快喵VPN 五端能力对照：同一个功能，五个系统上差在哪

§ 01 · 三种接管

五端只有三种接管方式，能力差异从这里来

能力不是拍脑袋定的，而是由接管方式决定。桌面端走虚拟网卡，移动端走系统通道，Linux 走 TUN 设备。三种方式的权限边界不同，能做的事也不同。

快喵VPN 在五个系统上的接管方式可以归为三类。Windows 与 macOS 走虚拟网卡或系统网络扩展，Android 与 iOS 走系统提供的 VPN 通道，Linux 走内核 TUN 设备。三类方式的权限层级依次是：系统扩展最高，VPN 通道居中，TUN 设备需要用户自行授权。

这个分类解释了一件事：为什么桌面端能做按应用分流，而 iOS 只能做「部分」。系统给的接口决定了能拦到哪些流量，客户端只能在这个范围内工作。

为什么 iOS 的按应用分流只是「部分」

iOS 的网络扩展只能看到声明了目标的流量，未声明的应用直接走系统默认路径。这意味着一部分应用无法被接管，而不是接管失败。Android 侧同样有约束，但 VpnService 允许声明全部应用后再排除，灵活度高一些。

三种方式的资源开销

• 虚拟网卡方式在数据路径上多一次内核到用户态的拷贝，因此常驻内存最高，Windows 为 84 MB。
• 系统网络扩展方式把处理放在扩展进程内，路径更短，macOS 为 76 MB。
• 系统 VPN 通道方式由系统托管部分逻辑，客户端只做配置，Android 为 62 MB、iOS 为 68 MB。
• TUN 设备方式的处理全在用户态，但需要维护路由表，Linux 为 71 MB。
• 四种开销的差异主要来自数据路径长度，与功能多少关系不大。
• 同一方式下不同版本的常驻内存差异通常在 3 MB 以内，可以忽略。

§ 02 · 能力总表

十项能力在五端的逐条取值

下表是本站的核心对照表。十项能力按「是否影响日常使用」排序，前四项是多数人会用到的，后六项按需。

前四项：日常会用到的

整机流量接管、按应用分流、分流域名规则、开机自启这四项决定了「能不能用得顺」。四项全支持的只有 Windows；macOS 缺按应用分流，Android 缺开机自启，iOS 缺规则与自启，Linux 缺按应用的精确匹配。

后六项：按需的

• 后台常驻：桌面端常驻托盘或菜单栏，Android 用前台服务，iOS 受系统回收，Linux 用 systemd 单元。
• 流量与延迟统计：桌面端与 Linux 完整，Android 只有粗粒度数值，iOS 不提供。
• 全局快捷键：桌面端与 Linux 支持，移动端没有物理键盘常驻场景。
• 命令行控制：桌面端与 Linux 提供 kuaimiao 命令，移动端不提供。
• 配置同步：五端全部支持，这是五端之间唯一完全一致的能力。
• 深色主题：四端跟随系统，Linux 只在部分桌面环境下跟随。

§ 03 · Windows 端

Windows：能力最全，也最依赖驱动

Windows 端能做全部十项，代价是必须注册内核级驱动。驱动装不上时，其余九项都无从谈起。

包格式

.exe 安装器

包体

118.6 MB（x64）/ 112.4 MB（arm64）

安装后占用

196 MB

常驻内存

84 MB

首连中位

2.9 秒

架构

x64 与 ARM64 双构建

能力边界

十项全支持。按应用分流在 Windows 上通过进程路径匹配实现，能精确到具体可执行文件，这是四个端里唯一能做到精确匹配的。

两个使用前提

• 安装阶段需要管理员权限注册驱动，日常运行不需要管理员身份。
• 驱动与内核架构必须一致：ARM 版 Windows 装 x64 包会注册失败。
• 开机自启写入的是当前用户的注册表分支，用管理员身份常驻会写进错误分支。
• 虚拟网卡名固定为 kuaimiao，改名会导致客户端找不到设备。
• 系统自带的网络过滤类软件可能拦截驱动注册，安装前应临时退出。
• Windows 10 19044 及以下不支持当前驱动，属系统边界。

为什么常驻内存最高

Windows 端是两个进程：一个托盘界面进程，一个网络服务进程。两者分离部署是为了让服务能在用户注销后继续运行，代价是两份基础开销，合计 84 MB。

§ 04 · macOS 端

macOS：单进程结构，缺一项分流能力

macOS 端是五端里结构最简单的：一个通用包、一个进程、一次授权。它少了按应用分流，但其余九项都在。

包格式

.dmg 磁盘镜像

包体

96.2 MB（Universal 2）

安装后占用

174 MB

常驻内存

76 MB

首连中位

2.4 秒

最低系统

macOS 13.0 Ventura

缺的那一项是什么

按应用分流在 macOS 13 起的网络扩展接口里没有对应能力，只能做整机接管。这不是实现取舍，而是系统接口不提供进程级的路由归属。因此 macOS 端的「部分」应读作「不支持」。

