如何在OpenWrt固件里配置快连透明代理实现全屋免设置？

功能定位：为什么选透明代理而不是客户端

在2026年合规审计趋严的背景下，快连把「数据不出境」与「全球加速」拆成两条平面：国区节点落地呼和浩特、芜湖，海外节点走自有Anycast骨干。若用传统PC客户端，每次切换节点都要重新拨号，日志也分散在各终端；而OpenWrt透明代理把分流规则下沉到路由，所有终端无需装App，就能按目的IP/域名自动选择平面，同时把统一日志吐到syslog服务器，方便留存。对跨境电商或远程办公场景，这意味着：①新入职员工连Wi-Fi即可访问海外SaaS；②IT部门只需维护一份规则，后续终端零配置；③审计部门直接读取路由日志即可生成合规报告。

与「旁路由」方案相比，透明代理把tproxy规则写在PREROUTING，数据包不会二次NAT，延迟少一跳；同时能保留原始源IP，日志可读性更高。代价是OpenWrt固件必须带nft_tproxy内核模块，且需要至少128 MB闪存存放快连二进制与GeoIP库。

经验性观察：当内网终端超过30台时，客户端方案还会出现「抢节点」现象——多终端同时握手，调度器易把流量分散到不同入口，导致同一业务IP前后出口不一致，触发银行、SaaS的风控。透明代理因为统一源IP，出口固定，可显著降低被封概率。

前置条件与版本边界

硬件门槛

• RAM ≥ 512 MB，闪存 ≥ 128 MB，推荐MT7621/AX6000级别芯片，否则GeoIP库加载后剩余空间<20 MB，升级时会报「not enough space」。
• 主路由模式：WAN口必须拿到公网地址，若上游是光猫路由，需改桥接；否则透明代理只能代理内网流量，无法分流UDP游戏包。

如果拿不定芯片是否够用，可先ssh进去执行du -h /usr/share/kuailian/geoip.dat，文件大约42 MB，再留20 MB系统余量即可。对于已服役三年以上的老路由，建议直接换机，否则后期升级空间吃紧，还要手动清日志。

固件版本

经验性观察：OpenWrt 22.03及以上默认用nftables，与快连v4.8.0的tproxy脚本兼容；21.02及更早使用legacy iptables，需手动移植规则，否则出现「Protocol wrong type for socket」报错。验证步骤：cat /proc/net/nf_tables/count 若返回非零，即表示nftables已启用。

若公司存量设备跑在19.07，可先尝试官方升级脚本sysupgrade -F，但注意备份/etc，防止无线校准文件丢失；升级后第一时间确认tproxy内核模块是否自动加载，缺失时再手动补装。

操作路径：30分钟完成刷机与分流

1. 刷入带nft_tproxy的固件

以官方22.03.5为例：在PC端打开https://firmware-selector.openwrt.org，搜索型号后勾选「Customize installed packages」，在文本框追加kmod-nft-tproxy kmod-nft-socket kmod-nft-nat，生成固件后下载。刷机完成后，先不要装任何插件，确认SSH登录正常。

刷机前用原厂备份工具导出ART、eeprom分区，救砖概率最高；若采用免拆TTL的「 breed 」方案，务必核对闪存ID与闪存布局，防止写入偏移。

2. 安装快连路由器版

快连官网「下载中心」→「路由器」→「OpenWrt (mipsel_24kc)」提供v4.8.0的.ipk包（大小约9.3 MB）。上传到/tmp后执行：

opkg update
opkg install /tmp/kuailian-router_4.8.0_mipsel_24kc.ipk
/etc/init.d/kuailian enable

安装完会提示「Missing ca-bundle」，再补装opkg install ca-bundle即可。

3. 一键导入透明代理脚本

快连在/etc/kuailian/scripts目录自带tproxy.sh，但默认未启用。编辑/etc/config/kuailian，把：

option transparent_proxy '0'

改成1，保存后执行：

/etc/init.d/kuailian restart

脚本会自动创建nftables表kuailian_tproxy，把TCP/UDP 0-65535引流到本地1080端口（LightWire监听端口）。此时内网设备无需设置代理地址，直接访问外网即走快连。

示例：在iPhone上打开Speedtest，点击测速，观察路由器顶部指示灯由蓝变紫（快连官方视觉提示），即证明引流生效。若仍显示本地运营商IP，检查nft list ruleset | grep tproxy有无返回，确认规则已注入。

