绿茶VPN智能分流升级：12,000条规则按应用自动选路，内网访问保持直连

2026年11月5日，绿茶VPN把客户端的智能分流规则库更新到2026.11版：规则总数12,186条，其中域名规则8,412条、IP段规则2,604条、应用规则1,170条。新版按“应用白名单—域名—IP段—默认出口”四级顺序匹配，单个账号最多可为20个应用单独指定出口，内网地址与局域网打印机默认直连。灰度期间（10月27日至11月4日）的抽样显示，分流命中率96.3%，手动切换节点的次数下降72%。

过去用户面对的选择是“按地区选一条线路”，而真实流量往往是混在一起的：同一个浏览器里既打开公司OA，也打开海外文档站；同一个家庭网络里，孩子在上网课，电视在放4K片源。把整台设备塞进一条隧道，等于让所有流量服从同一条线路的延迟与带宽，出口再快也会互相挤压。

这次更新没有改动节点规模：仍是92个节点、24个地区，晚高峰加权平均延迟41ms，东京至上海实测34ms。改动发生在客户端决定“哪些流量走哪条线”的那一层，因此不需要重装客户端，3.4.1版本在后台拉取新规则即可生效。对每天手动切四五次线路的人来说，变化就是“不用再切”。

手动切线路的真实成本：1,842个账号的连接记录

为确认问题规模，团队抽取了2026年10月8日至10月21日之间1,842个活跃账号的聚合连接记录，统计维度只有切换次数、连接结果与工单类型，不涉及访问的网址与页面内容。抽样覆盖Windows、macOS、Android与iOS四个平台，其中办公时段连接的账号占58%。

结果比预期集中：这批账号平均每天手动切换节点4.7次，61%的切换发生在20:00至23:00；切换之后90秒内再次切换的比例为23%，说明相当一部分切换并没有解决问题。另有32%的账号至少出现过一次内网OA、ERP或打印机被送进隧道导致超时的情况，这类工单占线路类工单的18%。

原因不在节点质量，而在规则粒度。旧版分流主要围绕“地区选择 + 全局开关”设计，规则只能表达“直连”或“代理”，无法描述“这个应用走东京、那个域名走新加坡、内网永远直连”。用户能操作的只有节点列表，于是把“选路”变成了“反复换节点”。

分流规则维护负责人周宁在复盘会上说：“用户不是想换节点，是想让不同的流量各走各的路。规则能表达清楚，手动切换自然会降下来；规则表达不了，加多少节点都会被来回切。”这句话后来成了这次改版的验收标准之一：先看手动切换次数，再看延迟。

为了让判断有对照，团队在灰度前让50名用户提前使用新版规则一周。同一批人的手动切换从日均4.9次降到1.4次，连接失败率保持在0.9%没有上升，晚高峰的平均延迟也没有因为“多了一次匹配”而变差，东京至上海仍在34ms左右。

规则怎么匹配：四级顺序、20个应用与6小时下发

新版把匹配拆成四级，优先级从高到低为：应用白名单、域名、IP段、默认出口。应用规则排在最前，因为进程身份最明确，用户勾选“只让这个程序走加速”时不应被域名规则覆盖；域名规则负责绝大多数网站；IP段规则用于覆盖没有独立域名、或域名与IP不一致的服务；剩余流量交给默认出口。

四级之外还有两条硬约束。其一是上限：单个账号最多配置20个应用白名单，每条自定义规则最多包含5个域名，超出时客户端提示替换而不是静默丢弃。其二是“固定优先”：用户在设置页把某个站点固定到指定地区后，这条规则优先于自动选线，直到用户手动取消。

匹配过程分三步完成。第一步识别，客户端在本地读取进程签名与请求域名，不解析页面内容；第二步匹配，12,186条规则在内存中组织为前缀树与哈希表，单次查询耗时中位数0.8ms；第三步交付，命中代理的流量交给现有隧道，命中直连的流量直接绕过，不再经过虚拟网卡。三步都在本地完成，不产生额外往返。

规则的下发节奏也做了调整。规则库仍然每周四发布一版，但客户端改为每6小时检查一次差异包，只下载变化的条目，整包体积1.6MB，差异包通常在90KB以内。3.4.1版本支持热加载，新规则在42ms内替换完成，现有连接继续复用原隧道，不会因为更新而断开。