授权流程的三个节点

• 安装需要管理员密码，这一步与普通应用安装一致。
• 网络扩展需要在系统设置的登录项与扩展里单独放行一次，这一步与安装密码不是同一件事。
• 授权被系统更新重置后需要重新放行，表现为连接一直停在准备阶段。
• 企业管理的设备可能由 MDM 策略直接禁止网络扩展，此时无法安装。
• macOS 15 起扩展授权界面位置有变化，但流程节点不变。
• 授权状态可在系统设置的网络扩展列表里随时查看，不需要命令行。

单进程的好处

界面关闭后进程仍在菜单栏存活，重新打开窗口不需要重启服务。因此 macOS 端的首连中位 2.4 秒里，有 1.1 秒是扩展握手，剩余是配置加载，比 Windows 少一段驱动注册。

§ 05 · Android 端

Android：包最小，靠前台服务存活

Android 端不含任何驱动，42.8 MB 的包体里全是界面与原生库。它的存活依赖前台服务，这也是它在不同内存机型上表现差异最大的原因。

包格式

.apk 与商店包

包体

42.8 MB（arm64）/ 39.1 MB（v7a）

安装后占用

96 MB

常驻内存

62 MB

首连中位

1.8 秒

最低系统

Android 9.0（API 28）

按应用分流怎么做的

VpnService 允许先声明接管全部应用，再按包名排除。因此 Android 端的分流是「排除式」而不是「包含式」，实际效果与桌面端的按进程匹配接近，但对新装应用默认是接管的。

后台存活的机型差异

存活时长与机型内存强相关，因为系统按可用内存决定回收优先级。4.6.3 起把前台服务的优先级调高，8 GB 机型从 46 分钟延长到 3 小时以上。

• 在系统设置里把客户端加入「不受限制」的后台名单，可显著延长存活时间。
• 省电模式会强制回收前台服务，此时连接会断开且不自动恢复。
• 部分定制系统有独立的「自启动管理」，需要单独允许。
• 前台服务会在通知栏显示常驻卡片，这是系统要求，无法隐藏。
• 侧载包与商店包在此项行为一致，差别只在签名与更新方式。
• Android 8 及更早版本没有稳定的前台服务恢复机制，4.4.0 起不再支持。

§ 06 · iOS 端

iOS：首连最快，能力受系统限制最多

iOS 端首连中位 1.6 秒，是五端最快的。但它也是能力最少的一端：十项里只有四项完全支持，另有五项不支持。

包格式

App Store 分发

包体

58.4 MB（按设备裁剪）

安装后占用

118 MB

常驻内存

68 MB

首连中位

1.6 秒

最低系统

iOS 16.0 / iPadOS 16.0

四项完全支持的能力

整机流量接管、配置同步、深色主题跟随、后台常驻（按系统回收）。这四项构成了 iOS 端的全部日常能力，够用但没有余地。

不支持的几项为什么不做

• 分流域名规则：系统不提供按域名改路由的接口，客户端只能整机接管。
• 开机自启：系统策略不允许应用注册开机启动，这是平台级限制。
• 流量与延迟统计：系统限制后台统计精度，做出来的数字不可信，因此不提供。
• 全局快捷键：移动端没有物理键盘常驻场景。
• 命令行控制：系统不开放此类入口。
• 按应用分流：只能对声明了网络扩展目标的应用生效，实际覆盖不完整，因此标为部分。

首次连接的两个前提

第一是在设置里信任 VPN 配置描述，未信任时连接会停在准备阶段。第二是允许应用添加 VPN 配置，这一步每次重装都需要重新确认。两步都完成后，后续连接不再需要确认。

§ 07 · Linux 端

Linux：能力接近桌面端，配置要自己做

Linux 端在能力上接近桌面端，缺的是按应用的精确匹配。它也是唯一需要用户自己处理服务管理与权限的一端。

包格式

.deb / .rpm / .AppImage

包体

84.3 至 91.2 MB

安装后占用

152 MB

常驻内存

71 MB

首连中位

3.4 秒

最低系统

内核 5.10 + glibc 2.31

三个格式的差别

权限怎么给

创建 TUN 设备需要 root 或 CAP_NET_ADMIN 能力。两种做法：每次用 sudo 启动，或对二进制设置 setcap 后普通用户运行。前者简单，后者适合常驻。

• sudo setcap cap_net_admin+ep /opt/kuaimiao/kuaimiao 之后可普通用户运行。
• setcap 会在升级后被清除，因为包管理器替换了二进制文件，需要重新设置。
• 需要 /dev/net/tun 存在，容器环境里通常需要额外挂载。
• 无 systemd 的环境（OpenRC、runit）需要自己写服务文件，包内提供模板。
• Wayland 会话下托盘图标依赖 StatusNotifierItem 协议，部分桌面环境需要装扩展。
• aarch64 与 x86_64 是两个不同的包，树莓派 4 及以上用 aarch64 包。

为什么首连最慢

每次连接都要重建 TUN 设备并下发路由表，这两步在内核态完成。路由条目少于 200 条时中位 3.4 秒，超过 800 条会升到 5 秒以上。桌面端复用的是已注册的驱动，因此快得多。

