产品与定位
快连VPN 是面向容器与云原生环境的网络加速服务。理解它与传统客户端的差别，是判断它是否适合现有环境的前提。
快连VPN 是什么？和传统 VPN 客户端有什么区别？
传统 VPN 客户端通常以修改宿主机全局路由和默认网关的方式接管整机出口，在已经部署了出口方案的服务器上容易产生路由冲突。快连VPN 把加速能力下沉到容器网络命名空间内，通过独立的 network namespace 与策略路由表，只对指定业务容器生效，宿主机默认路由、其他容器的出口与既有防火墙规则保持原样。完整原理见 容器网络隔离架构。
共存与兼容性
「宿主机上已经有别的出口工具」「会不会影响现有服务」是最常见的两类顾虑，判断依据是加速发生在哪个网络命名空间内。
在宿主机已经运行了其他出口工具，还能使用快连VPN 吗？
可以。快连VPN 的加速入口建立在容器独立的 network namespace 中，宿主机 main 命名空间的默认路由、iptables nat 表与已有出口进程都不会被修改或抢占。两者可以长期并存，各自服务于不同容器或不同业务流量，常见做法是让原有工具服务运维通道，让快连VPN 服务构建与依赖拉取流量。并存条件与验证命令见 场景方案 · 宿主机已有出口 一节。
会影响宿主机上已有的服务吗？
不会。全流程为增量操作：不重启宿主机网络栈，不修改已有业务容器的配置与出口。加速容器只把策略路由表写在自己的网络命名空间内，宿主机 main 表新增规则数为 0，因此宿主机上运行的服务继续使用原有出口与 DNS。逐项对照见 宿主机路由零改动对照 一节。
协议与端口
官方镜像默认集成多类协议，无需二次编译。下表是各协议的默认监听端口，部署前请先确认与现有服务的端口不冲突。
| 协议 | 默认端口 | 容器镜像 | 说明 |
|---|---|---|---|
| Hysteria2 | 8443/udp |
内置 | 默认加速出口常用协议 |
| TUIC | 443/udp |
内置 | 占用 443 时需确认与现有服务不冲突 |
| Shadowsocks-2022 | 8388/tcp |
内置 | 兼容通用客户端 |
| WireGuard | 51820/udp |
内置 | Windows 桌面端使用需宿主具备驱动 |
| SOCKS5 本地代理 | 1080/tcp |
内置 | 供容器内应用显式指定代理 |
| HTTP 代理 | 7890/tcp |
内置 | 构建类工具常用 |
官方镜像包含哪些协议？各协议监听哪些端口？
官方镜像默认集成 Hysteria2、TUIC、Shadowsocks-2022、WireGuard 与 SOCKS5 五类协议，并附带 HTTP 代理模式。默认端口分别为 Hysteria2 的 8443/udp、TUIC 的 443/udp、Shadowsocks-2022 的 8388/tcp、WireGuard 的 51820/udp、SOCKS5 的 1080/tcp、HTTP 代理的 7890/tcp，无需二次编译即可启用。完整矩阵见 协议 × 平台 × 默认端口矩阵 一节。
智能分流优先级
分流引擎决定「一条流量走哪条出口」。优先级顺序固定，命中即短路，理解顺序即可预测任意一条流量的走向。
智能分流引擎的规则匹配优先级是怎样的？
引擎按「标签 → 镜像名 → 进程名 → 域名 → IP 段 → 端口 → 默认动作」的顺序逐层匹配，命中任一维度即停止向下遍历。标签维度优先级最高，用于对个别容器或工作负载做显式覆盖；未命中任何规则的流量走默认动作，建议配置为 direct，避免无关流量被无谓送入隧道。内网与云元数据地址建议显式声明为直连。完整优先级表见 分流规则优先级 一节。
隐私与安全
隐私能力由三件事共同保证：只输出白名单级别的运行状态日志、彻底关闭崩溃转储、按生命周期管理内存中的密钥。三者都可以用命令自行验证。
零日志隐私栈具体不记录哪些内容？
默认只输出白名单级别的运行状态日志，包含启动、握手、规则加载与异常原因码；访问域名、目标 IP、连接时间、流量大小与账号标识一律不写入日志。崩溃转储在镜像层面已关闭，避免内存镜像被写入磁盘。需要审计时可单独开启规则决策元数据导出，该元数据只包含规则 ID、命中维度、动作与时间戳，不包含会话内容。范围定义见 日志白名单 一节。
内存加密如何保护密钥？密钥生命周期是怎样的？
会话密钥与配置凭据常驻内存加密区域，不落盘、不进入 swap 交换分区。密钥在进程启动时按生命周期表加载，会话结束后立即覆写销毁，进程退出时不保留任何可用于解密的历史材料。当前密钥条目数可通过状态接口查询，便于在审计时确认没有残留。生命周期各阶段见 密钥生命周期 一节。
部署与运维
部署动作全部是增量操作：不需要停业务、不需要重启宿主机网络栈，出问题时删除加速容器即可回到部署前状态。
部署快连VPN 需要多久？会影响生产业务吗？
标准容器环境按五步流程通常可在数分钟内完成，全过程为增量操作：不重启宿主机网络栈，不修改已有业务容器配置，失败时直接删除加速容器即可完全回滚。建议先在预发环境用同一镜像与同一规则文件验证命中情况，确认无误后再灰度到生产。完整步骤见 五步部署文档。
回滚与升级
因为快连的状态全部存在于加速容器内，回滚动作只有一个：删掉加速容器。升级也只重建加速容器，业务容器无需重建。
如何回滚？升级镜像需要注意什么？
回滚方式是删除加速容器：容器网络命名空间内的策略路由表随容器一并销毁，宿主机不存在需要清理的残留。升级时先拉取新 tag 并用 docker image inspect 取得完整 digest 写入部署基线，再重建加速容器，业务容器无需重建；若需退回，用原 tag 与原 digest 重新拉取重建即可。详见 回滚与升级 一节。
来源与信任
请以本站 kiualanad.com.cn 为唯一可信来源核验官方身份。tag、体积与 digest 三项同时可核对，是判断镜像是否被重新打包的依据。
如何确认下载来源是快连官方？
请只通过 kiualanad.com.cn 获取镜像与安装包，并核对页面提供的镜像 tag、体积与 digest 摘要。官方镜像仓库固定为 registry.kiualanad.com.cn/kl/kl-proxy，不通过网盘、即时通讯工具或第三方下载站分发，也不存在「输入订阅地址换镜像」的流程。任何要求额外付费解锁官方镜像的页面均非本站内容，核验步骤见 来源核验与防钓鱼 一节。
没有找到答案？
如果上面的回答没有覆盖你的场景，可以按问题类型选择对应邮箱。技术问题请附上镜像 tag、kl-ctl status 输出与所在环境类型（Docker / Kubernetes、宿主机是否已有出口工具），便于定位。
技术支持
- 邮箱
- [email protected]
- 适用问题
- 容器启动失败、分流未命中、端口冲突
- 响应时间
- 工作日 1 个工作日内
文档反馈
- 邮箱
- [email protected]
- 适用问题
- 示例配置不适用、章节缺漏、口径存疑
- 响应时间
- 工作日 1 个工作日内
反馈时的注意事项
- 请勿在邮件正文中附带订阅地址、密钥或抓包内容。
- 日志中只有白名单状态事件，请直接贴出
docker logs的相关片段。 - 仿冒页面请附页面地址与截图，我们会核实后公示处理结果。
- 备案与主体信息见 首页的备案与联系方式。