四档防护：从只加密到全档，掉速区间 0% 至 2.1%
四档不是四个开关的组合，而是四组取舍。每一档的代价都能单独量出来。
把防护做成一个总开关，用户只能在全开与全关之间选择，是最省事也最浪费的做法。防护因此拆成两组：阻断类（Kill Switch、IPv6 与 WebRTC 阻断）与解析类（DNS 防泄漏、解析出口绑定）。两组的作用点完全不同，代价也差着一个数量级。
2026-11-04 在四档配置下各跑五轮，掉速分别是 0%、0.6%、1.4% 与 2.1%。断种类防护几乎不碰数据面，因为它只在本机防火墙层加规则。解析类防护会改变每个新域名的解析路径，代价集中在首查。
| 档位 | 开启项 | 实测掉速 | 首次连接延迟 | 适用场景 |
|---|---|---|---|---|
| 轻档 | 仅加密，无附加规则 | 0% | 312 毫秒 | 家庭网络、可信内网 |
| 标准档 | 加 Kill Switch | 0.6% | 642 毫秒 | 咖啡厅、酒店等半可信网络 |
| 均衡档 | 加 DNS 防泄漏 | 1.4% | 708 毫秒 | 公共 Wi-Fi、需要防解析劫持 |
| 严格档 | 加 IPv6 与 WebRTC 阻断、收紧分流 | 2.1% | 764 毫秒 | 限制严格的网络、敏感操作 |
六项防护逐项拆解
每一项解决什么问题，代价落在哪一段。
Kill Switch 断线保护
断线瞬间切断流量，避免明文回落到本地网络。实测吞吐影响 0.6% 以内，首次连接多等 0.3 秒。
阻断类
DNS 防泄漏
把解析请求放进隧道，避免本地运营商看到你访问了哪些域名。首查多 8 毫秒，命中缓存只多 0.5 毫秒。
解析类
IPv6 泄漏阻断
部分网络会优先走 IPv6 绕开隧道。阻断后吞吐影响 0.1%，但在双栈网络里能消掉一整类泄漏。
阻断类
WebRTC 泄漏阻断
浏览器的实时通信接口可能暴露本地地址。阻断不产生速率代价，代价是部分网页会议需要手动放行。
阻断类
拆分隧道
只让指定应用走隧道，内网打印与共享盘保持直连。吞吐持平，但规则复杂度上升，误配率实测 11%。
分流
应用级白名单
按进程决定走向，比按域名分流更稳。代价是需要维护清单，新增应用不自动纳入，适合固定工位。
分流
Kill Switch：掉速 0.6%，换来断线不回落
阻断规则只在本机防火墙生效，不经过数据面，因此几乎不吃带宽。
Kill Switch 的作用点在本机防火墙。开启后，客户端会写入一组规则，只放行隧道接口的流量，其余全部丢弃。断线时流量无处可去，自然也就不会以明文形式回落到本地网络。
代价有两处。第一处是吞吐，实测 0.6% 以内，属于规则匹配的开销。第二处是首次连接，规则加载让冷启动从 312 毫秒变成 642 毫秒。相比「断线后明文泄漏」，这个代价通常值得付。
2026-11-04 另测了恢复时间：开启后从断线到恢复走隧道为 1.4 秒。未开启为 3.8 秒（客户端在等待重连期间不阻断流量）。这一项是很多人忽略的收益。
| 观察项 | 未开启 | 已开启 | 差异 |
|---|---|---|---|
| 稳态吞吐 | 412.6 Mbps | 410.1 Mbps | 低 0.6% |
| 冷启动到可用 | 312 毫秒 | 642 毫秒 | 多 330 毫秒 |
| 断线恢复时间 | 3.8 秒 | 1.4 秒 | 快 2.4 秒 |
| 规则内存占用 | 不适用 | 11.4 MB | 常驻 |
DNS 防泄漏：首查多 8 毫秒，命中缓存只多 0.5 毫秒
代价集中在每个新域名的第一次解析，而不是每一次访问。
DNS 防泄漏把解析请求放进隧道，由节点侧的解析器代答。代价可以精确描述：新域名的首查多 8 毫秒（多一次隧道往返），命中本地缓存时只多 0.5 毫秒。对吞吐的影响 0.2%，基本可以忽略。
真正需要注意的是解析出口的选择。若节点侧解析器与节点不在同一地区，对端可能看到「出口 IP 在东京、解析来自新加坡」这种组合，部分服务会据此判定为异常。可行做法是让解析器与节点同区，实测这种组合的异常率从 6.4% 降到 0.8%。
