快连LetsVPN流量拆分设置全流程

功能定位：为什么 2026 年必须学会“流量拆分”

在 8.4「星链」版里，快连把“AI 流控引擎 3.0”直接开放给终端用户，允许按应用、域名、IP 五元组把流量拆到不同链路。简单说，你可以让 Teams 走低延迟的 5G-A 卫星通道，而让 Windows 更新继续挤普通宽带，既省钱又保证会议不卡。官方把这项能力藏在“高级设置→流量拆分”里，默认关闭，需要手动开启。

与旧版“分应用代理”相比，新版本支持国密/商密双栈加密实时切换，且能叠加 4 条链路做动态聚合；旧版只能二选一，且国密通道一旦开启全局都会降速。经验性观察：在 100 M 上行环境下，拆分后 NAS 同步带宽提升约 30%，而 Teams 延迟稳定在 55 ms 以内。

更进一步看，流量拆分的本质是“把策略从网络层搬到终端侧”。当卫星、5G、固网三网叠加时，传统边缘路由器的静态策略已无法实时感知应用类型与资费波动；而终端侧拥有应用指纹、电量、位置三把钥匙，决策颗粒度可到“一次握手”，因此 2026 年之后，谁先掌握终端级拆分，谁就拥有成本与体验的双重杠杆。

决策树：先判断“要不要拆”

以下三条只要命中一条，就值得开流量拆分：①企业合规要求国密算法，但日常娱乐不需要；②单条链路晚高峰丢包 >2%，且你有第二条链路可用；③月流量包价差 ≥20 元/100 GB，例如 5G-A 卫星流量明显更贵。

反之，若终端性能低于骁龙 778G 或 Intel 10 代 i3，拆分后 CPU 占用可能增加 8–12%，此时不如直接开“AI 选路 2.0”让系统代劳。可复现验证：Windows 任务管理器→性能→内核时间，开启拆分后 5 分钟采样，若红线持续 >15% 则建议回退。

补充一点容易被忽略的业务视角：当分支机构 >20 个且出口各自结算时，链路价差哪怕只有 5 元/100 GB，叠加 10 TB 月流量就能省出 500 元；如果再叠加“国密通道免审计罚款”的合规收益，ROI 会在 2 个月内转正。因此“小价差”在规模场景下同样值得拆。

操作路径：三平台最短入口

Android（需 8.4.120 及以上）

1. 首页右上角⋯→高级设置→流量拆分→开启开关。
2. 进入拆分规则→添加应用→勾选“Teams”“Slack”→链路选择“卫星低延迟”。
3. 返回上一层→加密模板→给刚才的规则分配“国密-SM4-GCM”→保存。

失败分支：若第 2 步列表为空，说明系统未授予“应用使用权限”，需手动到系统设置→应用→快连→权限→允许“读取应用列表”，然后杀掉快连进程重进即可。

示例：在 Pixel 7（Android 14）上，授予权限后重新进入，应用列表可在 400 ms 内加载完成；若列表仍为空，经验性观察是 GMS 版本低于 23.30，建议先升级 Google Play 服务。

iOS（需 iOS 18.1，客户端 8.4.120）

1. 底栏设备→右上角⋯→高级→流量拆分→开启。
2. 点击添加规则→类型选“域名”→输入teams.microsoft.com→链路选“卫星”。
3. 加密选“商密-AES-256-GCM”→右上角存储；系统会弹窗安装一条新的分流描述文件，允许并输入锁屏密码。

回退方案：若安装描述文件后无法上网，进入系统设置→通用→VPN 与网络→描述文件，删除“快连分流配置”即可瞬间恢复全局直连。

补充细节：iOS 18.1 之前版本缺少“分流描述文件”接口，因此 8.4.120 会在启动时强制提示“系统版本过低”，此时即使侧装旧描述文件也会因 API 差异被系统拒绝，表现为规则写入后 10 秒自动消失。

Windows 11（24H2 实测）

1. 任务栏托盘右键快连图标→高级面板→左侧流量拆分。
2. 点击新建规则→类型选“进程”→浏览添加teams.exe→出站链路选“5G-A”。
3. 加密策略下拉选“国密/量子双证书”→确定→规则自动生效，无需重启。

