引流策略是代理模式下的流量控制功能，用于决定终端的网络请求是进入企业加密代理通道，还是直接走本地网络。管理员可以根据员工身份、网络位置或具体的应用进程来灵活制定策略规则。例如，为了解决远程办公时视频会议卡顿、大文件下载占用网关带宽，或是宽泛域名导致无关流量误入代理通道等问题，您可以配置引流策略，让这部分特定流量绕过代理通道直接连接互联网。这不仅能有效降低网关负载，还能在保障内网访问安全的前提下，提升员工的实际上网体验。

本文将为您介绍如何在飞连中配置引流策略。

前提条件 #

• 请确保飞连客户端版本为 3.3.19 或更高版本，以支持代理模式。
• 强烈建议先参考配置代理模式 ACL 策略说明添加访问策略，以确保流量被接管后，能够直接根据权限配置执行放行/拦截动作，避免合规业务中断。

添加引流策略 #

1. 登录飞连管理后台。
2. 在左侧导航栏，选择零信任接入 > 代理策略。
3. 切换至引流策略页签，单击右上角的 + 添加引流策略。
   
4. 在添加引流策略页面，完成以下配置后，点击确认保存。

基本信息 #

• 策略名称：自定义名称，用于唯一标识该策略。
• 策略状态：选择启用或禁用。
• 匹配优先级：设置当前策略的优先级。取值范围为 0 ～ 100，数值越大表示优先级越高。您可以同时生效多条策略，系统在对终端流量检测时，按优先级数值大小依次匹配策略，命中后停止匹配。如果命中两条优先级数值相同的策略，则优先执行策略修改时间最新的一条。

动作配置 #

选择当终端的网络请求符合本策略条件时，系统如何处理这部分流量。

• 强制引流：将命中规则的流量强制送入加密通道，通过代理网关进行访问。通常用于保护核心内部业务数据的安全访问。
• 绕行/直连：命中规则的流量不进入代理通道，直接使用员工当前的本地网络访问。适合公共云服务、视频会议等高消耗能且无需内网权限的场景，能有效避免访问卡顿，并减轻企业带宽压力。
• 按权限引流：仅当用户对该应用有“访问权限”时才引流，否则直连。该模式能自动继承 ACL 策略中定义的应用范围，即管理员只需在 ACL 中管理权限，引流范围将自动实时同步，减少维护成本。

引流范围 #

定义哪些流量需要被该策略管控。飞连代理模式支持从流量“去哪里”、“谁发起的”、“在哪发出的”三个维度建立严密的拦截网。

• 选择应用：选择本条策略针对哪些目的地址生效，可选择全部应用或部分应用。此处的应用数据来源于系统内已配置的“代理应用”资源库。若您需要的应用不在列表中，请先前往应用管理 > 代理应用页面完成资源的创建与定义。详情参见管理代理应用。
• 进程（可选）：开启后，可基于流量的“发起者”（即终端上的具体软件）来决定引流动作。
  • 应用场景：假设配置了流向 *.corp.com 的流量走加密代理通道，但内部的视频会议服务器也使用了该域名时，为防止高耗能的视频流量挤占公司专线带宽，您可以利用此字段单独配置一条高优策略：选择进程名 zoom.exe 或 feishu.exe（请以实际使用的视频会议软件为准），并配置动作使其使用本地网络，既可保护内部系统，又可避免视频会议卡顿等问题。
  • 配置步骤：
    1. 开启开关后，点击 + 选择进程。
    2. 在弹出的进程库中，您可以直接勾选已有的进程规则。
    3. 若列表中没有您需要的进程，请点击右上角的 + 新建进程。
    4. 在新建页面中，输入进程规则名，并选择对应的操作系统（当前支持 Windows 和 macOS）。支持基于进程名、进程签名、进程路径 进行匹配。您可以通过组合多个条件（逻辑关系可选“属于”或“包含任一”）来精准定义进程。
  • 配置建议（防误拦）：
    • 优先使用签名：为提高拦截准确性，对于已签名的正规软件，强烈建议组合使用“进程名 + 进程签名”。仅依靠“进程名”易被恶意软件伪造，或与系统其他普通程序重名，从而导致安全策略被绕过或发生误拦。数字签名可以从密码学层面确认软件的真实发行商。组合进程名与进程签名有助于确保只放行或拦截真正的目标软件。
    • 避免使用宽泛路径（Windows）：在 Windows 系统中，请尽量避免配置类似于 C:\ 等匹配范围过广的盘符路径作为唯一条件，否则客户端会将该目录下所有程序（包括系统核心服务、杀毒软件等）的网络请求全部纳入管控，极易导致系统级断网或核心业务瘫痪。路径条件应始终配合其他字段（如进程名）组合使用。
    • 注意签名差异（macOS）：苹果系统的分发机制决定，同一款软件如果是从软件官网下载（开发者签名），与从 Mac App Store 下载（苹果官方分发签名），其底层的数字签名标识通常不一致。如果仅填写了官网版本的进程签名，将无法管控从 App Store 下载的同一款软件，从而产生策略漏洞。因此，配置时请特别留意企业的软件分发渠道。
• 网络位置（可选）：开启后，可基于终端当前所处的网络环境来决定引流动作。此处的“网络位置”数据来源于系统全局维护的网络区域资源库。如需添加网络区域资源，请参考网络区域管理说明。
  • 任意网络区域：不对网络位置做限制，即当前策略在任何网络环境下均生效。
  • 指定网络区域：选择一个或多个已定义的网络区域（如“北京总部办公区”）。只有当系统检测到终端当前的网络环境（如 IP、Wi-Fi）符合所选区域的特征时，该引流策略才会触发。
  • 未知网络区域：当终端当前的网络环境不符合飞连管理后台定义的任何一个网络区域特征时，即被判定为“未知网络区域”（通常代表员工在不受控的公共网络或家庭网络中）。选择此项，可专门针对外部网络环境制定引流规则。例如：在公司内网时自动绕行，在家时自动强制引流。

