如何在快连macOS端配置仅Safari走代理？
快连macOS端用分应用代理让Safari单独走专线，步骤、例外与合规回退一次讲清。
功能定位：为什么只要 Safari 走代理
在 macOS 上，「分应用代理」是快连 8.4 之后的主打功能：把系统流量拆成两条通道，默认直连，只有被勾选的程序才进入加密隧道。对需要仅浏览器翻墙、其余流量保持原生 IP的场景（公司内网、网银、校园认证），这是最省事也最合规的方案，因为其余数据不会经过第三方服务器，留存面最小。
Safari 作为系统级浏览器，与 Keychain、iCloud 钥匙串深度耦合，全局代理时常触发「异地登录」风控；把它单独隔离后，海外流媒体走专线，本地银行站点继续走直连，可显著降低账号被锁概率。
前置检查：版本与权限
1. 快连客户端 ≥ 8.4（菜单栏图标为渐变色「K」字样）。
2. macOS ≥ 11 Big Sur（网络扩展框架才支持 App 级拆分）。
3. 安装时曾点击「允许」System Extension，否则后续无法下发规则。
若你曾在「系统设置-隐私与安全」里禁用过 KuailianNetwork.kext，需要卸载后重装客户端，并在首次弹窗时点「允许」，否则分应用开关呈灰色不可选。
最短可达路径：三步把 Safari 塞进隧道
步骤 1 打开分应用面板
顶部菜单栏点击 K 图标 → Preferences → 分应用代理（旧版翻译为「App Proxy」）。
步骤 2 添加 Safari
在「应用程序列表」右下角点「+」，从 /Applications 目录选中 Safari.app → Open。此时列表出现「Safari」且默认勾选，隧道模式选「Proxy」。
步骤 3 下发并验证
点「保存」后客户端会弹窗「需要安装辅助驱动」，输入开机密码；成功后菜单栏图标出现小圆点「●」代表规则已下发。打开 Safari 访问 ifconfig.co，若显示出口 IP 与所选节点一致即生效。
回退方案：秒级恢复全局直连
临时回退：菜单栏 K 图标 → 取消「分应用代理」总开关，系统立即恢复默认路由，无需重启 Safari。
永久回退：在列表里移除 Safari 并保存，客户端自动删除对应 PF 规则；若担心残留，可执行sudo pfctl -sr | grep kuailian确认规则表为空。
常见例外与副作用
1. iCloud 钥匙串同步被拦截
Safari 走代理后，钥匙串同步流量仍走 443 直连，但部分企业网络会屏蔽 *.icloud.com，导致「无法验证服务器」弹窗。解决：在「分应用代理」里额外把「钥匙串访问」App 设为 Direct，或手动把 *.icloud.com 加入直连域名表。
2. 本地 Web 开发 127.0.0.1 变慢
经验性观察：若规则未排除 localhost，Safari 会先尝试走 TUN 再回环，延迟增加 3-5 ms。缓解：在「高级设置」里把 127.0.0.0/8, ::1/128 填入直连 IP 段。
3. 网银 U 盾弹窗失败
部分国产 U 盾驱动会注入 Safari 进程，走代理后验证服务器无法识别来源 IP，直接拒绝。工作假设：把「Safari」临时切换为 Direct 或关闭分应用总开关即可通过，验证方法：刷新支付页后不再出现「9001 未知错误」。
验证与观测：确保只有 Safari 进隧道
- 开两个窗口：Safari 与 Chrome。
- 分别访问
https://ip.skk.moe，记录出口 IP。 - 预期结果：Safari IP = 代理节点；Chrome IP = 本地宽带。
- 若两者一致，说明规则未生效，检查「系统设置-网络」里是否同时存在 KuailianTUN 且状态为「已连接」。
与第三方工具协同：Charles、Proxyman 抓包
需要同时抓 Safari HTTPS 时，把 Charles 的 macOS 代理端口 8888 填入「分应用代理-高级」里的「上游 HTTP 代理」字段，并勾选「仅对隧道流量生效」。这样 Charles 看到的来源就是解密后的明文，而系统其余流量不受影响。
不适用场景清单
- macOS 10.15 及以下：无 Network Extension，规则无法下发。
- 需要全局企业出口：分应用模式会让邮件、Zoom 等仍走本地，违反公司安全策略。
- 使用 Safari 技术预览版（Safari Technology Preview）：Bundle ID 不同，需手动再添加一次。
最佳实践 5 条
| 场景 | 推荐设置 |
|---|---|
| 看土耳其 Netflix | Safari→Proxy，节点选「TR-Istanbul-05」，先清 Cookie |
| 公司网银 | 支付前 10 秒把 Safari 切 Direct，完事后切回 |
| 前端本地调试 | 把 127.0.0.0/8 写进直连 IP 段，避免回环绕路 |
| 抓包排障 | 上游 HTTP 代理填 Charles 8888，仅对隧道生效 |
| 共享给同事 | 导出配置文件（菜单「配置-导出」），对方导入即可复现规则 |
FAQ（结构化数据）
分应用开关打开后，Safari 无法上网？
先确认节点是否在线，再检查「系统设置-网络」里 KuailianTUN 是否被意外关闭。若仍失败，临时把 Safari 切 Direct 可立即恢复，再联系客服索要节点日志。
规则里找不到 Safari Technology Preview？
技术预览版 Bundle ID 不同，需手动点「+」到 /Applications/Safari Technology Preview.app 添加即可。
分应用代理会增加电池消耗吗？
经验性观察：仅 Safari 走隧道时，CPU 增加约 3-5%，全天使用可感知发热轻微升高；若同时开启 4K 流媒体，风扇转速会略高于全局直连。
收尾：一句话总结与下一步
快连 macOS 端的分应用代理把「仅 Safari 走专线」压缩成三分钟可复现的三步操作，其余流量保持本地出口，兼顾流媒体解锁与网银合规；下次需要全局模式时，记得先把 Safari 切回 Direct，再关闭总开关即可零残留退出。经验性观察，下一版可能会把「分应用」入口提到一级菜单，并支持按域名自动切换，值得持续关注更新日志。