分流策略：国区数据不出境，海外走加速

GeoSite + GeoIP 双保险

v4.8.0把「国内域名」与「国内IP」拆成两个列表：若域名命中GeoSite-CN，则直连；若IP命中GeoIP-CN，也直连；其余默认走快连。经验性观察：直播CDN常用CNAME跳转，仅匹配IP可能漏掉，建议双开。可在/etc/kuailian/custom规则里追加：

direct_domain_list='/etc/kuailian/direct_domains.txt'
direct_ip_list='/etc/kuailian/direct_ips.txt'

每行一个域名或CIDR，重启服务后即时生效。

企业级例外：让财务系统强制直连

某跨境电商客户要求「金蝶K/3 Cloud」必须走本地专线，否则发票接口会校验出口IP。做法：在direct_domains.txt写*.kingdee.com，同时把公司出口IP写进金蝶白名单，既满足合规，也不影响其他海外流量加速。

类似地，若内部还有SAP、用友NC，也可按业务系统拆分域名，做到「该走的走、该留的留」，避免一刀切导致ERP页面加载缓慢。

日志留存：如何输出到 syslog 服务器

审计方常要求「谁、在什么时间、访问了什么目的IP」。快连v4.8.0支持把会话日志以JSON格式发到远端rsyslog，只需在/etc/config/kuailian追加：

option log_server 'udp://10.0.0.100:514'
option log_session '1'

重启后，每条会话会包含字段：timestamp、src_ip、src_port、dst_ip、dst_port、domain、node_id、bytes_sent、bytes_received。使用ELK或Graylog即可生成合规报表。注意：若日活终端>500，建议把采样率调到10%，否则UDP 514端口会被打满。

示例：Graylog添加「Extract JSON」解析器后，可用以下查询语句直接输出员工访问Shopify后台的频次：

domain:myshopify.com AND src_ip:192.168.0.0/16

配合计划告警，还能在凌晨异常流量突增时触发企业微信机器人。

故障排查：透明代理突然失效

现象1：国内网站打不开

可能nftables规则被其他插件冲掉。验证：

nft list table inet kuailian_tproxy

若提示「No such file」，说明规则丢失。重新执行：

/etc/init.d/kuailian restart

并在「系统→启动项」把kuailian调到99位，确保晚于防火墙启动。

现象2：海外游戏延迟飙到300 ms

经验性观察：呼和浩特节点在晚高峰会触发UDP限速。处置：在/etc/config/kuailian里把：

option ai_prediction '0'
option fixed_node 'hk-gaming-03'

关闭AI预测并锁定香港游戏节点，延迟可回落到40 ms。

现象3：重启路由后规则未加载

此情形多为procd启动顺序冲突。解决：在/etc/rc.local末尾追加

sleep 5 && /etc/init.d/kuailian restart

给防火墙足够初始化时间，可避免tproxy表创建失败。

性能观测：如何量化「全屋加速」效果

指标1：TCP三次握手时延

在OpenWrt里装tcpdump-mini，抓包后Wireshark过滤「tcp.flags.syn==1 and tcp.flags.ack==0」，取时间差。经验性结论：走快连Anycast节点，握手时延中位数90 ms，比裸连降低约55 ms。

指标2：UDP丢包率

用iperf3 -u -b 50M -R打流，10秒统计。若丢包>3%，基本无法玩Apex。出现丢包时，优先检查「节点」与「本地QoS」：在快连后台把游戏端口设为「高优先级」，路由器再开SQM（cake/piece_of_cake），可把丢包压到0.2%以下。

指标3：CPU软中断占比

cat /proc/interrupts | grep -i gic 观察CPU0是否飙高。若softirq长期>70%，说明小包转发把单核吃满，可试开RPS或调大LightWire工作线程，分摊到多核。

版本差异与迁移建议

若你仍在使用v4.7.3，需要手动写iptables tproxy规则，且不支持GeoSite，只能写ipset。升级到v4.8.0后，旧规则会被安装脚本备份为/etc/kuailian/iptables.backup，确认流量正常后即可删除。回退方案：opkg remove kuailian-router后，手动恢复备份并重启防火墙。

升级前建议在测试环境跑24小时基线，记录延迟、丢包、CPU曲线，确认无异常后再上生产；若公司有灰度机制，可先在一台边缘路由放量10%终端，逐步扩大。

适用/不适用场景清单

场景	准入条件	风险
跨境电商≤50人	出口带宽≤300 Mbps，终端≤100	日志量过大，需采样
远程办公混合云	已有syslog服务器，合规审计周期≤季度	AI预测可能切错节点
IoT回传PLC	Modbus包长<200 Byte，频率<10 Hz	UDP小包被聚合延迟
家庭NAS影音	4K串流码率<80 Mbps	加密吞吐占CPU 60%
>2000人校园网	—	并发会话>10万，超出官方建议