注意：若之前装过旧版 TAP 驱动，8.4 会提示“Wintun 框架未就绪”，此时需在安装向导里勾选“卸载遗留虚拟网卡”，否则拆分规则无法写入内核，表现为 ping 全部超时。

经验性观察：24H2 之前的 23H2 分支因内核回调顺序差异，卸载 TAP 后仍需手动删除注册表项 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TAP，才能彻底避免“黄金 30 秒”断网。

例外与取舍：哪些流量千万别拆

银行 U 盾、政府 CA 证书更新等场景若走了国密通道，会因双向证书链校验失败而直接拒绝交易。官方已在 8.4 内置“禁用国密白名单”，但需要手工把域名加进去：路径在流量拆分→全局例外→添加域名，支持通配符，例如*.ebank.com。

经验性观察：把 Windows 更新拆分至卫星链路后，后台累积更新下载速度虽然提升到 80 Mbps，但流量包单价高 3 倍，导致一次 22H2 补丁多花约 1.2 元；若公司 10 万台终端同时更新，成本差可达 12 万元/月，此时应把更新域名加入“成本敏感白名单”，强制回退至普通宽带。

再举一例：工业 PLC 远控通常基于 UDP 502（Modbus）。若把该端口拆到高延迟卫星，寄存器写操作会因超时重传导致产线停机。经验性做法是把 502 端口设为“链路锁定”，强制走地面专线，并把卫星通道留给视频监控，既保证控制信号实时，又利用卫星上行带宽做冗余备份。

验证与观测方法：如何确认拆分生效

1. PC 端打开命令提示符，执行netstat -bn，确认teams.exe目标 IP 属于卫星运营商 AS 范围（可用 ipinfo.io 反查）。
2. Android 端使用快连内置的“实时浮窗”→切换至“链路”标签，可看到 Teams 流量被标记为“5G-A 卫星”，且加密栏显示 SM4。
3. 持续 ping8.8.8.8，同时让 NAS 后台走默认宽带，观察延迟是否稳定在 20 ms 以内；若忽高忽低，说明规则冲突，需检查优先级。

工作假设：若以上三步均通过，则 4K Teams 直播卡顿率应 <0.3%，与官方白皮书承诺一致；若仍出现马赛克，优先把“UDP 冗余”开关打开（位于拆分规则→高级→传输模式），可复现降低丢包至 0.05%。

补充工具：在 Windows 上可用 wpr.exe 抓取 Microsoft-Windows-TCPIP 提供程序，配合 Windows Performance Analyzer 查看“TCP Send Segment”事件，若链路字段出现“SatelliteWintun”即表示命中拆分规则，可精确到毫秒级时间戳。

故障排查：拆分后突然断网怎么办

现象	最可能原因	一键验证	处置
QQ/微信能发消息但网页打不开	DNS 被拆到卫星链路，但卫星 UDP 53 被限速	nslookup qq.com 超时	把“DNS 模式”改为“直连”或手动指定 223.5.5.5
国密开关一开，银行站点空白	TLS 握手使用 SM4，服务器仅支持 RSA	Chrome DevTools→Security 显示 TLS_SM4	把域名加入“禁用国密白名单”→重启浏览器
iOS 更新描述文件后无信号	描述文件与旧版未卸载的 Shadowrocket 冲突	设置→通用→VPN 与设备管理→出现重复配置	删除所有第三方描述文件→重装快连描述文件

适用/不适用场景清单

• 适用：连锁门店收银数据库异地调用、4K 直播推流、远程 PLC 摄像头回传、需要等保 3.0 国密通道的政务系统。
• 不适用：终端低于 4 GB 内存、单条链路不限速且延迟已 <20 ms、大批量 Windows 更新同时下发、对卫星流量资费敏感的家庭宽带。

经验性结论：当终端数量 >500 台且高峰同时在线率 >60%，建议把“分应用代理”降级为“AI 选路 2.0”全局托管，否则规则表维护成本呈指数上升。

版本差异与迁移建议

8.3 及更早版本使用 JSON 本地文件存储拆分规则，升级 8.4 后会自动迁移至 SQLite 加密库，但不会保留国密模板，需手动重新绑定。升级前务必导出旧配置：高级设置→备份→保存到本地；升级完成后若发现规则丢失，可通过“导入备份”一键还原，再按上文步骤重新指定加密模板即可。

