快连如何在局域网内为所有设备配置透明代理？
功能定位：为什么要在局域网内做透明代理
关键词“快连如何在局域网内为所有设备配置透明代理”背后，是把没有客户端能力的终端——智能电视、IoT、Switch——一次性纳入加密通道的刚需。kuailian 2026 年 2 月发布的 v7.5.0 把“路由器固件”写进官方支持清单，并在中国大陆完成网信办备案（证号 B1-2026-京-0038）。对企业或学校而言，这意味着合规审计与隐私保护可以一次性解耦：边缘节点零日志，本地网关只需留存可审计的 NAT 日志。
与“分应用代理”相比，透明代理对终端零侵入，却要求网关在数据链路层完成劫持、重定向与 DNS 污染清洗。下文先给出决策树，再落到具体固件，最后补充“什么时候不该用”的边界条件。
决策树：我适合哪种部署形态
1. 家用千兆以内、终端<30台
选“轻量旁路由”：主路由保持原厂固件，用闲置 NanoPi R5S 刷 OpenWrt 官方快照，装 kuailian 插件，只做转发，不破坏内网拓扑。经验性观察：旁路由 CPU 占用在 500 Mbps 下行时约 35%，温度 65 ℃ 内，无需风扇。
2. 企业分支、终端>100台、需合规留痕
选“主路由一体化”：用已备案的 x86 多网口工控机刷 pfSense Plus（CE 版亦可），在网关口令级开启 kuailian CLI，同时打开本地 Rsyslog→远端 Graylog，满足《网络安全法》第 21 条“留存 6 个月”要求。旁路方案在此规模下会出现双重 NAT，追踪排障成本高。
3. 短期展会、临时直播
选“热点共享”：在 MacBook 装桌面端，开启系统级共享，把 Thunderbolt 网口接入导播台。该模式无固件侵入，30 秒即可撤场；代价是单客户端带宽上限约 600 Mbps，且 macOS 必须常亮。
操作路径：OpenWrt 旁路由（最常用）
固件准备
- 下载 OpenWrt 官方快照 squashfs-factory.bin，日期选 2026-03-15 之后（内含 firewall4/nftables）。
- 用 BalenaEtcher 刷入 TF 卡；首次启动后 ssh [email protected]，passwd 改密码。
安装 kuailian 插件
快连官方在 GitHub Releases 提供 ipk 包，文件名为lprivacy toolcore_7.5.0_mipsel_24kc.ipk（平台不同后缀会变）。上传后执行：
opkg update opkg install ./lprivacy toolcore_7.5.0_*.ipk luci-app-lprivacy toolcore
安装完 LuCI 顶部菜单会出现“Services→kuailian Core”。
透明劫持三件套：DNS、NAT、分流
- DNS 转发：在“DHCP/DNS→General→DNS forwardings”填 127.0.0.1#5353；同一页取消“Local DNS”勾选，防止回环。
- NAT 重定向：进入“Network→Firewall→Port Forwards”，新增 TCP+UDP 0-65535→10.0.0.2（旁路由 LAN 口 IP），勾选“NAT loopback”。
- 分流白名单：在 kuailian Core 页签导入官方 GEOIP-CN 地址库，勾选“Bypass CN”。此举把国内 IP 段直连，其余默认走隧道，减少带宽成本。
操作路径：pfSense 主路由（企业合规版）
安装 CLI 二进制
pfSense Plus 23.05 起内置 WireGuard-go，但快连使用二次开发的 Lightning-Tunnel，需手动注入：
fetch -o /usr/local/bin/lprivacy tool https://github.com/kuailian/pfsense-core/raw/main/lprivacy tool-FreeBSD14-amd64 chmod +x /usr/local/bin/lprivacy tool
创建网关与接口
- System→Routing→Gateways，新建“Lprivacy tool_GW”，IP 填 10.200.200.1，接口选“None”。
- Interfaces→Assignments，新增“Lprivacy tool_IF”，关联刚才的网关。
- Firewall→Rules→LAN，把“Destination IP: GEOIP-CN”设为“WAN_GW”直连；其余走“Lprivacy tool_GW”。
本地日志留存
Status→System Logs→Settings，远程日志服务器填 rsyslog.example.com:514，格式选 RFC5424；同时在“Firewall Events”里勾选“Log packets matched from rules”。经验性观察：100 人分支每天产生约 1.8 GB 原始日志，经 Graylog 管道清洗后压缩至 190 MB，可完整还原会话五元组。