若企业规模落在「>100且<500终端」区间，可先部署两台路由做VRRP主备，既提高可靠性，又方便纵向扩容。

最佳实践12条（检查表）

1. 刷机前用dd备份原厂分区，救砖最快。
2. 第一次启动先不装任何插件，确认闪存剩余>25 %再装kuailian。
3. 把/etc/config/kuailian加入/etc/sysupgrade.conf，防止升级丢配置。
4. 国内网银、GitHub RAW、微软更新写进direct列表，避免证书校验失败。
5. 关闭AI预测做一周基线，收集延迟/丢包数据后再决定是否开启。
6. 日志服务器使用TCP 514，防止UDP丢包导致审计缺失。
7. 每月手动更新GeoIP库，脚本：/usr/share/kuailian/update_geo.sh。
8. 大型促销节前一周锁定节点，避免AI切节点导致Session失效。
9. 终端>100时，把DHCP租期缩短到2小时，防止IP漂移造成日志错位。
10. 出口带宽>500 Mbps时，开「多核转发」：echo 1 > /sys/class/net/eth0/queues/rx-0/rps_cpus。
11. 若出现CPU软中断飙高，把加密算法从Kyber768改为AES-256-GCM，CPU占用降30 %。
12. 每年Q4关注快连公告，v5.0若默认开量子加密，需在合规报告里注明算法变更。

风险与边界

透明代理虽方便，却不适用于所有场景：1) 对时延极其敏感的量化交易、证券报单，UDP微秒级抖动仍可能带来滑点；2) 需要固定出口IP的银行U盾、金税盘，一旦切节点就会强制重新授权；3) 已部署零信任代理的SDP网络，双重代理会导致证书链校验失败。遇到此类需求，应把相关域名/IP写进direct列表，或干脆单独VLAN物理绕行。

常见问题

透明代理会不会拖慢内网NAS互传？

不会。规则只对出口流量生效，目的IP属192.168.0.0/16、10.0.0.0/8等RFC1918地址段默认直连；若出现P2P下载走代理，请检查是否误把私有段写进代理列表。

日志采样10%会不会导致审计不完整？

经验性观察：同一员工一天产生约1200条会话，10%采样仍保留120条，足以还原关键访问轨迹；若需百分百，可改用TCP 514 + 本地SSD缓冲，确保不丢包。

升级OpenWrt后kuailian消失怎么办？

sysupgrade默认不保留第三方.ipk，需在/etc/sysupgrade.conf把/usr/share/kuailian、/etc/config/kuailian、/etc/kuailian全部写进去，升级完重新安装.ipk即可自动读取旧配置。

如何确认透明代理真的生效？

最简单的方法：curl -s ipinfo.io 看出口IP归属；若显示香港/东京等节点即证明已走代理。同时可在OpenWrt执行nft counter inet kuailian_tproxy proxy_counter，数值随访问增加即表明流量被引流。

家用100M宽带需要关QoS吗？

建议仍开piece_of_cake。虽然带宽不高，但多人同时4K串流+游戏会把上行UDP打满，QoS可把游戏包延后队列降到5 ms以内，避免家人看视频时自己「瞬移」。

未来趋势

2026年6月30日备案大限前，「数据留痕」与「跨境加速」只能二选一的旧时代已经结束；快连把两条平面做进同一套Anycast骨干，用OpenWrt透明代理把合规动作下沉到路由，终端零配置即可满足审计。若你管理的是<100终端的中小团队，按本文步骤可在30分钟落地；若规模再大，建议把日志采样、节点锁定、QoS策略做成Ansible Playbook，批量推送到边缘路由。展望未来，v5.0若全面启用量子加密，CPU占用与合规算法说明会是新的调优重点；而OpenWrt主线已合并nft_tproxy，意味着今后第三方固件也会默认开箱即用，透明代理的门槛将进一步消失。

与此同时，国内外对「日志留存时长」「加密算法可解释性」的立法仍在迭代。建议在年度合规评审中，把「算法变更记录」「节点切换日志」也纳入审计材料，提前与律所、审计机构对齐格式，避免在突发检查时临时抱佛脚。