| 场景 | 未开启 | 已开启 | 差异 |
|---|---|---|---|
| 新域名首查 | 12 毫秒 | 20 毫秒 | 多 8 毫秒 |
| 缓存命中 | 1.2 毫秒 | 1.7 毫秒 | 多 0.5 毫秒 |
| 吞吐影响 | 基准 | 低 0.2% | 可忽略 |
| 对端异常率 | 6.4% | 0.8% | 下降 5.6 个百分点 |
IPv6 与 WebRTC：两类不花钱的泄漏面
阻断它们不产生速率代价，代价是少数网页功能需要手动放行。
IPv6 泄漏的成因很简单：很多网络同时下发 IPv4 与 IPv6，而客户端只接管了前者。此时访问支持双栈的站点会优先走 IPv6，直接从本地出网，隧道形同虚设。阻断后吞吐影响 0.1%，属于噪声级别。
WebRTC 泄漏来自浏览器的实时通信接口，它可能直接上报本地地址。阻断这一项不产生速率代价，但会影响网页会议。2026-10 的抽样里，开启阻断后 3 个常用会议站点需要手动放行才能建立音视频。
- IPv6 泄漏
- 双栈网络下优先走 IPv6 绕开隧道。阻断后吞吐影响 0.1%。
- WebRTC 泄漏
- 浏览器上报本地地址。阻断无速率代价，需放行会议站点。
- 检测方式
- 自检流程会同时查 IPv4 与 IPv6 两条出口，任一条不同即告警。
- 常见误判
- 本地回环地址出现在结果里属正常，不代表泄漏。
- 移动网络
- 运营商 IPv6 覆盖率高，出差场景建议默认开启阻断。
- 放行清单
- 会议与打印两类站点建议加入白名单，其余保持阻断。
开启顺序：六步，先阻断再解析
顺序错了会出现「已连接但打不开网页」这类假故障。
- 第一步 · 连上再改10 秒。
先在轻档下连上，确认出口正常，再逐项开启。否则无法区分是规则问题还是线路问题。
- 第二步 · 开 Kill Switch15 秒。
这一步不改变解析，风险最低。开完测一次吞吐，确认掉速在 0.6% 以内。
- 第三步 · 开 IPv6 阻断10 秒。
在双栈网络里这一步最关键。开完重跑出口检查，确认 IPv6 出口也指向节点。
- 第四步 · 开 DNS 防泄漏20 秒。
开启后首次访问新域名会多 8 毫秒。若出现大面积解析失败，先检查解析器与节点是否同区。
- 第五步 · 配分流或白名单3 分钟。
只把需要的应用放进隧道。规则越多误配概率越高，实测首次配置的误配率为 11%。
- 第六步 · 复测并留存5 分钟。
把吞吐、延迟与三项自检结果一起记下，作为这台设备在该网络下的基线。
三条关于防护档位的说法
每一条都可以用上面四张表里的数字检验。
说法一：防护全开必然掉速一半
四档的实测区间是 0% 至 2.1%。阻断类防护只在本机防火墙加规则，不经过数据面。解析类防护只影响新域名的首查。真正会让速度掉一半的，是 UDP 不可用导致的协议回退，与防护档位无关。
说法二：Kill Switch 只是防泄漏，对速度没影响
它对稳态吞吐的影响确实只有 0.6%，但会把冷启动从 312 毫秒拉长到 642 毫秒。对频繁重连的场景，这 330 毫秒是可感的。对常驻连接的用户，这项代价基本不可见。
说法三：档位越高越安全，所以应该永远开最高档
严格档的代价不在速度，而在可用性：WebRTC 阻断会让部分会议站点需要手动放行，收紧分流会让内网资源共享失败。安全边界应该与所处网络匹配，家庭网络开轻档并不会降低风险。
八类网络的档位组合与异常率
档位选错的表现不是慢，而是某些站点打不开或反复验证。
| 网络类型 | 推荐档位 | 建议协议 | 实测掉速 | 抽样异常率 |
|---|---|---|---|---|
| 家庭宽带 | 标准档 | WireGuard | 0.6% | 0.4% |
| 公司访客网络 | 严格档 | Trojan | 2.1% | 1.1% |
| 咖啡厅公共 Wi-Fi | 严格档 | Trojan | 2.1% | 0.6% |
| 机场候机厅 | 严格档 | Hysteria2 | 1.9% | 0.9% |
| 酒店有线 | 标准档 | WireGuard | 0.6% | 0.5% |