为了避免“更新把网络改坏”，规则包使用Ed25519签名，客户端校验失败时自动回退上一版，并在设置页提示；本地保留最近3个版本，用户也可以在“规则版本”里手动回退。灰度期间触发过2次自动回退，均因差异包下载不完整，未影响已建立的连接。

命中代理之后，具体走哪个节点仍由智能选线决定：客户端按实时延迟与负载对92个节点排序，再结合用户固定的地区筛选。规则只回答“走不走代理”，选线回答“走哪条线”，两件事分开之后，规则库不必随节点增减而重写，维护成本也降了下来。节点分布与各地延迟可在节点页查看。

灰度四批：命中率96.3%，误判率0.4%

灰度从10月27日开始，按5%、15%、40%、100%四批放量，每批观察24小时，覆盖92个节点下的全部线路。判断是否继续放量的指标有三项：分流命中率不低于95%、误判率不高于0.5%、客户端崩溃率不高于0.1%。前三批都达到了门槛，第四批在11月3日完成全量。

性能影响主要体现在匹配环节。单次查询0.8ms，东京线路端到端首包延迟的变化在±1ms以内，因此34ms口径没有调整；客户端空闲态的CPU占用增加0.6个百分点，内存增加11MB，在23.6MB安装包的基础上属于可接受范围。

0.4%的误判并非均匀分布。复核样本显示，其中约0.3个百分点来自CDN域名共用IP：同一个IP既承载海外站点，也承载国内镜像，按IP段匹配就会偏向代理；剩余0.1个百分点来自企业内网域名与外网同名，例如两家公司前缀相同。前者通过补充域名规则修正，后者交给用户用“强制直连”覆盖。

灰度中也出过一次问题。11月1日，15%批次的用户反馈某网盘客户端被误判为代理，上传速度下降到原有水平的三分之一。排查发现是该客户端更新后更换了进程签名，旧的应用规则没有命中，流量落到默认出口。团队在2小时内回滚这条应用规则、补录新签名后重新放量，期间没有要求用户手动处理。

规则在本地跑：权限、签名与追溯链路

分流规则涉及“看哪些流量”，很容易让人担心隐私。新版延续了此前的边界：识别与匹配全部在客户端本地完成，域名、进程名与目标IP不会上传；服务端只接收规则版本号、命中次数总量与错误码三类信息，按天聚合，无法还原单个用户的访问路径。

权限上做了三层限制。系统级规则以只读方式随客户端下发，必须通过签名校验才能加载；用户自定义的白名单只在本机生效，不进入公共规则库；客户端请求管理员权限仅用于写入系统代理设置，不读取文件、不截取页面内容。企业环境中，管理员可以通过配置文件统一下发规则，但同样无法查看员工的访问记录。

连接记录的字段与保留期没有变化：只保存连接时间、出口节点编号、上下行流量总量与连接时长，保留7天后由清理任务删除，不保留冷备份，也不记录访问的网址、搜索词与文件内容。具体字段与删除流程写在隐私政策第三节，规则命中统计同样不包含域名。

加密链路保持原样：默认ChaCha20-Poly1305，移动端启用AES-256-GCM硬件加解密，密钥每24小时轮换一次。规则签名密钥与隧道密钥分离，前者只用于验证规则包来源，即使签名密钥轮换，也不会影响已建立的连接。

追溯链路按“谁改、改了什么、影响多大”记录，规则变更留痕90天。每条变更包含提交人、规则ID、变更前后内容、灰度批次与回滚记录；用户侧可以在设置页看到本机最近10次规则更新的时间与版本号，导出的是命中次数汇总，不含具体域名。出现争议时，这份记录能说明某次误判是规则问题还是本地配置问题。

三类用户的落地效果

第一类是跨境运营团队。一个15人的团队同时使用OA、ERP、企业邮箱与三个海外文档站，过去把整台电脑挂进隧道，内网审批页面经常转圈。新版把OA、ERP、打印机与内网域名设为直连，文档站与邮箱走东京线路，内网超时工单从每月27张降到3张，在线文档首屏从1.9秒降到1.3秒。团队成员不需要记住哪条线路对应哪个系统。

