快连Kuailian如何开启局域网白名单让内网设备免代理？
功能定位：为什么需要局域网白名单
快连 Kuailian 默认把系统级代理“一刀切”——本机所有流量，包括访问 NAS、打印机、智能摄像头的请求，都会被塞进加密隧道。网页秒开，局域网却集体失联。局域网白名单（Local Network Bypass）正是把 192.168.0.0/16、10.0.0.0/8、172.16.0.0/12 这类私网地址排除在外，让“加速”与“内网直通”不再互斥。
经验性观察：自 10.4.2 版起，白名单策略由“静态 IP 段”升级为“动态适配 + 多接口检测”。软件在建立隧道前会扫描活跃网关，若发现默认网关落在私网段，即自动把该段加入例外，省掉手动填写。升级后，旧路由表会被标记为 Legacy，并提示“已弃用，请迁移至白名单面板”。
版本演进：白名单策略的三次迭代
v9.x 时代：手动写路由，门槛高
Windows 用户得在 PowerShell 里敲 route add，换 Wi-Fi 就重来；macOS 用户要算子网掩码，写 /etc/pf.anchors/com.kuailian，系统升级还常被苹果重置。
v10.0–10.3：图形化白名单，但仅支持单段
客户端首次出现“局域网直通”开关，默认只放行 192.168.1.0/24。若你家是 10.10.10.0/24 或叠加多 VLAN，就得钻进“高级-路由-例外地址”追加，新手容易迷路。
v10.4.2 至今：动态检测 + 多段模板
新版把白名单提到一级菜单，提供“家用模板”“公司模板”“自定义”三档。家用模板默认勾选 RFC1918 三段私网，并检测网关 ARP，防止误把公司 10.0.0.0/8 全段放走；公司模板额外排除 224.0.0.0/4 组播，方便内网视频会议。
操作路径：最短入口与平台差异
Android / HarmonyOS
- 打开侧边栏 → 设置 → 分应用与网络
- 点击“局域网白名单” → 开启总开关
- 选择“家用模板”即可一键填入 192.168.0.0/16、10.0.0.0/8、172.16.0.0/12
- 若 NAS 在 192.168.50.0/24，可点“+”追加单行
提示：HarmonyOS 3.0 以上需额外授予“附近设备”权限，否则软件无法读取 ARP 表，导致自动检测失败。
iOS
- 底栏 → 我的 → 路由例外 → 局域网白名单
- 开启“智能放行私网”即可，系统会自动匹配 Personal Hotspot 网段，无需手动填写 172.20.10.0/24
Windows
- 主界面右上角 ⋮ → 偏好设置 → 网络层
- 勾选“启用局域网白名单”，点击“编辑范围”
- 家用模板已默认勾选三段私网；如需放行 Windows 打印机发现，可再追加 239.255.255.250/32
- 点“应用”后，软件会下发一条高于 TUN 优先级的路由，立即生效，无需重启
macOS
- 菜单栏图标 → Preferences → Network → Local Bypass
- 与 Windows 逻辑一致，但追加地址时会提示输入管理员密码，因为系统路由需要 root
例外与取舍：哪些地址不该放？
公司 SSL privacy tool 的虚拟网段（如 10.255.0.0/24）往往也走私网地址，但流量必须进隧道才能访问内部 OA。若把整段 10.0.0.0/8 全放，会导致邮箱、SAP 无法打开。正确做法是：先在公司模板里“排除 10.255.0.0/24”，再单独写一条 10.255.0.100/32 的“强制代理”规则，把唯一要用的堡垒机重新拉回隧道。
公共 Wi-Fi 的强制门户（captive portal）常用 192.168.1.1 或 10.1.1.1，如果提前把这两段写死到白名单，会出现“已连接但无法弹出认证网页”的怪现象。经验性观察：在机场、酒店场景，先关闭白名单总开关完成 portal 认证，再打开，可复现成功率接近 100%。
组播地址 224.0.0.0/4 负责 mDNS、Chromecast 发现，但部分安卓盒子会把源地址伪装成公网。放行整段虽能让投屏秒出，却可能把本该走隧道的流媒体请求也漏出去，导致 Netflix 报“代理检测”。折中方案：只放行 239.255.255.250/32（SSDP）与 224.0.0.251/32（mDNS），其余组播默认进隧道。
与第三方设备协同：NAS、软路由、游戏主机
