如何在Windows防火墙中为快连添加出站例外规则？

功能定位：为什么必须手动放行出站

Windows 防火墙默认拦截所有未匹配规则的外发流量。kuailian 在启动时需要向远端 6800+ 节点发起 UDP/TLS 握手，若出站被拦，客户端会卡在“正在更新节点列表”或“TLS 超时”。手动建立“出站例外”并非开放全部端口，而是让防火墙放行“指定程序+动态端口”组合，既满足连通，又维持最小暴露面。换言之，这一步不是“多开一扇门”，而是“给正确的人递钥匙”。

前置检查：确认快连主程序路径

不同安装方式路径差异大，请先定位可执行文件。桌面快捷方式→右键→“打开文件所在位置”，记录完整路径，例如 C:\Program Files\kuailian\kuailian.exe（具体路径因版本和安装方式而异，请以实际为准）。若后续更新导致路径变化，需重新编辑规则；建议把路径同步写入记事本，下次升级后 10 秒内即可复用。

操作路径：Windows 10/11 图形界面

1. Win+S 搜索“Windows Defender 防火墙”→左侧“高级设置”。
2. 右侧面板“出站规则”→新建规则。
3. 规则类型选“程序”→下一步。
4. 浏览到前述 kuailian.exe→下一步。
5. 操作选“允许连接”→下一步。
6. 配置文件三项（域/专用/公用）全勾→下一步。
7. 名称填写 kuailian_Outbound_UDP+TCP，描述可写“放行快连所有出站流量”→完成。

经验性观察：若公司域策略强制推送“拒绝”规则，上述本地规则仍会被覆盖，此时需联系 IT 在组策略层面放行，否则客户端日志会持续出现 5152 事件。

命令行速配：PowerShell 单条复现

图形界面点选超过十步，可用管理员 PowerShell 一次性写入：

New-NetFirewallRule -DisplayName "kuailian_Outbound" -Direction Outbound -Program "C:\Program Files\kuailian\kuailian.exe" -Action Allow -Profile Any

执行后立刻生效，无需重启；若路径含空格，务必加双引号。对批量装机场景，可将该命令写入 MDT 任务序列，实现“开箱即用”。

端口范围：是否需要锁定 UDP 51820

快连 v8.4.2 内置 WireGuard、Hysteria2 等协议，握手端口动态浮动。官方文档未固定端口，因此“程序级”规则比“端口级”更稳。若企业出口防火墙白名单仅允许指定端口，可在客户端设置→高级→WireGuard 端口改为 51820，并在上述规则中把“协议类型”限为 UDP、本地端口留空、远程端口填 51820，但会牺牲节点自动切换能力。示例：某金融客户因合规要求只开放 51820，结果跨国节点延迟从 90 ms 升至 400 ms，最后仍改回程序级放行。

回退方案：快速禁用与日志定位

若添加规则后反而无法上网，可：

1. 回到“出站规则”列表，右键禁用 kuailian_Outbound，即刻恢复默认策略。
2. 如要排障，在规则属性→“高级”→“记录被丢弃的数据包”打勾，随后查看事件查看器→应用程序和服务日志→Microsoft→Windows→Windows Firewall with Advanced Security→Firewall，过滤事件 ID 5152，可见被拦目标 IP，从而判断是否为快连节点。

建议把“日志最大大小”调到 4 MB，循环覆盖，避免排障时日志被清空。

不适用场景清单

• 公司采用硬件防火墙强制旁路代理，Windows 本地规则无效。
• 校园网 802.1X 认证+全局白名单，仅允许 80/443，UDP 被丢弃，此时需改用 WebSocket+TLS 模式，而非防火墙例外。
• Windows 7 已结束支持，缺少 WFAS 高级安全界面，需升级系统或使用 netsh advfirewall 命令，操作复杂度翻倍。

出现以上场景时，应优先与网络管理员协商协议层改造，而非反复调整本地规则。

验证与观测方法

完成规则后，打开快连→点击“智能加速”→观察日志窗口是否出现“TLS handshake completed in X ms”。若延迟稳定在三位数毫秒内，说明出站握手已通；若仍提示“blocked by firewall”，请检查路径是否指到旧版本残留 exe。可用 netstat -ano -p udp | findstr 51820 确认是否有外出 UDP 流。经验性观察：首次握手成功后，后续节点切换通常 200 ms 内完成，若持续大于 1 s，需排查是否被上游 QoS 限速。

FAQ（使用 FAQPage Schema）

最佳实践清单

1. 安装完快连立即备份 exe 路径到记事本，方便下次更新后快速改规则。
2. 命名规则时加版本号后缀，如 kuailian842_Outbound，可一眼识别旧规则。
3. 每季度检查事件 ID 5152，若出现非快连 IP 被拦，可及时收窄规则范围。
4. 在笔记本“公用网络”场景下，仍保持规则全开，但配合快连的 Kill-Switch，防止真实 IP 泄漏。

养成“先备份、后测试、再归档”的习惯，可将防火墙排障时间从小时级压缩到分钟级。

收尾：下一步行动

完成出站例外后，重启快连客户端，确认节点列表秒级刷新，再把规则导出为 .wfw 文件备份。日后升级系统或更换电脑，双击即可导入，无需重复点选。若公司策略冲突，优先与 IT 确认程序签名指纹，避免用全域“端口白名单”放大攻击面。未来版本若引入 QUIC 或 MASQUE 等新传输层，程序级规则依旧兼容，可减少再次运维。