第二类是海外课程与影音用户。课程平台与视频站点被固定到影音专线，4K片源首帧0.8秒，晚间8点至11点的卡顿率维持在0.2%；笔记本与手机各自持有独立规则，手机上把游戏固定到东京线路，不会因为电视在播4K而被挤到高延迟出口。对这类用户，分流的价值不是“更快”，而是“同时用的时候互不打扰”。

第三类是家庭共享场景。一个账号6台设备同时在线，孩子的网课走新加坡线路48ms，客厅电视走影音专线，家长的笔记本按域名分流访问公司系统，三份规则互不覆盖。设备管理页可以随时解绑旧设备，解绑立即生效，不需要在每台设备上重复配置。

开发联调是附带受益的一类。代码仓库与文档站走代理，本地内网、测试库与打印机保持直连，不必再改hosts或临时关掉客户端；规则改动即时生效，切换分支、拉取依赖时不会因为“忘了关代理”而失败。灰度用户中，这类配置的平均设置时间从12分钟降到4分钟。

三类主要场景在灰度用户中的占比分别为46%、31%与23%。团队没有把“满意度”做成单一分数，而是看两个行为指标：手动切换次数与规则页的回访率。前者下降72%，后者在第二周趋于稳定。

限制也需要说清楚。规则库没有收录的域名仍走默认出口，需手动固定；UDP应用的识别依赖进程签名，部分游戏更新后会短暂失效；iOS受系统网络扩展的限制，只能按域名分流，无法像桌面端那样按进程指定。遇到这些情况，工单里附上域名、时间与客户端版本即可，团队会按周复核。

上线节奏、5个问题与后续计划

2026.11版规则从11月5日起全量下发，3.4.1客户端在下次启动后的6小时内自动获取；11月12日停止下发旧规则包，仍在使用3.3.x的用户可以继续连接，但看不到命中统计与规则版本页。路由器配置文件用户需要重新导出一次，新文件包含四级匹配所需的规则集。

升级不需要手动操作，也不需要重新登录。若希望立即生效，可在客户端“设置—规则版本”里点一次“检查更新”；自定义的20个应用白名单会保留，但每条规则仍需满足最多5个域名的限制，超出部分会在升级提示里列出，由用户选择保留哪几条。

升级后需要手动改规则吗？

不需要。3.4.1启动后会自动拉取新规则，原有的自定义白名单保留；只有3.3.x需要先升级客户端，才能看到规则版本与命中统计。升级不会重置节点选择与套餐状态。

自定义应用白名单最多几个？

单个账号20个应用，每条规则最多5个域名。达到上限后客户端会提示替换，不会静默丢弃；删除不再使用的应用后，名额立即释放。

内网与打印机会不会被代理？

10.0.0.0/8、172.16.0.0/12、192.168.0.0/16三个私网段默认直连，局域网打印机与NAS不会被送进隧道；内网域名若与外网同名，可在设置页对该域名选择“强制直连”。

规则更新会断开连接吗？

不会。规则热加载在42ms内完成，已建立的隧道继续复用，只有新连接按新规则匹配。灰度四批期间没有记录到因规则更新导致的会话中断。

某些站点还是走错线路怎么办？

先在设置页查看该站点的命中记录，确认是被域名规则还是IP段规则命中；把站点固定到指定地区后，固定规则优先于自动选线。仍未解决时提交工单，附域名、时间与客户端版本，团队会在每周的规则复核中处理。

后续版本的规划已经排到明年一季度。计划在v3.5.0加入按时间段生效的策略，让工作时段与夜间使用不同的出口；自定义规则支持文件导入，上限200条；规则命中情况做成可视化列表，方便判断哪条规则在起作用。IPv6规则仍在评估，需要先解决地址段变化频繁带来的维护成本。

想现在就用上新版分流，可在下载页取用3.4.1客户端，Windows安装包23.6MB，安装后无需额外配置；已有客户端等待自动更新即可。规则库每周四发布一版，更新记录会同步到资讯栏目，误判与回滚也会写进更新说明，便于对照自己的使用场景。