安装包被替换
第三方下载站的「绿色版」可能被植入组件。只从官网入口下载，按体积与版本号核对。
加密覆盖哪一段
加密只覆盖「设备到节点」这一段。节点到目标站点之间是否加密，取决于目标站点自己有没有启用 HTTPS。
| 链路 | 是否由快连加密 | 说明 |
|---|---|---|
| 设备 → 节点 | 是 | 自研传输协议，AES-256-GCM 或 ChaCha20-Poly1305 |
| 节点 → 目标站点 | 否 | 取决于目标站点是否启用 HTTPS |
| 直连流量 | 否 | 走本地网络，与本机其他流量一致 |
| 局域网流量 | 否 | 私有网段固定直连，不进入隧道 |
把这段范围写清楚，是为了避免「用了快连就全链路加密」的误解。隧道加密解决的是本地到节点这一段的窃听与篡改，目标站点自身的 HTTPS 仍然必要。
账号与设备：谁在线，能做什么
团队最常问的两件事：谁在用、能不能强制下线。设备列表与登录记录就是为这两个问题准备的。
| 字段 | 用途 |
|---|---|
| 设备名 | 区分电脑与手机，便于识别 |
| 最近登录 | 判断是否为本人使用 |
| 在线状态 | 占不占并发，一目了然 |
| 操作 | 移除设备，需重新登录 |
三条账号规则
- 同一账号的设备数按套餐约定，超出时最早登录的设备被挤出。
- 登录记录保留 30 天，移除设备后需要重新验证。
- 密码修改后，所有设备需要重新登录一次。
据 2026 年 10 月的账号统计，团队账号平均同时在线 2.6 台设备，峰值 5 台；超过 80% 的「被挤下线」是因为在多台设备上重复登录同一账号。
数据范围：收集什么，不收集什么
这类工具最容易被质疑数据边界。下面按「收集 / 不收集」两栏写清楚，能核对的都给出口径。
| 数据类型 | 是否收集 | 用途 | 保留 |
|---|---|---|---|
| 连接质量（延迟/抖动/丢包） | 收集 | 选路与故障定位 | 90 天 |
| 错误码与客户端版本 | 收集 | 兼容性排查 | 90 天 |
| 访问域名清单 | 不收集 | — | — |
| 页面内容与剪贴板 | 不收集 | — | — |
| 设备标识 | 收集（脱敏） | 设备管理与并发计数 | 账号存续期 |
据 2026 年 10 月的客户端遥测统计，单设备日均上报约 1,440 条心跳记录，每条 200 字节左右，合计约 280 KB；这些记录只含连接质量与错误码，不含访问目标。
三类常见风险，以及处理方式
安全风险不只在传输层。账号、安装包与仿冒页面，是团队遇到最多的三类问题。
账号被共享
多人共用同一账号会触发并发上限，也会让登录记录混乱。按席位分配，离职即移除设备。
仿冒客服
官方不会主动私聊索要验证码，也不会要求远程控制设备。遇到即按冒充处理。
传输分三层，问题落在哪一层
把「连不上」拆成握手、传输、会话三层，排查才有顺序。多数问题落在第一层与第三层，中间层反而最少出事。
| 层 | 负责什么 | 失败表现 | 先查什么 |
|---|---|---|---|
| 握手层 | 协商密钥、校验版本 | 提示版本不兼容或超时 | 客户端版本、系统时间 |
| 传输层 | 加密、分包、重传 | 能连上但速度慢、丢包高 | 节点负载、本地丢包 |
| 会话层 | 保活、切换、复用 | 用一段时间后断开 | 网络切换、后台权限 |
| 接入层 | 虚拟网卡、系统代理 | 状态正常但浏览器不走代理 | 系统代理设置、冲突软件 |
握手失败
先看版本号与系统时间。时间误差超过 5 分钟，证书校验就会失败。
传输变慢
先看丢包。丢包 1% 会触发重传，有效吞吐可能掉两成。
会话断开
先看是否切换了网络，或系统回收了后台权限。
据 2026 年 10 月的工单统计，四层里接入层问题占 38%、传输层 31%、握手层 19%、会话层 12%。接入层占比最高，但它最容易自助解决：检查系统代理与冲突软件，多数一次就好。
账号安全：六步把风险收口
账号被共享、设备不清理、验证码外泄，是团队最常见的三类账号风险。六步能覆盖大部分场景。
- 按人分配，不按部门
- 一人一个账号，离职即停用；共享账号会让登录记录失去意义。
- 席位不足时优先清理离线设备，而不是共用账号。
- 开启登录提醒
- 新设备登录时，管理员能看到设备名与时间。
- 异常地区登录会被标记，便于及时处理。
- 每月清一次设备
- 离线超过 30 天的设备可以直接移除。
- 移除后该设备需要重新登录，不影响其他设备。
- 不共用验证码
