快连VPN官网 · 智能分流引擎与容器网络隔离

提示：内网与云厂商元数据地址（如 169.254.169.254）建议在 500 优先级显式写为 direct，避免容器访问内部服务时被规则误送至隧道。完整规则示例见 智能分流引擎 页。

1. 准备规则文件

   把分流决策从代码里抽出来，成为一份可版本管理的配置。

   /opt/kl/rules.yaml

   default: direct
   rules:
     - label: kl.route=proxy
       action: proxy
     - image: "registry.ci.acme.com/builder/*"
       action: proxy
     - cidr: "10.0.0.0/8"
       action: direct
     - cidr: "169.254.0.0/16"
       action: direct   # 云元数据必须直连

2. 拉取并校验官方镜像

   锁定 tag 与 digest，确保运行的是未被替换的官方构建。

   终端

   docker pull registry.kiualanad.com.cn/kl/kl-proxy:v2.4.1
   docker image inspect registry.kiualanad.com.cn/kl/kl-proxy:v2.4.1 \
     --format '{{index .RepoDigests 0}}'

3. 创建业务网络并接入容器

   独立网络让加速容器与业务容器共享同一网络命名空间。

   终端

   docker network create kl-net
   
   docker run -d --name kl-proxy \
     --network kl-net \
     --cap-add NET_ADMIN --device /dev/net/tun \
     -v /opt/kl/rules.yaml:/etc/kl/rules.yaml:ro \
     --restart unless-stopped \
     registry.kiualanad.com.cn/kl/kl-proxy:v2.4.1 \
     --config /etc/kl/rules.yaml --mode container
   
   docker network connect kl-net your-app   # 接入业务容器

4. 设置分流标签

   用标签精确控制「哪些容器走加速」，无需重建镜像。

   Kubernetes · DaemonSet 片段

   metadata:
     labels:
       kl.route: proxy      # 命中优先级 100 的标签规则
     annotations:
       kl.cn/config: /etc/kl/rules.yaml

5. 验证生效并确认宿主机零改动

   用前后 diff 证明宿主机路由没有被写入任何新规则。

   终端 · 校验

   # 1) 记录宿主机当前规则
   ip rule show > /tmp/before.txt
   
   # 2) 触发一次业务请求，检查容器内命中
   docker exec kl-proxy kl-ctl status
   
   # 3) 再次对比，确认 main 表零变更
   ip rule show > /tmp/after.txt
   diff /tmp/before.txt /tmp/after.txt && echo "宿主机路由未变更"
   
   # 4) 确认 core dump 已关闭
   docker exec kl-proxy sh -c 'ulimit -c'

常见排查