Timeline
五步走完，每步都有检查点
顺序不要跳。先装一台、再装十台、再灰度、最后全量，每一步都有可观测的检查点。
Commands
四个平台的静默安装命令
下面四条命令都是幂等的：重复执行不会产生重复注册项，适合走配置管理工具批量下发。
| 平台 | 命令 | 关键参数 | 耗时参考 |
|---|---|---|---|
| Windows | msiexec /i kuaince-8.4.2.msi /qn POLICY="D:\cfg\policy.json" | /qn 静默，POLICY 指定策略文件 | 约 40 秒 |
| macOS | installer -pkg kuaince-8.4.2.pkg -target / | 需预先允许网络扩展 | 约 35 秒 |
| Linux | dpkg -i kuaince_8.4.2_amd64.deb | 装后 systemctl enable kuaince | 约 12 秒 |
| OpenWrt | opkg install kuaince_8.4.2_ipq806x.ipk | 需先安装 kmod-tun | 约 20 秒 |
耗时数据取自 2026-10 的批量部署记录：Windows 侧为 i5-1135G7 / 16GB 机型，Linux 侧为 4 核 8GB 云主机，OpenWrt 侧为 IPQ806x 双核设备。
Policy
策略文件长什么样
纯 JSON，六个顶层字段。可以进 Git，也可以由配置管理工具渲染变量后下发。
policy.json 字段结构
- splitMode
- 进程级 / 全局 / 直连，默认进程级
- protocol
- wireguard / quic / tcp443，默认 wireguard
- egress
- auto / 指定节点编号 / 独立出口 IP 标识
- audit
- 字段开关与留存周期（30 / 90 / 180）
- remote
- 远控开关、临时授权上限（最长 8 小时）
- pinVersion
- 锁定规则库版本，避免高峰期被动变更
策略文件下发走账号通道，实测同步中位 2 秒。离线终端在下次联网时补齐；客户端本地保留最近三份策略快照，回滚只需选择快照并重新下发，回滚动作同样写入审计。
Canary
灰度顺序与检查点
灰度不是为了形式，是为了在影响面还小的时候发现问题。每一步都要看具体指标。
| 阶段 | 终端范围 | 观察时长 | 检查点 |
|---|---|---|---|
| 单机验证 | 1 台测试机 | 2 小时 | 握手成功、协议与策略生效、审计有记录 |
| 小组验证 | 同部门 10 台 | 8 小时 | 失败率低于 1%、无策略冲突告警 |
| 灰度 5% | 跨部门 5% 终端 | 24 小时 | 会话成功率、平均握手耗时、审计写入延迟 |
| 灰度 50% | 半数终端 | 12 小时 | 出口负载、审计表写入速率 |
| 全量 | 全部终端 | 持续观察 7 天 | 周度用量与失败率复盘 |
2026 年 10 月的一次 500 台部署中，灰度 5% 阶段发现某部门的安全软件拦截 UDP 出站，当场把该部门策略改为 TCP 443 兜底，未扩散到全量。
Troubleshoot
部署期四类常见故障
这四类占了部署期工单的八成以上，按表处理通常不需要提单。
静默安装返回 1603 错误
1603 表示安装程序在写入驱动阶段被拒绝。检查三点：一是安装账户是否有管理员权限；二是安全软件是否拦截虚拟网卡驱动；三是是否有旧版本驱动残留。处理方式是先卸载残留驱动，重启后再执行安装命令，安装日志在 %TEMP%\kuaince-install.log。
策略下发后客户端显示未生效
先看客户端「策略」页的策略版本号与后台是否一致。不一致通常是终端离线，联网后 2 秒内会补齐。若版本号一致但行为不符，检查策略中是否有部门级覆盖项——部门级策略优先于全局策略，这个顺序在策略中心页面可以看到。
审计检索查不到某些终端
先确认这些终端的客户端版本是否为 8.4.2 及以上——8.3 及更早版本上报的字段少 4 项，检索条件命中可选字段时会漏掉。再确认设备证书是否在有效期内，证书过期后网关拒绝写入审计并返回结果码 401。证书有效期 180 天，到期前 30 天后台会提示续签。
路由器插件装好后设备仍走本地线路
多数是转发未开启。检查 OpenWrt 的防火墙设置是否允许转发，以及插件是否加载了 kmod-tun 模块。另外按 MAC 分组分流时，未登记的设备默认直连，需要在插件页把设备加入加速分组。若只是部分应用不走加速，检查进程级分流规则是否与路由器侧的按 MAC 分流冲突。
Key Figures
本页关键数据速览
- 四个平台的静默安装耗时参考为 Windows 约 40 秒、macOS 约 35 秒、Linux 约 12 秒、OpenWrt 约 20 秒，测试环境见本页表格（2026-10 批量部署记录）。
- 策略文件下发走账号通道，同步中位耗时 2 秒；客户端本地保留最近三份策略快照用于回滚，回滚动作同样写入审计（2026-10 环境测试）。
- 灰度顺序为单机 2 小时、同部门 10 台 8 小时、跨部门 5% 观察 24 小时、50% 观察 12 小时、全量后观察 7 天，依据 2026 年部署规范版本。
- 2026 年 10 月一次 500 台部署中，灰度 5% 阶段发现某部门安全软件拦截 UDP 出站，当场改为 TCP 443 兜底，未扩散到全量（实施记录数据）。
- 静默安装失败返回码 1603 表示驱动写入被拒，安装日志位于 %TEMP%\kuaince-install.log，日志保留最近一次安装的完整记录，见 2026-11 版本故障处理手册。
- 策略文件共 6 个顶层字段：splitMode、protocol、egress、audit、remote、pinVersion，取值与默认值见本页结构说明（2026-11 版本）。