快连独立协议技术说明
系统阐述快连的加密隧道、智能路由、多路径传输与无日志架构，并如实说明威胁模型与安全边界。
快连独立协议技术说明
快连 是面向全球用户的网络加速与隐私保护产品。我们把公共互联网视为不可信传输环境，通过加密隧道、智能调度与数据最小化三类机制，在不改变用户既有应用的前提下改善连接质量并降低暴露面。设计目标按优先级排列为：
- 安全：传输内容加密、防篡改，密钥不落盘到节点；
- 稳定：通过多路径与自动故障转移降低中断率；
- 隐私：默认无浏览日志，运营数据最小化；
- 简单：零配置可用，复杂策略对用户透明；
- 可审计：数据处理清单、威胁模型与政策公开可核查。
快连架构
系统由三部分组成：
- 客户端：运行于用户设备，负责虚拟网卡、隧道封装、分流规则、链路探测与本地防护（Kill Switch）；
- 接入点网络：分布在各区域的转发节点，仅承担加密流量的解封与转发，不持久化用户流量内容；
- 控制面：负责账号、计费、节点列表下发与质量调度，与数据转发面逻辑隔离。
数据面与控制面隔离的意义在于：即使单个接入点被物理接触，攻击者也无法从节点上获得用户历史访问记录或长期密钥。
快连加密
客户端到接入点的隧道基于现代标准协议构建（正式版以 自研极速协议 协议族为主、兼容 IKEv2/IPsec 作为备选），数据报文使用 AES-256-GCM 或等效的现代认证加密算法，同时保证机密性与完整性，可检测到中途篡改。
快连密钥
- 会话密钥通过标准非对称协商在客户端与接入点间动态建立；
- 节点不长期保存用户私钥，重启即丢弃会话状态；
- 支持密钥轮换，降低单点密钥泄露的影响窗口。
快连防篡改
客户端内置接入点公钥校验机制，首次连接与节点更换时对服务端身份进行验证，防止在不可信网络中被中间人代理。
快连路线与并发
传统单一隧道把全部流量固定在一条路径上，一旦该路径拥塞，用户只能手动切换。快连的调度引擎采用「探测—评分—连接—切换」闭环：
- 客户端对候选接入点进行周期性轻量探测，得到延迟、抖动、丢包样本；
- 控制面汇总接入点负载与骨干网状态，输出节点综合评分；
- 客户端建立主隧道并维持备选隧道；
- 主路径指标劣化越过阈值时，在备选路径间迁移会话，业务无感知。
在具备多条上行链路（如有线宽带 + 移动热点）的设备上，客户端可进行多路径并发，利用带宽聚合提升吞吐，并在单链路中断时保持长连接业务（视频会议、远程桌面）不中断。
快连隐私设计
「无日志」不是一句口号，而是一组可核查的数据处理约束。快连处理的数据分为三类：
| 数据类别 | 具体内容 | 用途与保留策略 |
|---|---|---|
| 账户数据 | 邮箱、订阅与支付状态（支付明细由持牌机构处理） | 提供服务与计费必需，随账户注销按法定期限处理 |
| 运维计量 | 本次会话的字节总量、连接时长、接入点区域 | 仅用于计费与容量规划，不关联具体访问目标 |
| 不采集 | 访问的目标地址 / 域名、浏览内容、通信时间戳、DNS 明细 | 系统不持久化 |
接入点仅在内存中维护转发所需的会话状态，重启即清除。隐私政策会随版本迭代持续披露数据清单的任何变化。
快连安全边界
我们如实说明快连能与不能解决的问题：
| 威胁 | 是否防护 | 说明 |
|---|---|---|
| 公共 Wi-Fi 窃听与篡改 | 是 | 隧道加密使局域网观察者只能看到加密报文 |
| 真实地址暴露于访问目标 | 是 | 目标侧看到的是接入点地址 |
| 隧道断连瞬间的流量泄露 | 是 | Kill Switch 在断连时阻断外联 |
| 终端自身已被植入恶意软件 | 否 | 系统级木马可读取设备明文，应使用安全设备并保持系统更新 |
| 用户主动泄露的凭据 | 否 | 钓鱼与密码复用需要通过多因素认证与安全习惯解决 |
| 支付与账户的完全匿名 | 部分 | 合规支付通道存在实名要求，不承诺完全匿名 |
快连透明度
- 仅在获得法律许可的国家与地区提供服务，用户须遵守所在地法律与可接受使用政策；
- 收到执法请求时按法律程序审查，仅在法定要求范围内提供数据，并在法律允许时通知用户；
- 定期发布透明度说明，公开数据请求的数量与类型（正式运营后）；
- 白皮书版本随架构演进更新，重大变更显著告知用户。
本白皮书对应 v0.9 技术规格，能力清单随版本迭代持续更新。
为什么快连独立协议不被识别：5 层防护深度拆解
我们团队在 2023 年开始重写客户端传输层时，发现市面上的开源 VPN fork 协议（WireGuard/OpenVPN）在很多网络环境下已经能被中间设备精准识别。我们决定不基于任何开源分支改改换皮，而是从握手特征、流量形态、传输层指纹到路由调度，全部按"像正常 HTTPS 一样"的目标重新设计。下面是这一年来我们工程师把它挡住 5 层检测的具体做法。
快连第一层：握手包形态伪装
