功能上新

进程级分流上线：规则判定精确到可执行文件

2026 年 10 月 23 日，快连 v8.4.2 上线进程级分流。判定依据从域名表换成可执行文件与签名，三层顺序固定为进程白名单、地址归属、企业例外。灰度期间分流误判率从 2.7% 降到 0.4%，内网流量误送出境的情况归零。

一、域名表为什么不够用

按域名分流的思路很直接：维护一张域名清单，命中的走加速、没命中的走直连。问题是这张清单永远追不上现实——一个现代协作工具往往同时访问十几个域名，包括登录、静态资源、遥测、WebSocket 长连接，漏掉一个就会出现「登录能用、附件传不上去」的半通状态。

我们在 2026 年 7 月做过一次统计：抽样 200 个企业常用应用，平均每个应用访问 11.4 个域名，其中 3.2 个域名同时被其他应用使用。这意味着按域名分流必然出现两类错误——该走加速的没走，不该走的走了。

实测下来，旧方案的误判率是 2.7%。看着不高，但在 500 台终端、日均 4 万次连接的量级下，每天有约 1080 次连接走错通道。

二、三层判定，顺序固定

新方案的判定顺序是固定的三层。第一层看进程是否在分流白名单里——白名单由可执行文件路径、文件签名与哈希三项共同确认，避免同名文件冒用。

第二层看目标地址归属。如果目标是 RFC 1918 私网段或本地回环，直接走直连。这一层是硬编码的，优先级最高，不允许被任何策略覆盖——防止把内网请求误送出境。

第三层看企业例外规则。企业可以在策略文件里指定某些进程访问某些网段时走指定出口，冲突时以企业例外为准。

三层判定完成后，结果会写进本地日志，包含命中层级、判定依据与最终出口。排查「为什么这个应用没走加速」时，看这一行日志就够。

三、灰度数据

灰度覆盖 5 个企业的 1,240 台终端，为期 3 周。判定准确率以人工逐条核对为基准，抽样 8,000 次连接。

四、企业侧要注意的两件事

第一件是内网使用了非标准网段的情况。如果企业内网用了公网地址段（例如某些历史遗留的 172.16 以外的私有规划），私网段硬编码直连不会生效，需要在策略文件的直连列表里显式登记这些网段。这一点在部署指南里有专门说明。

第二件是规则库版本锁定。企业可以在策略文件里把规则库版本钉住，避免业务高峰期被动变更。钉住版本后客户端不再拉取增量，需要手动解除锁定才会更新。

最后提醒一句：进程级分流依赖进程识别，如果企业有自研应用且未做代码签名，需要把可执行文件哈希加入白名单，否则会被判定为未识别进程并按默认策略处理。