§ 08 · 跨端一致性

五端之间哪些一致，哪些必然不同

一致性有两个层面：行为一致与数据一致。行为上五端差距明显，数据上五端完全一致，这是设计上的取舍。

数据层为什么能做到完全一致

因为同步走的是字段级合并，而不是整份文件覆盖。五端各自只写自己负责的字段，读的时候按字段取，所以不存在「哪端的配置是权威」的问题。

行为层为什么必然不同

• 四个系统的服务管理机制不同，自启只能各写各的，无法统一。
• 移动端与桌面端的交互形态不同，界面结构只能相近而不能相同。
• 系统提供的网络接口不同，分流能力必然有差距。
• 资源占用由数据路径长度决定，同一份代码在不同系统上开销不同。
• 这些差异不是实现不统一，而是平台约束的直接结果。
• 把差异写清楚，比强行做成一样更有用，因为用户能预期到具体差在哪。

§ 09 · 性能开销

能力越多的端越费资源，但不是线性关系

资源开销与能力数量只弱相关，与数据路径长度强相关。下面把五端的四类开销摊开，能看清钱花在哪。

CPU 与吞吐损耗为什么不同步

CPU 占用看的是单核百分比，吞吐损耗看的是数据路径上的拷贝次数。Linux 的 CPU 最高（3.6%）但吞吐损耗也最高（4.6%），因为用户态处理全在自己进程里；Android 两项都最低，因为大部分逻辑由系统托管。

四项开销的取舍关系

• 想让吞吐损耗低，就让系统多托管一些逻辑，代价是能力变少。Android 与 iOS 就是这条路。
• 想要能力强，就得把处理放在自己的进程里，代价是 CPU 与内存都高。Windows 与 Linux 是这条路。
• macOS 处在中间：单进程结构降低了内存，但保留了完整的整机接管能力。
• 四项开销无法同时最优，选端时只能按主要矛盾取舍。
• 同一端不同版本的开销差异在 5% 以内，跨端差异才是主要部分。
• 若设备性能紧张，优先考虑 Android 或 iOS 端，而不是去调客户端的参数。

吞吐损耗的测量口径

用同一台出口、同一节点、同一段 500 MB 文件传输，比较直连与经客户端的耗时差。五端各采样 20 次取中位，波动在 0.4 个百分点以内。这个数字与出口带宽无关，与设备 CPU 单核性能弱相关。

§ 10 · 怎么选端

按使用场景选端，而不是按功能数

功能最多的端不一定最适合。选端的依据是使用场景：长时间桌面办公、移动场景、服务器环境，三种场景的最优选择不同。

两个常见的选择误区

第一个误区是按包体大小选端：Android 包最小（42.8 MB），但它的能力也最少。第二个误区是按首连速度选端：iOS 最快（1.6 秒），但它的自启与规则能力缺失。包体与速度都不该是首要依据。

• 首要依据是使用场景，其次是能力需求，最后才是资源占用。
• 同一台设备装两个端没有意义：五个端对应五个不同系统，一台设备只属于其中一个。
• 跨系统设备（如 Windows 台式机加 iPhone）需要装两个包，各自对应自己的系统。
• 若设备处于系统边界外（如 macOS 12），只能装旧版本，能力会再少一项。
• 选端之后，具体包的选择见下载中心的四步判断。
• 不确定时先装桌面端：桌面端界面信息最全，便于先熟悉配置结构。

§ 11 · 能力补齐

缺的那项能力，能不能用别的办法补

能力缺口有真有假。有些是系统接口不提供，只能接受；有些只是客户端没做，可以用系统自带功能补上。分清这两类能省很多时间。

能补的三项怎么补

macOS 的按应用分流可以用规则集近似：把不希望走代理的域名写进直连规则，效果接近按应用排除，但不覆盖未走域名的流量。Android 的自启可以用后台白名单延长存活，实测 4 GB 机型从 46 分钟延到 2 小时以上。iOS 的统计可以看系统自带的蜂窝与无线数据用量，按周期汇总。

不能补的两项

• iOS 的按应用分流没有可靠替代：系统只把声明了目标的应用流量交给扩展，客户端无法越过这条限制。
• iOS 的开机自启属于平台禁止项，任何第三方做法都只能做到「打开后自动连接」。
• 这两项不必再花时间找办法，把预期调整过来更实际。
• 替代做法的效果都要打折，不能按原能力的标准去要求。
• 若某项能力是刚需，正确做法是换端而不是找替代。
• 换端的前提是设备属于另一个系统，同一台设备无法换端。

判断一项缺口该不该补的三步

§ 12 · 能力问答

八个关于能力差异的问题

以下八问集中在对「为什么某端没有某功能」的疑问上。答案都指向同一个原因：系统接口不同。

数据 · 能力相关数字

七个可复现的能力侧数字

以下七条只涉及能力与资源开销，条件写在句子里，可与表 1 至表 5 对照。

§ 11 · 下一步

接着看哪一页

能力看清之后，剩下的是能不能装、装完怎么更新、多端怎么一致。三件事各有专页。

若发现自己的设备缺少某项能力，先到系统要求页确认是否在支持范围内；若在范围内，再到版本节奏页看该项能力是哪个版本加入的。