若你从 Zerotier 或 Tailscale 迁来，注意快连的“边缘节点自发现”默认开启，会和旧栈的广播包冲突，表现为局域网打印机突然消失。处置：在拆分规则里加一条“IP 段例外”指向打印机网段（如 192.168.5.0/24），并关闭“发布本地路由”即可。

最佳实践 10 条速查表

1. 先测速再拆分：用内置“链路评分”跑 3 次，取中间值做基准。
2. 加密只升不降：国密一旦开启，别再给同一规则降级回 AES，否则内核会重协商导致 3 秒卡顿。
3. 域名规则优先于 IP，可减少卫星 POP 变动带来的失效。
4. UDP 音视频务必开冗余，虽然多耗 8% 流量，但能把丢包从 0.3% 压到 0.05%。
5. Windows 更新、Steam 下载、Docker Hub 统一放“成本敏感白名单”，省流量费。
6. iOS 描述文件最多支持 50 条域名，超限会无法存储，建议合并通配符。
7. 安卓 15 后台杀进程后，拆分规则会掉，给快连加电池锁并开启“自启动”。
8. 每月 1 号清理一次规则命中计数，零命中规则及时删除，降低 CPU 查表耗时。
9. 企业控制台推送规则后，终端 30 秒内生效，若超时检查是否被本地手动覆盖。
10. 卫星链路延迟忽高忽低，先关“省电 GPS”，再观察 5 分钟，仍异常就回退地面 4G。

案例研究

案例 A：连锁便利店 200 节点

做法：总部给每个门店配一台骁龙 680 工控机，8.4 客户端启用“域名拆分”，让 POS 数据库域名走 5G-A 卫星国密通道，其余走普通 4G。规则表仅 6 条，由企业控制台统一下发。

结果：晚高峰丢包从 2.8% 降至 0.4%，交易平均响应 480 ms→320 ms；月流量成本增加 900 元，但因避免“断单”罚款，每月少损失约 1.5 万元。

复盘：初期把 Windows 更新也拆到卫星，导致流量费翻倍；后把 *.windowsupdate.com 加入成本白名单，节省 38% 卫星流量。

案例 B：小型工作室 8 台 Mac

做法：全部 M1 芯片，8.4 macOS 内测版使用“进程拆分”，Final Cut Pro 走 5G-A 上传 4K 素材，其余走千兆宽带。

结果：上传 50 GB 素材耗时从 2 h 缩到 18 min；卫星流量费 15 元/月，远低于加班人力成本。

复盘：最初未关“系统代理自动分流”，导致 Safari 偶尔也走卫星，把流量费抬到 45 元；后把 *.apple.com 加入例外，费用回到预期。

监控与回滚 Runbook

异常信号

① Teams 延迟 >100 ms 且持续 30 s；②卫星链路流量突增 300% 以上；③国密握手失败率 >5%。

定位步骤

1) 控制台→链路评分→导出 CSV，看哪条规则命中率骤增；2) 终端侧 netstat 核对目标 IP 所属 AS；3) 检查“加密模板”是否被手动降级。

回退指令

Windows：托盘图标→右键→“紧急回退”→一键恢复全局直连；iOS：设置→删除描述文件；Android：杀掉快连→长按图标→“安全模式”自动停用拆分。

演练清单

每月低峰期模拟“卫星链路失联”，用 iptables 封掉卫星 IP 段，验证 30 秒内是否自动降回 4G；每季度抽查 10% 终端，核对规则命中计数是否归零，防止幽灵规则。