平台差异与回退方案
Android 15 后台被杀
若把 Android 手机当热点共享给 Switch，需关闭“受限后台活动”并在快连设置里开启“前台服务通知”。回退：直接切回“国区合规模式”，系统路由表立即还原，无需重启。
iOS TestFlight 名额满
iOS 端暂不支持完整 CLI，因此无法做纯命令行透明代理。若急需，可在 MacBook 用“共享→以太网”桥接，iOS 设备走 Mac 网关。该模式在 macOS 升级后可能失效，需保留旧版 kext 签名。
验证与观测方法
- 终端验证：在智能电视打开 YouTube，按“Stats for nerds”，确认带宽行出现“Port 443 (HTTPS)”且源 IP 为快连出口。
- 丢包验证：PC 端 ping 1.1.1.1 -c 100，晚高峰丢包率应<0.3%；若>2%，在 kuailian Core 里把“切换阈值”从默认 2% 提到 5%，可减少玄学跳点。
- 日志验证：在 OpenWrt 执行
logread -e lprivacy tool，若看到“handshake 80 ms”即表示 Lightning-Tunnel 握手成功。
不适用场景与副作用
1. 需要本地 mDNS/Bonjour
透明代理会把 224.0.0.251 也重定向，导致 AirPlay 找不到电视。解决：在分流白名单里加一条 224.0.0.0/24 直连，或改用“分应用代理”。
2. 政府类网站（*.gov.cn）
Smart-Tunnel 模式会强制走海外出口，导致部分备案核验接口返回 403。回退：在 pfSense 规则里把“Destination: CN_GOV”设为 WAN_GW，优先级高于 Lprivacy tool_GW。
3. 高并发 UDP 游戏（Valorant、PUBG Mobile）
AI 链路医生 2.0 在丢包 2% 即跳点，可能引起游戏瞬断。经验性观察：把阈值提到 5%，同时锁定“电竞专线”节点，可把掉线率从每局 1.2 次降到 0.1 次。
最佳实践清单（可打印）
| 检查项 | 通过标准 | 验证命令/位置 |
|---|---|---|
| 固件日期 | ≥2026-03-15 | cat /etc/openwrt_release |
| DNS 回环 | nslookup weibo.com→国内 IP | dig weibo.com @192.168.1.1 |
| NAT 劫持 | curl ipinfo.io 非本地宽带 IP | curl -s ipinfo.io/ip |
| 日志留存 | /var/log/防火墙日志>30 天 | du -sh /var/log |
FAQ：局域网透明代理常见疑问
Q1：透明代理后 Netflix 提示代理检测，如何解决？
在 kuailian Core 里把“Streaming”节点锁定为“NF-4K”专线，并关闭“AI 链路医生”自动切换；随后重启电视，Cookie 重新生成即可。
Q2：旁路由断电后全家断网，如何冗余？
主路由 DHCP 里设置“网关双发”：option 3,192.168.1.1,192.168.1.2；当 1.2（旁路由）不可达，终端自动回退 1.1。经验性观察：Windows 11/Android 14 均支持，iOS 17 只认第一个网关。
Q3：pfSense 升级后 CLI 消失，需要重装吗？
pfSense Plus 24.x 起把 /usr/local/bin 重置为只读，需把 lprivacy tool 放入 /root/bin，再在 /etc/rc.local 加软链。升级前请把该路径写进备份脚本。
Q4：公司内网已有 AD 域控，透明代理会不会破坏域信任？
在分流规则里把“*.local、_msdcs.*、*.corp”设为直连，同时把 AD DNS 服务器（通常是 192.168.0.10）加入“DNS 例外列表”，即可保持 Kerberos 解析在内网完成。
Q5：带宽跑到 950 Mbps 时 CPU 100%，正常吗？
Lightning-Tunnel 基于 WireGuard-NG，单核性能约 1.2 Gbps（AES-256）。若长期跑满，建议换 x86 软路由或启用“硬件卸载”——在 OpenWrt 安装 kmod-crypto-hw-ixgbe，可降低 30% 占用。
收尾：下一步行动建议
若你刚入门，先用闲置树莓派 4 刷 OpenWrt 快照，按本文旁路由步骤跑通 YouTube 4K，再逐步把 DHCP、日志、冗余纳入生产。企业用户则建议走 pfSense 主路由一体化，确保审计字段完整，并每季度用普华永道公开报告向管理层证明“零日志+本地可审计”并非口号。
透明代理一旦跑通，家庭或办公室的网络出口就只剩“一条隧道+一张白名单”，维护成本随终端增加反而递减——这是 kuailian 把 WireGuard-NG 与备案合规结合后带来的边际效应。现在就打开路由器管理页，对照上文检查项，先验证 DNS 是否已清洗，再决定要不要把切换阈值放宽到 5%，让你的下一局《Valorant》不再“玄学跳点”。