场景 1：NAS 下载机免代理
群晖用 Download Station 拉 PT 种子，如果走隧道会被 tracker 封。做法：在 PC 端把 192.168.50.10/32 写进白名单，同时把 NAS 的网关指向主路由，不改动 DNS。验证：SSH 进 NAS 后 curl ipinfo.io 应显示运营商 IP，而非快连出口。
场景 2：Switch 联机无需再开加速器
Switch 不支持安装第三方客户端，传统做法是给机器配全局代理 DNS。现在只要在 Windows 端开启“局域网白名单”，再把 Switch 的网关指向该 PC，即可借 PC 的隧道出口，而本地 192.168.0.0/24 依旧直连，实现“外服加速 + 内网屏幕投影”两不误。
故障排查：白名单不生效的 4 条检查流
- 路由优先级：Windows 下执行
route print 0.0.0.0，看 192.168.x.x 的跃点数是否小于 TUN 接口。若否，说明被其他软件覆写，需关闭“网游加速器”或 VMware 虚拟网卡。 - 防火墙隔离：macOS 若启用“封锁所有传入连接”，mDNS 会被挡，表现为白名单已放行但 AirDrop 找不到设备。临时关闭防火墙可验证。
- IPv6 绕路：部分安卓路由同时下发 SLAAC，局域网用 IPv6 直连，而 IPv4 走隧道。结果看似“白名单失效”，其实是系统优先用了 IPv6。可在“设置-网络-IPv6 模式”里改为“仅本地”。
- Kill Switch 误伤：掉线后 Kill Switch 会写入一条 0.0.0.0/1 的兜底路由，优先级最高，重启软件才会清理。若你曾在隧道断开后继续测内网，可能误判为白名单无效。
适用 / 不适用场景清单
| 场景 | 建议 | 原因 |
|---|---|---|
| 家庭 NAS、打印机、摄像头 | 开启白名单 | 私网流量无需加密，降低延迟 |
| 公司 SSL privacy tool 重叠段 | 精细排除 | 整段放行会导致 OA 失联 |
| 公共 Wi-Fi 强制门户 | 临时关闭 | 防止 captive portal 被绕 |
| Chromecast / AirPlay | 放行 SSDP、mDNS 单地址 | 兼顾投屏与合规 |
| 外贸公司多人共享出口 | 不开启 | 防止真实 IP 通过内网服务器侧漏 |
最佳实践 6 步检查表
- 先画拓扑：把要放行的私网段写成 CIDR，确认不与公司 SSL privacy tool 重叠。
- 模板优先：家用直接选“家用模板”，比手动输入少 90% 出错概率。
- 追加单地址而非整段：NAS 只放 192.168.50.10/32，别把 192.168.50.0/24 全放。
- 测双栈：放行后分别
ping -4与ping -6，确认 IPv6 没绕路。 - 看跃点：Windows 用
route print，macOS 用netstat -nr，确保私网跃点数最小。 - 留回退：截图旧路由表，万一异常可关总开关秒回。
FAQ（结构化数据）
白名单开启后，为何 NAS 偶尔掉盘？
多因 SMB 多通道同时尝试 IPv6 链路，而 IPv6 未一并放行。可在 NAS 设置里关闭 SMB3 多通道，或在快连“IPv6 模式”选“仅本地”。
公司网段也是 10.0.0.0/8，如何只放行家用部分？
用 CIDR 细分，例如家用 10.10.10.0/24 写一条放行，再把整个 10.0.0.0/8 写一条“强制代理”，软件按最长前缀匹配，公司流量仍会进隧道。
Android 提示“附近设备权限被拒绝”，如何解决？
系统设置 → 应用 → 快连 → 权限 → 附近设备 → 允许。HarmonyOS 路径类似，需重启快连生效。
总结与下一步
快连 Kuailian 的局域网白名单把“加速外网”与“内网直通”拆成两条独立策略，既避免手动写路由的麻烦，也降低因整段放行带来的侧漏风险。按本文 6 步检查表操作，十分钟即可完成从“全局失联”到“外网飞快、内网丝滑”的切换。
下一步建议你：打开客户端导出当前配置，存一份“白名单快照”；再模拟一次隧道掉线，观察 Kill Switch 是否误伤内网。若一切正常，即可把模板同步给全家设备，实现一次配置、多端复用。
未来版本若引入“按 SSID 自动切换模板”或“云端拓扑学习”，家庭与公司的边界策略有望再精简一步。届时只需带着笔记本来回走动，白名单即可无感随行。