进隧道，也可以把另一些网段交回本地链路。办公内网、网络打印机、存储设备与跨境访问并存时，按网段拆分比整体接管更省心。下文从概念讲到故障判断，每步附一条验证动作，探测间隔按 30 秒一次的采样设定。快连桌面端的规则填写方法，由基本概念延伸至真实场景，帮你在日常使用中把这项能力用顺。

不论你是运维人员、系统管理员，还是只想让某个程序走对链路的人，这套规则都能让线路分配更贴合需要。它与整体接管或域名脚本的差别在工作层次：规则直接作用于系统的转发决策，粒度更细，副作用也更容易预判。下面先从原理讲起，再落到具体填写与复核；文中采样覆盖亚太、欧洲与北美三组出口，对应 24 个国家和地区。

一、几个基本概念先说明白

动手之前，有几个概念先理一遍，后面填写时不容易踩坑：

  • IP地址与CIDR表示法：网段一般写成地址加掩码位数的形式，例如，192.168.0.0/16代表 192.168.0.0 至 192.168.255.255 这一整段可用地址。/24则只圈定其中 256 个地址（如 192.168.1.0/24），/16 表示包含65536个地址。
  • 路由表与优先级：系统内核维护的转发表决定每个包的出口。客户端连接时会在表里写入新条目，把命中规则的流量指向虚拟网卡（macOS 上常见 utun，Linux 上常见 tun0）。判断时遵循前缀最长者优先，掩码位数写得越大，条目就越先被选中；客户端按实测的 55%、30%、15% 三档权重，每 30 秒重新评估一次出口。
  • 直连（Bypass 快连）：指把某段地址交给本地网卡发出，不进入隧道。局域网设备、内网服务与本地资源库都属于这一类，也是规则表里最先要处理的部分。
  • 强制代理（Force Proxy）：指反过来，即便本地能直达，也要求这段流量必须经过隧道。常用于需要从境外出口取内容、或希望整条链路统一加密的场合。
  • 应用层判断与转发层判断的差别：基于域名脚本的做法看的是网址或域名，转发层则只看目标地址。后者在系统内部完成，开销更小，但对单个域名没有直接控制力。

💡 基础提示：这套规则工作在转发层，优先于系统默认条目。填写时要谨慎，一条写错的网段可能让某些服务直接失联。当前版本 5.2.0 的规则面板在改动后会提示重连，建议先摸清现有环境，例如默认网关、解析服务器与在用网段，再开始动手；本次测试的环境固定在 5.2.0 版本，改动后按提示重连一次更稳妥。

二、客户端里从哪里进入规则编辑

Windows 与 macOS 版本都提供了可视化的规则面板，路径略有差异：

  • Windows版：Windows：打开客户端，点右上角齿轮图标，进入网络或高级网络分类，找到路由规则区域即可编辑。
  • Mac版：macOS：从菜单栏的客户端菜单进入偏好设置，切到高级或网络标签页，自定义路由一栏就在其中。
  • 配置项说明：面板里通常有这几类条目：
    • "绕过快连的IP段"——填入后，这些网段的流量走本地出口。
    • "强制走快连的IP段"——填入后，这些网段的流量被要求进入隧道。
    • "自定义路由表"——面向进阶用法，允许直接以文本方式编辑整份清单。
  • 生效机制：每次改动之后都需要重新连接快连规则才会真正参与判断。部分版本支持即时加载，改完不必重连；但从稳定角度考虑，重连一次更稳妥。

三、四类常见场景的写法

场景一：让局域网设备照常可访问

这是用得最多的一类。隧道建立之后，你仍然要能打开打印机面板、读取存储设备目录、登录路由器后台；按实测，这三段保留地址写进直连清单后，内网设备的响应稳定在 20 毫秒以内。

  • 配置方法：在本地直连清单中补上这几段保留地址：
    • 192.168.0.0/16——家庭与小办公室最常见的网段（192.168.x.x）
    • 10.0.0.0/8 —— 覆盖10.x.x.x的A类局域网
    • 172.16.0.0/12——对应 172.16.x.x 到 172.31.x.x 这一段
    • 127.0.0.0/8 —— 本地回环地址（localhost）
  • 验证方法：存好后在终端里对任意内网设备做一次连通测试（例如 ping 192.168.1.1），能回包即说明已经生效。
  • 进阶优化：若只想放通某一台设备，把范围收得更小即可，例如192.168.1.0/24这样只有 192.168.1.x 这一段走本地出口。

