快连VPN 官方下载：镜像、客户端与来源核验

核验第一步：确认分发路径

官方镜像仅通过 registry.kiualanad.com.cn 仓库分发，官方桌面客户端安装包仅在本页 快连下载 提供。官方不通过网盘、即时通讯工具或第三方下载站分发安装包，也不存在「输入订阅地址后生成专属镜像」的流程——订阅地址属于凭据，不应提交给任何下载页面。

核验第二步：用 digest 对齐构建

tag 可以被重新指向，digest 不行。部署基线里应当记录完整 digest，并在每次发布后重新核对：

终端 · 核对 RepoDigest

docker image inspect registry.kiualanad.com.cn/kl/kl-proxy:v2.4.1 \
  --format '{{index .RepoDigests 0}}'

# 输出示例：registry.kiualanad.com.cn/kl/kl-proxy@sha256:3ab7…
# 与上表 digest 前缀一致，即为同一构建

核验第三步：校验离线包完整性

内网环境通过介质导入镜像或安装包时，用随包提供的校验和文件确认文件未被篡改或传输损坏：

终端 · sha256 校验

# 校验镜像归档文件
sha256sum -c kl-proxy-v2.4.1.tar.sha256

# 校验桌面安装包
sha256sum -c kl-desktop-2.4.1.sha256

# 全部输出 OK 才继续导入

外网侧：导出镜像归档

在可访问官方仓库的机器上执行 docker save，得到单个归档文件，并立即生成校验和文件。

介质传输

通过审批过的介质或内部制品库转运归档与 .sha256，两者必须成对出现。

内网侧：导入并打上私有标签

docker load 后重打标签指向内网私有仓库，规则文件里的镜像引用随之改成私有地址。

私有仓库 mirror 同步

内网私有仓库配置 registry-mirrors 指向内网地址，容器拉取统一从内网取，不再回源到外网。

镜像签名验证

镜像按内容签名（referrer 签名），内网侧启用容器运行时签名策略，只放行带官方签名且签名者身份匹配预期的镜像；未签名或签名者不符的镜像在部署时被拒绝。

升级节奏

离线环境按版本发布节奏重新导出归档，重复「导出 → 校验 → 导入 → 验证命中」流程。

终端 · 离线导出与导入

# 外网侧：导出镜像并生成校验和
docker save registry.kiualanad.com.cn/kl/kl-proxy:v2.4.1 -o kl-proxy-v2.4.1.tar
sha256sum kl-proxy-v2.4.1.tar > kl-proxy-v2.4.1.tar.sha256

# 内网侧：先校验，再导入
sha256sum -c kl-proxy-v2.4.1.tar.sha256
docker load -i kl-proxy-v2.4.1.tar

# 重打标签指向内网私有仓库
docker tag registry.kiualanad.com.cn/kl/kl-proxy:v2.4.1 \
  registry.internal.corp/kl/kl-proxy:v2.4.1

离线场景下的规则文件仍然按六个维度生效，写法见 分流规则优先级；云元数据等必须直连的地址在任何环境都应保持 direct。