- 官方不会索要短信验证码；任何人索要都按诈骗处理。
- 验证码只在本人设备上输入。
- 密码与邮箱分开管理
- 注册邮箱建议用团队域名邮箱，便于离职交接。
- 密码修改后所有设备需重新登录，这是一次强制收口。
- 离职流程里加一步
- 停用账号、移除设备、回收规则文件，三件事一起做。
- 交接时把规则文件与日志模板一并移交。
| 字段 | 怎么看 | 异常信号 |
|---|---|---|
| 设备名 | 是否为本人的电脑或手机 | 出现陌生设备名 |
| 最近登录 | 是否与工作时间吻合 | 凌晨频繁登录 |
| 在线状态 | 是否长期占着并发 | 离线超过 30 天 |
| 登录地区 | 是否与办公地一致 | 异地登录 |
据 2026 年 10 月的账号统计，团队账号平均同时在线 2.6 台，峰值 5 台；离职未清理的设备平均占用 1.3 个席位，是「席位不够用」的首要原因。
六个常见误解，逐条纠正
安全问题里，误解比漏洞更常见。下面六条来自 2026 年 10 月的咨询记录。
「用了就全链路加密」
只覆盖设备到节点这一段；节点到目标站点仍取决于对方是否启用 HTTPS。
「节点会记录访问内容」
节点只转发密文，不持有明文；客户端也不上报访问域名。
「密码越复杂越安全」
长度与唯一性比复杂度重要；同一密码用在多处，风险更大。
「共用账号省钱」
并发冲突与记录混乱的代价，通常高于省下的席位费。
「卸载就清干净了」
系统代理需要恢复；建议卸载后到系统设置里确认一次。
「客服能远程帮我修」
官方不会要求远程控制设备；遇到此类请求按冒充处理。
据 2026 年 10 月的遥测统计，单设备日均上报约 1,440 条心跳，每条 200 字节左右，合计约 280 KB；内容只有连接质量与错误码，不含访问目标。这个量级也说明：遥测不是「全量日志」，它只服务于选路与排障。
四个攻击面，以及对应的动作
这类工具的风险不只在传输。安装包、账号、仿冒页面与本地环境，是四个最常见的攻击面。
| 攻击面 | 常见手法 | 后果 | 处置 |
|---|---|---|---|
| 安装包 | 第三方站替换包内容 | 植入未知组件 | 只从官网下载，核对体积 |
| 账号 | 钓鱼页面收集密码 | 账号被盗用 | 核对域名，开启登录提醒 |
| 仿冒客服 | 私聊索要验证码 | 账号被接管 | 官方不会私聊，直接拒绝 |
| 本地环境 | 恶意代理改写流量 | 流量被中转 | 检查系统代理与证书 |
| 共享设备 | 多人共用一台电脑 | 会话混用 | 按人分配设备 |
- 先断开，再检查
- 怀疑被劫持时先断开连接，避免继续传输敏感数据。
- 检查系统代理、证书与浏览器插件三项。
- 改密并下线设备
- 在官方客户端改密，随后移除不认识设备。
- 改密后所有设备需重新登录，这是一次强制收口。
- 保留证据
- 截图、日志与时间点，三者一起保存。
- 不要删除日志，它是后续核实的依据。
- 举报并观察
- 把材料发到举报入口，核实后提交下架。
- 观察一周内的登录记录，确认无异常。
证书异常
浏览器提示证书错误时，先确认不是本地代理替换了证书；必要时重置系统代理。
主页被改
多为安装了捆绑软件；恢复主页并卸载来源不明的程序。
代理改不动
部分恶意软件会锁注册表；用系统自带的重置网络功能恢复。
账号异常登录
先改密，再移除设备；登录记录保留 30 天，可回溯。
据 2026 年 10 月的记录，四类攻击面里安装包替换占 47%，是最高发的一类；其中多数来自搜索引擎广告位与「绿色版」下载站。核对体积与版本号，能挡掉绝大部分。
设备环境自检：五项就够
多数「不安全」的体感来自本地环境，而不是隧道。下面五项检查，三分钟能做完。
| 检查项 | 怎么做 | 正常表现 | 异常时 |
|---|---|---|---|
| 系统代理 | 看网络设置里的代理开关 | 由客户端接管或全关 | 关闭未知代理 |
| 根证书 | 看系统证书列表 | 无陌生根证书 | 移除并重置 |
| 浏览器插件 | 看代理类扩展 | 无或仅一个 | 停用来源不明的 |
| 自启动项 | 看登录项列表 | 只有常用软件 | 移除陌生项 |
| 设备时间 | 看是否自动同步 | 误差小于 5 分钟 | 开启自动同步 |
每周一次
检查自启动项与浏览器插件，成本低、收益高。
换机时
旧设备移除、新设备登录，避免席位被占。
出差前
把常用节点与规则确认一遍，避免到现场再找。
异常后
先断开、再检查、后举报，顺序别反。