生效条件 #

定义该策略对哪些对象生效。

• 生效对象：支持以员工或设备维度限制生效范围。
• 排除对象（可选）：您也可以设置将某些特殊对象排除在外。排除对象将不生效该策略。最终实际生效范围为生效对象 - 排除对象。

客户端效果 #

开启引流策略后，生效范围终端的客户端网络页面将根据企业后台的网关部署情况呈现不同的交互形态：

场景一：纯代理模式（仅部署了代理网关） #

若企业仅部署了代理网关，未部署传统的 VPN 网关，客户端将直接进入纯代理工作环境。

终端用户可在概览页或网络页的 VPN 模块中按需手动连接或断开连接。接入的代理网关集群由客户端接入策略决定：

• 采用自动接入方式时，由系统选择集群。
• 管理员允许手动选择集群时，用户可在策略允许的范围内选择代理网关集群。具体配置方式参见配置代理模式客户端接入策略。

场景二：混合模式（同时部署了代理网关与 VPN 网关） #

若企业正处于安全架构的过渡期，或出于特殊需求同时维护了两种网关，客户端将赋予员工极大的灵活性。

员工可根据当前业务的连通性情况，在概览页或网络页的 VPN 模块中，自由切换极速模式/全局模式（VPN）​与代理模式。

• 选择“极速/全局模式”时，流量受传统 VPN 策略管控。
• 选择“代理模式”时，流量受本文配置的引流策略与 ACL 策略管控；接入哪个代理网关集群，以及是否允许员工手动选择集群，由客户端接入策略控制。

管理引流策略 #

管理员可以在引流策略列表页面，对已创建的策略进行实时监控、检索与调整。

• 筛选与检索：支持通过策略名称、动作、状态、应用地址（IP、域名、泛域名等）进行组合筛选查询。
• 管理生效状态：通过列表操作栏中的状态开关，一键切换策略的启用或禁用状态。
• 编辑策略：若业务需求发生变化，点击操作列的编辑。系统将弹出与“添加策略”一致的配置抽屉，并预填当前策略的所有参数。修改完成后点击确认，新配置将立即下发并生效。
• 删除策略：点击删除并完成二次确认，可移除不再需要的策略。策略一经删除不可恢复，请在操作前确认相关业务不受影响。

查看代理在线设备 #

当员工终端满足以下所有条件时，系统会将其记录为“在线状态”：

1. 客户端当前处于代理模式。
2. 客户端处于 VPN 已连接状态（未被手动断开）。
3. 员工身份或设备命中了至少一条引流策略的生效范围。

您可前往零信任接入 > 在线设备 > 代理在线设备页面，验证策略下发情况，查看当前活跃连接的明细：

• 检查设备在线状态：若员工反馈应用无法访问，您可以通过员工姓名或设备信息检索设备。若设备不在线，请依次检查客户端是否处于代理模式、是否已连接，以及员工身份或设备是否在引流策略的生效范围内。
• 信息盘点：包含连接设备的类型、内/公网 IP 地址、关联的员工身份及部门信息。
• 连接时长：可用于辅助判断是否存在异常的长连接或僵尸会话。