快连Kuailian路由器如何启用透明代理并验证局域网生效？
快连Kuailian路由器启用透明代理完整步骤，含iptables规则、局域网验证与回退方案，兼顾性能与合规。
功能定位：透明代理到底解决什么问题
透明代理（Transparent Proxy）让局域网终端无需手动配置代理地址即可自动走 Kuailian 加速通道，适合智能电视、NAS、游戏机等无法输入账号密码的设备。与「Split-App 隧道」相比，透明代理在网关层完成分流，终端零感知；代价是路由器 CPU 需承担额外 NAT 与 iptables 计算，性能边界需提前评估。
前置条件与性能阈值
经验性观察：当局域网并发连接数＞500 或单设备吞吐持续＞80 Mbps 时，MT7621 级别 SoC 会出现明显抖动。建议把透明代理限定在 UDP 53、TCP 80/443，其余流量直连，以平衡 CPU 占用与加速收益。
硬件与固件清单
- 快连 Kuailian 路由器固件：截至当前的最新版本（Web 管理页右下角可见）
- 已激活的 Kuailian 账号，剩余流量＞1 GB，防止验证阶段因欠费导致规则失效
- 局域网网段 192.168.31.0/24（示例，可替换为你的网段）
最短可达路径：Web 界面一次性开启
1. 电脑端连接路由器，浏览器输入 192.168.31.1 → 登录管理员密码。
2. 顶部菜单依次点击「高级设置」→「透明代理」→ 开关拨到「启用」。
3. 在「代理范围」下拉框选择「局域网全设备」或「仅指定 IP」；若选后者，需在输入框内填写需加速设备的静态 IP（如 192.168.31.33）。
4. 点击「保存并应用」，页面顶部出现绿色「规则已下发」提示即完成。
提示：若你之前手动刷过 OpenWrt 并安装了第三方插件，请先在「系统」→「备份/升级」→「恢复原厂」后再执行上述步骤，防止 iptables 链冲突。
iptables 规则透视：后台发生了什么
启用后，路由器在PREROUTING链插入两条规则：
iptables -t nat -A PREROUTING -s 192.168.31.0/24 -p tcp --dport 80 -j REDIRECT --to 1082 iptables -t nat -A PREROUTING -s 192.168.31.0/24 -p tcp --dport 443 -j REDIRECT --to 1082
1082 端口由 Kuailian 守护进程监听，负责把流量加密后转发至远端节点。经验性观察：若你曾手动改过 1082 端口，需在「自定义端口」输入框同步修改，否则规则下发后会出现循环重定向导致断网。
验证局域网生效：三步走
步骤 1：终端获取正确 IP
以 Windows 为例，命令行执行 ipconfig，确认 IPv4 地址在 192.168.31.0/24 段；若否，透明代理规则不会匹配。
步骤 2：境外域名解析测试
在同一终端执行：
nslookup www.google.com
若返回的 IP 属于 Kuailian 公布的「海外解析通道」网段（可在路由器「状态」→「DNS 出口」查看），说明 UDP 53 已被透明代理。
步骤 3：出口 IP 比对
浏览器访问 https://ipinfo.io，记录显示 IP；再登录路由器后台「节点状态」页，比对「当前出口 IP」是否一致。一致即证明 TCP 80/443 流量已走透明代理。
例外与分流：哪些流量不该进透明代理
1. 公司 SSL-privacy tool：若强制走透明代理会出现证书链校验失败，需在「IP 例外」列表填写公司网关 IP。
2. 网银 U-Key：部分银行控件会检测本地路由跳数，建议在「端口例外」里添加 9443、8443。
3. 局域网 NAS 备份：大流量内网互传无需加速，可在「MAC 例外」输入 NAS 的 MAC 地址，数据包直接二层转发，降低 CPU 占用。
警告：透明代理一旦启用，所有匹配规则的连接都会经过 Kuailian 节点，若账号流量耗尽，局域网设备会集体断网而非回退直连。务必开启「流量耗尽自动暂停代理」选项，位置在「高级设置」→「账户保护」。