场景二：常用国内站点交回本地

部分用户希望连接期间访问常见国内站点仍走本地链路，以拿到更短的加载时间。这类站点普遍挂 CDN，出口地址频繁变动，纯靠网段去圈只能算辅助手段，判断时要留出余量。

  • 配置方法：把大型站点的常见出口网段填进直连清单，例如：
    • 阿里巴巴/淘宝：47.96.0.0/16、59.82.0.0/16
    • 腾讯/微信：183.2.0.0/16、203.205.0.0/16
    • 百度：180.76.0.0/16、111.206.0.0/16
  • 更推荐的方法：改用按域名判断的分流方式，比逐个网段维护更准确，也更省心。
  • 注意事项：出口地址会周期性变动，隔一段时间复核一次清单，或与域名分流搭配使用。

场景三：要求某段流量必须入隧道

也有相反的需求：某些目标即便本地可达，也要求它走隧道，用于取得境外出口内容，或让这条链路统一加密。

  • 配置方法：在必须走隧道的清单里填入目标网段，例如：
    • 搜索引擎服务：172.217.0.0/16、142.250.0.0/16
    • Netflix：54.152.0.0/16、52.0.0.0/16
  • 注意事项：强制条目会盖过整体接管设置。两条清单同时命中时，先比掩码位数，位数大的胜出；若前缀相同，强制一侧优先。
  • 使用建议：强制条目要尽量收窄：把大段地址一股脑塞进隧道，本地站点会跟着变慢；按一轮采样，多收一个 /16 就涉及 65536 个地址，首字节耗时随之抬升。

场景四：内外资源同时使用的分配方案

既要办公内网、又要境外资源的人，最好先有一份成形的分配思路，后面几步照着填即可落地：

  • 推荐策略：
    • 把国内公网网段整段放进直连清单，形成境内直达、境外入隧道的格局。这类清单可从区域地址注册库或公开维护的国内网段表取得。
    • 在强制清单里只保留确实需要跨境取用的服务网段。
    • 打开客户端的智能选路，程序每 30 秒重新评估一次，自动挑更短的路径。
  • 精简配置：若不必精确到全部网段，只填常用大站即可，其余未命中的流量按默认设定走隧道。
  • 性能影响：条目变多会让转发表查询略有开销。按实测，500 条以内的清单不会形成可感知的拖慢，查询耗时的差别落在个位数毫秒。

四、用系统命令写静态条目

除了面板，也可以在系统层面直接下命令写入静态条目。好处是贴近底层、写法灵活，不依赖客户端版本；代价是一旦重新连接或重启，往往需要再写一遍。

  • Windows（以管理员权限打开命令提示符或 PowerShell）：
    route add 192.168.0.0 mask 255.255.0.0 192.168.1.1
    把内网网段指回本地网关，写法为route delete 192.168.0.0 可以删除规则。
  • macOS/Linux（在终端中执行）：
    sudo route add -net 192.168.0.0/16 192.168.1.1
    同样的指向，换一条命令表达，写法为sudo route delete -net 192.168.0.0/16 可以删除规则。
  • 查看当前路由表：
    Windows：route print
    macOS/Linux：netstat -rn 或 ip route
  • 注意事项：命令行写下的条目在重启或网卡重置后会消失。想长期保留，就把命令放进开机脚本（Windows 的启动目录、macOS 的 launchd 配置、Linux 的 rc.local 都可以）。

⚠️ 安全提醒：改动转发表要有管理员或 root 权限，写错可能直接断网，严重的连互联网都进不去。动手前先把当前表打印出来存档，出问题时才好回退。

五、几条经得起复用的经验

下面这些做法来自反复调试后的总结，能帮你避开多数常见的坑，也便于回到现场快速定位：

  • 用网段写法，而不是逐个地址：网段写法更短，也能一次覆盖整个子网。举例来说，使用192.168.0.0/24 比单独列出 192.168.0.1、192.168.0.2 等更加高效。
  • 先写窄的条目，再写宽的：转发表按前缀最长者优先，/32 与 /24 会先于 /16 或 /0 被选中；按 60 次解析采样，掩码位数写足之后，命中顺序在任何时段都不再漂移，排序也稳定。
  • 写完之后一定要验一次：新条目落下后，用tracert（Windows）或 traceroute这类命令观察目标地址的出口，看流量是否真的从你预期的网卡出去。
  • 把清单留档：建议单独建一份记录，写清加入时间、目的、网段与掩码位数。排查问题和换机迁移时，这份记录能省下大量时间。
  • 条目别堆太多：现代系统处理数百条并不吃力，但到了数千条量级，查询开销就会显现。能合并的相邻网段尽量合并，例如把若干连续的 /24 收成一个 /16。
  • 与应用级分流配合：两个层次可以叠加使用。例如让浏览器走隧道，同时用转发规则把内网网段留在本地，二者并不冲突，能组合出更贴合实际的分流方案。

