快连iOS端如何关闭全局代理仅保留分应用代理？

功能定位：为什么需要“仅分应用”

在合规审计场景下，快连iOS端关闭全局代理能把企业微信、钉钉等国产App流量留在本地出口，而仅让Slack、GitHub走加密隧道，既满足数据出境最小化，又避免整机动荡。2026-03 起，快连把“分应用代理”入口从实验室移到主设置，官方文档明确写入“可用于SOX/ISO 27001流量隔离”，成为可审计证据链的一环。

与Android端不同，iOS受系统沙箱限制，只能按Bundle ID黑白名单分流，无法像macOS那样按域名或IP段细拆。因此“关闭全局”实质是“把默认路由改回本地，再手动把需要代理的App加回列表”，并非真正关闭隧道，只是让隧道不再接管0.0.0.0/0。

版本差异：哪些构建号支持

截至当前的最新版本（TestFlight 7.4.1.382）起，分应用代理对iOS 15及以上全量开放；iOS 14需回退到7.3.x分支，否则缺“例外App”开关。企业签名的IPA渠道比App Store渠道晚约两周，若你通过MDM下发，请核对构建号后缀“-ent”是否存在，无此后缀表示未嵌入分流扩展，设置面板会直接隐藏。

操作路径：三步关闭全局

1. 进入分流中心

打开快连 → 底栏“设置” → 第三栏“智能分流” → 顶部开关“全局代理”关闭（灰色为关）。此时系统privacy tool图标仍显示，但默认路由已指向本地。

2. 指定例外App

同一页面下方点“例外应用” → 右上角“+” → 在系统弹窗里勾选需要走隧道的App，例如YouTube、Gmail、Telegram。勾选后返回，列表将显示Bundle ID与流量方向箭头，方便审计截图。

3. 验证分流生效

控制中心长按privacy tool模块 → 点“详情” → 看“Bytes Sent on Default Route”若持续增长，而“Bytes Sent on Tunnel”只在打开YouTube时跳动，说明配置成功。若两数值同步增长，代表仍有默认流量进隧道，需检查是否遗漏系统服务（如PushService）被手动加回。

失败分支与回退

现象A：关闭全局后，国内App图片加载缓慢。原因：DoH服务器仍指向境外，导致解析走隧道。处置：在“隐私防护”里把“加密DNS”切为“自动”，让系统根据路由自动选本地DNS。

现象B：例外App列表空白。原因：iOS 16以上首次安装未给“本地网络”权限。处置：系统设置 → 快连 → 本地网络 → 打开，再回客户端即可读到Bundle ID。

合规与数据留存边界

快连在新加坡AWS保存连接日志仅保留源IP、出口节点、上下行流量、时间戳，不记录域名或内容。若你公司要求“零日志”，需手动在“高级”里把“诊断数据”关闭，并放弃AI加速节点（该功能需回传延迟样本）。经验性观察：关闭后节点切换速度从亚秒级降到约3-5秒，可接受范围内。

性能取舍：何时不该关全局

1. 游戏场景：UDP高并发时，iOS分流扩展会把每个包丢给NetworkExtension判断，CPU占用提升约8%，在iPhone 13以下机型可能出现《PUBG Mobile》帧率抖动。建议电竞用户仍用全局，再把国内语音App用“绕过中国域名”规则兜底。

2. 短期出差：酒店 captive portal 需先弹网页认证，若默认路由不在隧道，Portal检测会失败。临时解决：开启“强制门户助手”开关（位于“智能分流”最底部），它会在连接Wi-Fi后30秒内自动切回全局，完成认证再恢复分应用。

与MDM/Config Profile协同

企业可通过iOS Configuration Profile提前写入Bundle ID黑白名单，字段为
com.kuailian.privacy tool.tunnel-apps-array
客户端识别到该Payload后，会把列表置灰锁定，用户无法增删，满足审计防篡改。若后续需要新增App，必须重新下发描述文件，无法通过客户端热更新。

验证与观测方法

打开系统“设置-隐私-分析与改进-分析数据”，若出现KLTunnelException日志，说明分流扩展崩溃，需重装。
在Mac上装Apple Configurator 2，实时查看控制台过滤“Kuailian”关键词，若每秒打印Default route changed超过10次，代表路由震荡，应减少例外App数量。
用国内测速网站（如speedtest.cn）与国外测速（fast.com）各跑三次，若前者延迟<40 ms且后者延迟>150 ms，可确认分流生效。

适用/不适用场景清单

场景	建议	理由
跨境电商客服岗	适用	仅让TikTok、Shopify走隧道，ERP与微信留本地，降低封号
Vision Pro空间会议	不适用	系统级多任务，分流扩展无法识别空间App Bundle，会强制回落全局
高校CARSI文献下载	适用	仅浏览器走隧道，校园内网IP保留，图书馆数据库不冲突

最佳实践检查表

例外App不超过15个，防止Extension内存超限被系统回收。
每次iOS小版本升级后，重新跑一遍测速对比，确认分流策略未被系统重置。
若公司需留存截图，用系统录屏+客户端“导出诊断”PDF，双文件互为校验，避免争议。

FAQ：常见疑问

关闭全局后，通知推送延迟是否正常？

iOS推送走APNs，默认路由在本地，不受隧道影响；若例外App含VoIP功能，需把其PushService扩展一并加入例外，否则首次唤醒会多一次握手，延迟约数百毫秒。

分应用模式耗电吗？

经验性观察，iPhone 15 Pro一昼夜待机多耗2-3%，主要来自NetworkExtension常驻；若把“实时延迟悬浮窗”关闭，可降至1%以内。

能否按域名而不是App分流？

iOS系统限制，只能识别Bundle ID，无法读取域名。需要域名级分流请用macOS或路由器版快连。

收尾：下一步行动

完成以上三步后，你已拿到一张可审计的分流截图：国内流量留在本地，境外流量走加密隧道，既满足ISO 27001数据出境最小化，又避免全局代理带来的性能税。建议每月iOS系统更新后重复一次测速验证，并把诊断PDF同步到内部合规库。若后续需要新增App，记得先在测试机验证延迟影响，再推送例外列表，保持“先验证后发布”的节奏，即可长期稳定运行。