性能监测：如何量化 CPU 与内存开销
路由器后台「实时监控」页提供每秒包转发量 (pps) 与CPU 占用曲线。经验性观察：当单设备 4K 流媒体峰值 60 Mbps 时，MT7981 双核 CPU 占用约 35%；若同时开启 Samba 文件传输，CPU 会升至 60% 以上，出现偶发 ping 抖动 20–40 ms。此时可在「QoS」里给 192.168.31.33 限定 40 Mbps，保障交互体验。
回退方案：一键关闭与命令行兜底
Web 一键关闭
进入「高级设置」→「透明代理」→ 开关拨回「关闭」→「保存并应用」。路由器会在 3 秒内删除对应 iptables 规则，局域网恢复直连。
SSH 命令行兜底（救砖）
若因规则循环导致无法登录后台，可用 SSH 登录路由器（端口 22，用户名 root，密码与 Web 相同），执行：
iptables -t nat -F PREROUTING /etc/init.d/kuailian restart
即可清空自定义链并重启守护进程，恢复出厂网络路径。
与第三方 DNS over TLS 协同
若你在局域网另设 AdGuard Home，需把上游改为「127.0.0.1:5353」即 Kuailian 内置 DoH 转发口，否则会出现DNS 泄露检测失败。路径：AdGuard Home →「设置」→「DNS 设置」→「上游服务器」填入 127.0.0.1:5353，保存后重载。
故障排查：现象→原因→验证→处置
| 现象 | 可能原因 | 验证方法 | 处置 |
|---|---|---|---|
| 国内网站打开慢 | AI 分流误判，国内流量绕境外 | 访问 ip138.com 查看出口 IP |
把该域名加入「直连名单」 |
| Switch 下载 0 Mbps | UDP 53 被重定向，但 eShop 需 443 MTU 1500 | 路由器日志看 ICMP frag-needed | 在「例外端口」添加 TCP 443 直连 |
| iOS 提示「无法验证服务器身份」 | 透明代理与系统 DoT 冲突 | 关闭 iCloud 私人中继再测 | iOS 端改用「自动 DNS」 |
适用/不适用场景清单
- 适用：Apple TV 看 Disney+、PS5 外服联机、公司 SaaS 全设备加速。
- 不适用：P2T 挖矿、高频量化交易、需固定出口白名单的网银 U 盾。
最佳实践 6 条
- 先给单台测试机开透明代理，观察 24 h CPU 曲线，再全局域网推送。
- 每周检查「流量剩余」与「节点延迟」，延迟＞200 ms 时手动切节点。
- 大文件内网传输用「MAC 例外」放行，减少 NAT 次数。
- 开启「日志精简」模式，防止 flash 频繁写入导致老化。
- 备份当前 iptables 规则：
iptables-save > /etc/kuailian/iptables.bak，升级前可快速还原。 - 若节点被封锁，优先在「量子隧道 2.0」与「WireGuard」之间切换，不必关闭透明代理。
FAQ（Schema 版）
透明代理启用后，局域网打印机突然搜不到？
mDNS 使用 239.255.255.250 组播，不会被 NAT 规则匹配；若仍搜不到，检查是否把打印机 IP 误填进「例外 IP」并勾选了「双向阻断」。移除后重启打印机即可。
如何确认透明代理是否走 IPv6？
Kuailian 透明代理默认仅重定向 IPv4。可在「高级设置」→「IPv6 模式」选择「仅本地」，防止终端通过 IPv6 绕过规则；如需 IPv6 代理，请等待官方后续更新。
能否对单个域名强制直连？
在「分流设置」→「域名白名单」填入需要直连的域名（如 *.alicdn.com），保存后规则实时生效，无需重启透明代理开关。
收尾：下一步行动建议
完成上述步骤后，你已具备「启用→验证→回退」完整闭环。建议先给常用终端设置静态 IP，并在「指定 IP 范围」试运行一周，收集 CPU 与延迟数据后再推广到全局域网。若后续升级固件，务必先备份 iptables 规则，确保版本回滚时可秒级恢复。遇到异常，按「现象→日志→例外→重启」四步排查，基本可在 5 分钟内定位问题。祝使用顺利。