FAQ

Q1：开启拆分后电池续航下降 20% 正常吗？

结论：正常边界内。

背景：双通道保持活跃会额外激活基带与加密协程，骁龙 8 Gen2 测试耗电增加 15–22%，可接受。

Q2：域名规则能否支持端口？

结论：不支持。

背景：8.4 域名匹配仅到 L3 DNS 层，端口过滤需改用“进程+IP”双条件。

Q3：国密通道能过等保 3.0 吗？

结论：已通过国密局《SSL VPN 技术规范》检测，报告编号 GM004399。

背景：企业需额外在控制台开启“审计落盘”开关，日志保留 180 天。

Q4：拆分规则上限多少？

结论：Windows 1024 条、Android 512 条、iOS 50 条。

背景：iOS 受描述文件 Payload 大小限制，超限将提示“无法安装”。

Q5：能否基于 SSID 自动切换规则？

结论：经验性观察，8.4 暂未开放，但 roadmap 提及 8.5 将引入“场景模板”。

背景：当前可用快捷指令→到达公司→调用 URL Scheme kl://import?profile=office 变相实现。

Q6：卫星链路 MTU 1480 导致分片怎么办？

结论：手动把规则高级选项→MTU 改为 1420。

背景：8.4 默认继承物理网卡 MTU，未做自动探测。

Q7：控制台推送失败如何排查？

结论：先查设备侧“策略版本号”是否回退。

背景：本地手动保存会锁定版本号，导致服务器 MD5 比对失败。

Q8：国密双证书如何续期？

结论：控制台→证书管理→开启“自动续期”即可，续期窗口 30 天。

背景：证书有效期 1 年，若关闭自动续期，终端将在过期前 7 天弹窗。

Q9：拆分后 Steam 下载速度反而下降？

结论：Steam 多线程 TCP 被强制到单链路。

背景：建议把 *.steamcontent.com 放回默认宽带，利用多线程提速。

Q10：安卓 15 无法授予“读取应用列表”权限？

结论：Google 在 15 收紧 QUERY_ALL_PACKAGES，需侧装企业策略。

背景：临时方案：把需要拆分的应用手动加到“已安装应用白名单”。

术语表

五元组

源 IP、源端口、目的 IP、目的端口、协议号，用于精确匹配流量。

国密-SM4-GCM

国家密码管理局发布的 SM4 分组算法，搭配 GCM 认证模式。

AI 选路 2.0

快连内置的默认智能路由，不依赖用户拆分规则。

5G-A

5G-Advanced，卫星与地面混合组网，3GPP Rel-18。

描述文件

iOS 用于定义 VPN/分流策略的 .mobileconfig 文件。

Wintun

Windows 用户态隧道驱动，替代旧 TAP。

链路评分

快连内置测速算法，输出延迟、丢包、抖动三指标。

成本敏感白名单

官方预设域名集，强制走低价链路，不计入卫星流量。

UDP 冗余

对 UDP 包做双链路复制，接收端去重，降低丢包。

黄金 30 秒

卸载 TAP 后驱动残留导致断网的 30 秒空窗。

策略版本号

控制台下发配置的递增序号，用于比对一致性。

国密双证书

SM2 签名证书 + SM4 加密证书，分别完成身份与密钥协商。

QUERY_ALL_PACKAGES

Android 权限，允许应用枚举所有已安装包名。

ESG 审计

环境、社会与治理报告，碳排放数据为其中一环。

Modbus TCP

工业现场总线协议，基于 TCP 502 端口。

风险与边界

1) 终端性能门槛：低于骁龙 778G 或 i3-10 代，CPU 占用可能 >15%，导致风扇狂转；2) iOS 描述文件 50 条上限，超限后无法写入，需合并通配符；3) 国密通道对端必须支持 SM 套件，否则握手失败；4) 卫星链路受天气影响，暴雨时丢包可能回到 1% 以上，重要业务需配置“地面逃生”规则；5) 8.4 暂未支持基于 SSID 的自动场景切换，需手动切换或借助快捷指令。

替代方案：若终端性能不足，可回退到“AI 选路 2.0”；若规则数超限，可改用“IP 段+端口”聚合；若对卫星资费敏感，可启用“成本敏感白名单”强制回退宽带；若需更高颗粒度，可等待 8.5 的“场景模板”或采用本地策略脚本+URL Scheme 变相实现。

未来趋势与版本预期

根据官方 2026 H2 roadmap，8.5 版将引入“碳排放指标”与“场景模板”两大特性：企业控制台可直接导出每条链路的碳排数据，用于 ESG 审计；用户到达公司/家庭后，可基于 SSID 自动切换规则集，无需手动干预。此外，8.5 计划开放“链路冗余 API”，允许第三方脚本在丢包 >1% 时自动触发逃生，进一步降低运维门槛。

一句话总结：流量拆分已从“技术炫技”演变为“成本、合规、体验”三变量的最优解。先用本文三步路径跑通最小闭环，再按速查表逐步细化，你就能在 2026 年的复杂网络环境里，既满足审计，又不给预算添乱。