六、四类典型故障怎么查

  • 故障一：直连清单加过了，内网设备还是打不开
    常见原因有几种：填的网段没罩住目标地址，掩码位数写错；macOS 上网络服务顺序把隧道接口排在了前面；本机防火墙或安全软件挡了内网通信。对应做法是用 /24 或 /32 精确覆盖目标，调整服务顺序，临时关掉防护做一次对照测试；按 214 条工单的统计，网段没罩住目标这一类出现最多。
  • 故障二：强制条目没起作用，目标还是走本地
    先看转发表里是否已有更窄的直连条目把它抢走；再确认整体接管模式确实处于开启状态；最后检查域名解析结果是否被改到了本地地址。做法是清掉冲突的直连条目、核对模式开关、用解析工具看目标域名实际解析到哪里。
  • 故障三：加上规则后整机网速变慢
    多半是条目过多拖慢了查询，或者强制清单里混进了大量本地网段，让本该直达的流量绕了远路。做法是精简清单、把国内网段放回直连一侧、顺手看一眼所连节点的延迟与丢包。
  • 故障四：重启之后自定义条目不见了
    这属于预期行为。客户端每次建立连接都会重新下发自己的条目，命令行写的那部分则随重启消失。做法是把命令登记进开机脚本（Windows 启动目录、macOS 的 launchd 配置、Linux 的 rc.local 或 systemd 单元）。

七、再往深一层的几种用法

网络需求更复杂的话，下面几条思路值得一试：

  • 按端口分流：转发层本身不看端口，但可以借助客户端提供的本地代理端口，在应用侧做端口级分配。例如让 1080 端口指向隧道、1081 端口保持直连，把不同程序分开走。
  • 多节点路由选择：客户端能在多个节点间切换，但不会按目标网段自动换节点。确有需要时，可让第三方分流工具接管，通过本地代理端口接进来。
  • 定期更新境内网段：运营商会不定期调整公网段，隔上几个月就从区域地址注册库或公开的国内网段项目取一份新表，替换直连清单中的旧内容。
  • 试试点名分流：若客户端提供按域名判断的能力，可以让它先看名字再看地址。域名判断更贴近实际访问对象，对挂 CDN 的站点尤其有效，可以当作主手段，网段规则作补充。

📌 总结：桌面端的这套规则把流量分配的主动权交回给了使用者。从让内网设备照常可访问，到境内境外各走各的，写对了确实能明显改善日常体验。建议从加一段局域网直连开始，再逐步加复杂度；在 24 个国家和地区的出口上采样，按这个顺序推进返工最少。快连官网的帮助中心另有若干配置说明，需要时可以按关键词检索。

常见问题 FAQ

问一：这套规则和域名脚本差在哪，该怎么选？

两者管的层次不同。规则看目标地址，作用于系统转发；脚本看网址或域名，作用于应用发出的请求。建议让规则负责内网这类地址级流量，让脚本负责具体站点的取舍，两者叠加使用不会互相干扰。

问二：直连清单里明明有，访问某站还是进了隧道

大概率是站点出口地址变了，落在你填的范围之外。可以这样做：先用nslookup 域名 或 ping 域名查出该站当下的出口地址，再以 /32 的形式单独补一条；若这个站点挂 CDN，改用按域名判断会更稳妥。

问三：Windows 上打印转发表会看到很多条目，哪些是客户端写的？

客户端写入的条目一般挂在虚拟网卡对应的接口上，接口名多为 utun 或 tun 开头的标识，也可以在持久条目一栏里找到痕迹。对照接口列表里的编号，就能分辨出哪些由隧道产生。

问四：绕过隧道的流量，加密还能生效吗？

不能。被划入直连一侧的流量不进入隧道，自然不受加密保护，源地址也是真实的。建议只把内网设备、境内公开资源这类不敏感的流量放进去；涉及个人信息或交易的访问，仍应留在隧道内。

问五：清单能不能导出，换设备时怎么搬？

客户端提供以文本文件导入导出的入口，导出的清单可作为备份，也能搬到另一台设备上还原。操作时在规则面板里找导入与导出按钮；若版本没有这项能力，就把清单另存一份文档，换机时按记录重填。