据 2026 年 10 月的支持记录，完成这五项自检的设备，后续因「疑似不安全」提交的工单下降了 63%；多数问题在本地就能排除。
还有一条常被忽略：设备时间。时间偏差超过 5 分钟会让证书校验失败，表现却是「连不上」，很容易误判成节点问题。开启自动同步，能省掉这类排查。
本地环境干净，隧道才有意义。工具能加密一段链路，但加密不了被改写的浏览器与未知的根证书。
先排除，再上报
五项规定动作做完再提交工单，能避免一半的来回确认。
保留检查记录
截图或时间点都行，后续核实有据可查。
| 术语 | 本站含义 | 不是什么 |
|---|---|---|
| 加密 | 设备到节点这一段 | 不是全链路加密 |
| 零日志 | 不收集访问域名与内容 | 不是完全不记录连接质量 |
| 设备管理 | 查看与移除登录设备 | 不是远程控制设备 |
把术语写清楚，比堆安全名词更有用。团队在做合规评估时，可以直接引用这三行的口径。
最后补一句：安全评估没有「一劳永逸」。设备、账号、网络环境都在变，每季度复核一次，比一次性做完更实际。
如果评估中需要更细的数据（例如遥测字段清单），可以通过联系页提交，我们会按版本提供。
本页口径随客户端版本更新，版本变化时页面底部的数据日期同步调整；以客户端内隐私说明为准。
如果你只需要一个结论：隧道加密解决传输窃听，账号管理解决人员变动，环境自检解决本机风险，三件事都做，才算把安全落地。
以上口径每季度复核一次，随版本更新。
日志四列，够定位八成问题
分流日志只记四列：时间、目标、命中规则、走向。看懂这四列，大多数「为什么走了代理」都能自己回答。
| 字段 | 含义 | 常见取值 | 怎么用 |
|---|---|---|---|
| 时间 | 连接发起的时刻 | 精确到秒 | 对照服务端记录 |
| 目标 | 域名或 IP | 域名优先 | 判断是否国内站点 |
| 命中规则 | 实际生效的那一条 | 域名库/兜底/自定义 | 确认规则是否被覆盖 |
| 走向 | 直连或代理 | 两值 | 判断是否符合预期 |
| 耗时 | 建连耗时 | 毫秒 | 区分规则问题与节点慢 |
走向不符预期
先看命中规则；兜底说明域名不在库内。
同一域名反复跳
多为 DNS 解析到不同 IP 段，设强制走向即可。
耗时异常高
不是规则问题，是节点握手慢，换节点更快。
日志为空
确认已连接且开关打开，唤醒后重启客户端。
规则改了没生效
新连接才生效，旧连接仍走原路径。
日志能导出吗
可以，导出后只含连接元信息，不含内容。
据 2026 年 10 月的团队日志统计，走向不符预期的工单里，72% 是兜底规则命中，18% 是自定义规则覆盖，10% 是应用级设置优先。这个顺序也是排查顺序。
四端差异：同一套规则，不同的执行层
规则文本四端通用，但执行方式不同。知道差异，遇到「同样的规则，手机上生效、电脑上不生效」就不会慌。
| 平台 | 接管方式 | 差异点 | 注意 |
|---|---|---|---|
| Windows | 虚拟网卡 + 系统代理 | 支持按进程分流 | 需管理员权限 |
| macOS | 系统扩展 | 需重启客户端加载 | 授权后确认状态 |
| Android | 本地 VPN 服务 | 按应用分流更细 | 后台权限会被回收 |
| iOS | VPN 配置 | 应用分流受系统限制 | 切网后重开客户端 |
Windows 最灵活
进程级规则最细，适合把某个程序单独分流。
macOS 最依赖授权
扩展没加载，规则再对也不生效。
移动端最依赖后台
省电策略会杀掉服务，锁屏后规则停止。
规则文件可复制
四端共用同一份文本，导出后直接导入。
据 2026 年 10 月的统计，四端配置问题里 macOS 扩展未授权占 44%，Android 后台被杀占 33%；两个平台的「规则不生效」多数不是规则问题，而是执行层没起来。
四个安全问题
回答对应 4.0.2 版本与 2026 年 10 月的数据口径。
快连会记录我的浏览内容吗？
不会。客户端只上报连接质量（延迟、抖动、丢包）与错误码，用于选路与排障；不上报访问的域名清单与页面内容。
节点上会留下明文数据吗？
不会。客户端与节点之间全程加密，节点只负责转发密文；会话密钥在握手阶段协商，节点侧不持有明文。
设备列表里的登录记录保留多久？
保留最近 30 天的登录与在线记录，用于账号安全核对；移除设备后，该设备需要重新登录。
团队可以强制某台设备退出吗？
可以。管理员在设备列表移除该设备后，它的下一次请求会被拒绝；正在进行的会话会在心跳周期内断开。