| 移动 5G | 均衡档 | Hysteria2 | 1.4% | 1.9% |
| 共享办公空间 | 均衡档 | Trojan | 1.4% | 0.7% |
| 家里但需要远程办公 | 严格档 | WireGuard | 1.8% | 0.3% |
异常率最低的组合出现在「家里但需要远程办公」这一行，原因是网络可控、干扰最少。最高的是移动 5G，19% 的异常来自基站切换时的瞬时解析失败，重试即可恢复。
注意第 2 行与第 8 行的差别：两行都推荐严格档，但一个用 Trojan 一个用 WireGuard。公司访客网络常有主动探测与门户认证，需要 TLS 伪装。家里则只需要低抖动。
掉速从哪一步来：三项分解与微调
把总掉速拆到具体动作上，才知道哪一项值得关掉。
四档的 2.1% 上限可以拆成三项：规则匹配 0.6%、解析改道 0.2%、分流收窄 1.3%。前两项与带宽无关或几乎无关，第三项的代价取决于分流规则的严格程度。
分流收窄之所以最贵，是因为它把一部分流量从隧道里赶了出去，同时增加了规则匹配的分支数。在 6 个应用的测试集上，规则从 3 条增加到 11 条之后，单核占用从 7.1% 升到 9.4%，吞吐下降 1.3%。
这也解释了为什么严格档的首次连接最慢：规则越多，加载越久。764 毫秒里有 118 毫秒花在规则编译上，其余是隧道建立与探测。
- 规则匹配
- 0.6%，随规则条数线性增长。11 条规则时升到 0.9%。
- 解析改道
- 0.2%，只影响新域名首查，与吞吐基本无关。
- 分流收窄
- 1.3%，把部分流量移出隧道并增加匹配分支。
- 规则编译
- 118 毫秒，只出现在冷启动阶段。
- 规则超过 10 条时，优先合并同域名后缀，而不是继续加单条规则。
- 把常用应用放白名单，比按域名分流的分支更少，实测省 0.4% 的单核占用。
- 不需要内网共享的场景，直接关掉拆分隧道，可回收 1.3% 的掉速。
- 规则调整后务必重跑一次自检，异常率比掉速更值得关注。
与防护档位相关的变更
规则调整与面板改版都在这里记录。
- 2026-11-08
亚洲回程扩容完成，东京至上海中位延迟复测 19 毫秒。
本轮扩容后，东京、大阪、首尔三条回程在上海电信 500 Mbps 家宽上复测三轮。中位延迟 19 毫秒，抖动从 4.6 毫秒收敛到 2.3 毫秒（2026-11-07 采样）。
- 2026-11-05
客户端 5.8 上线防护档位面板：Kill Switch 与 DNS 防泄漏可分别开关。
档位面板把阻断类防护与解析类防护拆开配置，实测开启 Kill Switch 后吞吐变化在 0.6% 以内。DNS 防泄漏首查延迟增加 8 毫秒（2026-11-04 实测）。
2026-10-11维护窗口：新加坡节点 02:00 至 04:00 平滑升级，预计掉线 0 次。
升级采用先摘流再重启的顺序，实测同城会话保持率 99.2%，游戏类长连接断线 0 次（2026-10-10 演练数据）。
防护档位问答
按被问到的频率排序。
- 开了严格档之后网页打不开怎么办？
- 按开启顺序回退：先关 WebRTC 阻断，再关 DNS 防泄漏，最后关 IPv6 阻断，每关一项复测一次。2026-10 的工单里，八成问题由解析器与节点不同区引起。
- Kill Switch 会影响局域网打印吗？
- 会。默认规则只放行隧道接口，打印与共享盘需要加入白名单或改用拆分隧道。这一步建议在开启前配置，避免开启后再排查。
- DNS 防泄漏会不会让网页变卡？
- 首查多 8 毫秒，命中缓存只多 0.5 毫秒。体感上的卡顿通常来自解析失败重试，而不是这 8 毫秒。若出现大面积重试，检查解析器与节点是否同区。
- 四档之外还能自定义吗？
- 可以。阻断类与解析类可以分开组合，也可以只对指定应用生效。自定义时建议每次只改一项，并保留复测记录，否则很难定位是哪一项带来了变化。
先按网络选档，再按结果微调
档位的选择依据是所处网络，不是越高越好。跑一次自检拿到三项结果，再决定开哪几项。
打开 30 秒自检