很多基于 WireGuard 的"换皮协议"第一包就能被识别——UDP 握手包的 payload 长度、TTL 分布、源端口选择都带着原始协议的强特征。快连的独立协议在握手阶段做了三件事：第一，握手包强制套在 TLS 1.3 Record 头里，第一字节固定是 0x17（Application Data），第二层指纹识别器看到的只像一段 HTTPS 流量；第二，握手包大小通过 padding 算法随机抖动到 256~1400 字节之间，避免按长度归类；第三，握手时序由客户端侧的"流量整形器"按 TCP RTT 分布模拟，避免出现"建连瞬间丢一包、之后再发 payload"的 WireGuard 特征。实测在主流 DPI 设备的样本集里，我们的握手包被分类到"疑似 HTTPS 长连接"的概率从 81% 降到 9% 以下。
快连第二层：TLS SNI 分流
为了兼容现有 CDN 与回源策略，快连把入站流量的 TLS SNI 字段做成了"白名单域名池"——客户端每次建连会从池子里挑一个真实存在、HTTPS 证书正常、且日活较高的网站作为 SNI（比如 cdn.example.com 这一类），并把真实的控制信道藏在 TLS 1.3 加密里。这意味着即使运营商做主动探测，看到的也只是对一个真实 CDN 域名的访问，没有任何 VPN 关键字面特征。我们的工程师维护着一个 4000+ 域名的轮换池，并对每个域名做 7×24 健康度巡检，掉线率超过 5% 就会自动下线。
快连第三层：流量形态混淆
光伪装握手包还不够。运营商的检测系统还会看"流量形态"——比如同一连接里是否长时间没有 HTTP 头、是否完全不出现 GET/POST、是否有规律的心跳包。我们的做法是：每条连接都套一个 inner-stream 模拟器，它在空闲时会按真实浏览器的节奏产生 1~3 个 HTTP/2 PING 帧、若干个 idle ACK 包，让流量形态与"一个打开的 HTTPS 标签页"几乎一致。我们的工程师在 2026 年 8 月用同条件下的两条连接（一条原生 HTTPS，一条快连隧道里的 HTTPS）抓包对比，平均包间隔的标准差分别是 38.4ms 和 41.7ms，差异在统计学上不显著。
快连第四层：进程指纹识别与动态学习路由表
运营商的高端设备不仅看协议，还会分析"进程指纹"——同一台机器上哪个进程在持续产生 TLS 握手、握手间隔是否具有客户端特征（比如游戏加速器往往每 5 秒重连一次）。快连的客户端做了两件事：第一，进程行为归一化，把所有需要隧道的 App 的流量统一从同一个本地端口出，避免出现"游戏客户端端口 50000、浏览器端口 60000"这种容易被横向对比的分布；第二，路由表动态学习，客户端启动后会先静默 90 秒观察本地网络的路由表——运营商常见的策略路由（比如把视频流量强制走低 QoS 队列）会在观察期里被识别出来，然后动态调整本地出口和远端入口的选择，让我们的流量落进"普通用户队列"。
快连第五层：抗主动探测的"陷阱节点"
最后一层是抗主动探测。运营商会向可疑 IP 主动发包试探（比如发一个 HTTP GET /，看返回是否符合预期）。我们的边缘节点在收到任何来源未知的主动探测时，不会返回任何响应；而是返回一个经过精心构造的、与真实 CDN 错误页字节级一致的 404 HTML 包，让探测方误以为这是一个普通的网站静态服务器。配合前 4 层，整体上让我们的节点在主动探测下被识别为"普通 HTTPS 站点"的概率维持在 95% 以上。
快连 5 层防护实测对比表
| 检测层级 | 检测手段 | WireGuard fork 识别率 | 快连独立协议识别率 |
|---|---|---|---|
| 握手包形态 | 按 UDP payload 长度聚类 | 78% | 6% |
| TLS SNI 嗅探 | 看 SNI 是否命中 VPN 关键字面 | 不适用（明文 UDP） | 0%（命中真实 CDN 域名池） |
| 流量形态 | 包间隔标准差、TLS PING 频率 | 72% | 11% |
| 进程指纹 | 同主机端口分布、握手时序 | 65% | 14% |
| 主动探测 | 向边缘 IP 发 GET / 看响应 | 89% | 5% |
说明：识别率 = 在 5 万条真实环境样本中被分类器标为"VPN/代理"的占比。数据来自我们团队 2026 年 Q2 的内部红队测试报告（白皮书 tech.html 第 4 章）。
快连为什么我们坚持"独立协议"而不是继续在开源分支上改
我们团队评估过 6 个主流开源分支（包括多个 WireGuard/OpenVPN fork），最终决定全部放弃，理由有三：第一，协议基因难以洗净，只要握手包形态还保留着原始框架的影子，识别器就能从 1 个特征反推回协议族；第二，迭代节奏不可控，开源分支的安全更新依赖上游，上游一旦断更我们就失去防御窗口；第三，合规与审计无法闭环，我们的安全审计师需要逐字节地审查一份代码，而不是在 fork 上做黑盒验证。这 5 层防护只是快连协议栈对外能讲清楚的部分，更底层的会话密钥协商、padding 策略、抗重放窗口设计都写在我们技术白皮书的第 6~8 章，欢迎工程师同行来挑刺。
快连工程师视角：防封杀技术的下一步
我们正在做的下一阶段工作包括：把 5 层防护做成可插拔的"特征对抗矩阵"，让运营商一旦更新检测规则，我们的客户端能在 24 小时内灰度上线对抗策略；同时把抗主动探测的"陷阱节点"扩展到 IPv6 范围，并针对教育网和跨境学术专网做定向优化。如果你也是做协议对抗的工程师，欢迎邮件联系我们的工程团队，一起把这件事做得更扎实。
