流量转发方式¶

TCP¶

入口节点可将 TCP 连接直连到目标，或通过 mTLS + QUIC stream 转交给出口节点。负载均衡使用健康出口的活跃会话调度，主出口不可用时按配置尝试备用出口。规则停用或版本更新会关闭已建立的匹配连接。

TLS passthrough 和 WebSocket 使用 TCP 透明字节流转发。平台不终止 TLS、不管理目标证书，也不解析或改写 WebSocket 帧；目标服务仍负责 TLS、HTTP 和 WebSocket 协议。

出口隧道使用 QUIC DATAGRAM。数据报没有可靠投递和重传保证，单个应用数据报上限为 1178 字节；超限、拥塞或节点离线时可能丢失。平台为每个连接限制会话数并按空闲超时清理。该路径适合小型、可容忍丢包的数据报，不适合要求可靠交付或高吞吐的工作负载。

规则只能访问同一个有效用户组同时允许的目标 CIDR 与端口。主机名按连接解析；若 DNS 返回任何未授权、受保护或控制面地址，连接会被拒绝。入口和出口都执行目标校验，避免 DNS 重绑定绕过组策略。

不要将管理域名、控制通道或敏感内部网段加入用户可编辑的目标白名单。仅授权可信管理员管理节点组与目标策略。