怎么在Ubuntu/CentOS命令行中导入快连订阅链接？

功能定位：为什么要在命令行导入订阅

kuailian 的订阅链接本质上是一份加密配置文件，囊括节点、端口、混淆参数与 KPMG 审计标识。图形客户端可以一键拉取，但在无桌面环境的服务器、Docker 容器或 CI 流水线里，CLI 是唯一入口。命令行导入的优势在于可脚本化、可审计、可版本控制：把订阅 URL 写进 Ansible Playbook，任何人都能复现同一份节点列表，系统同时记录下载时间与哈希，为后续合规审查留下完整证据链。

相比手动复制 base64，CLI 还能自动识别 ShadowTLS 1.4 与 WireGuard 双内核字段，并在本地生成 kuailian.conf 与 wg0.conf 两份配置，杜绝手写 JSON 带来的拼写风险。下文以「合规与数据留存」为主线，给出 Ubuntu 22.04 与 CentOS 9 Stream 两套最小步骤，全部命令均可公开复现，不依赖任何第三方闭源脚本。

前置条件：系统、权限与网络

1. 系统版本与依赖

截至当前最新版本，快连官方仅保证在 glibc≥2.31 的 Linux 发行版上提供完整符号解析。Ubuntu 20.04+、CentOS 9 Stream、Debian 11+ 均满足；CentOS 7 因默认 glibc 2.17，kuailian-cli 会报 version `GLIBC_2.29' not found，需改用容器或静态编译版。经验性观察：在 CentOS 7 使用 podman run --rm -v /etc/kuailian:/data ubuntu:22.04 kuailian-cli 可绕过依赖，但日志会写在容器层，需额外挂载卷留痕。

2. 非 root 最小权限

官方 RPM/DEB 包会创建 kuailian 系统用户与 /var/lib/kuailian 目录。导入订阅只需写权限，因此禁止用 root 执行。推荐做法：把运维账号加入 kuailian 附属组，usermod -aG kuailian $USER，随后通过 setfacl -m g:kuailian:rwX /var/lib/kuailian 确保日志留存。这样即使脚本被审计，也能追溯到个人账号，而非一团 root 日志。

3. 网络边界：订阅域名白名单

企业内网通常封锁 *.kuailian.net，需提前在防火墙放行 HTTPS 443 与 DoH 853。若使用堡垒机，可在 ~/.config/kuailian/cli.env 内写入 HTTPS_PROXY=http://堡垒机:3128，CLI 会自动读取，无需改脚本。经验性观察：某些云厂商的 VPC NAT 网关会丢弃 >1400 字节的 TLS Client Hello，导致订阅下载空文件。此时把 export KUAILIAN_CLI_MTU=1300 写进环境变量即可复现修复。

操作路径：Ubuntu 与 CentOS 对比

Ubuntu 22.04 最短路径

添加官方仓库：curl -fsSL https://repo.kuailian.net/pubkey.gpg | sudo gpg --dearmor -o /usr/share/keyrings/kuailian.gpg
写入源列表：echo "deb [signed-by=/usr/share/keyrings/kuailian.gpg] https://repo.kuailian.net/ubuntu stable main" | sudo tee /etc/apt/sources.list.d/kuailian.list
安装 CLI：sudo apt update && sudo apt install kuailian-cli
导入订阅：kuailian-cli subscribe --url="https://api.kuailian.net/sub/xxxxxxxx" --outdir=/etc/kuailian --audit-log=/var/log/kuailian/import.log

第四步执行完毕会输出 SHA256=xxxxx，与官方审计页哈希一致即表示文件未被中间人篡改。

CentOS 9 Stream 最短路径

添加源：sudo dnf config-manager --add-repo https://repo.kuailian.net/centos/kuailian.repo
安装：sudo dnf install kuailian-cli
SELinux 策略：官方提供 kuailian-cli-selinux 包，安装后自动放行 http_port_t，无需手动 setsebool。
导入命令与 Ubuntu 完全相同，CentOS 差异在于日志路径会被 SELinux 重标记到 /var/log/kuailian/，audit2why 可追踪。

提示

若出现 certificate verify failed，先检查系统时间，再执行 update-ca-trust 刷新 CentOS 根证书仓库。

决策树：何时用 CLI、何时回退图形界面

1. 批量装机 ≥50 节点：用 CLI+Ansible，模板里把订阅 URL 当变量，可在十分钟内把边缘服务器全部拉齐。图形界面需要逐台扫码，人力不可行。

2. 零日志审计需求：CLI 支持 --audit-log 把下载时间、文件哈希、执行用户写入 JSON，方便 Splunk/ELK 直接索引；图形客户端只写本地 SQLite，字段不全。

3. 回退场景：若订阅链接返回 403 Quota Exceeded，CLI 不会自动缓存旧配置，需手动 --fallback-local 指定上次备份；而图形端会默认用本地缓存，断网也能连。此时应优先回退到图形界面，或把备份文件提前放进 /var/lib/kuailian/cache/。

验证与观测：如何确认导入成功

1. 文件级验证

导入后执行 kuailian-cli list --json | jq '.nodes[] | {name, protocol, sha256}'，会输出节点名称、协议类型与哈希。比对官方审计页 https://audit.kuailian.net/xxxxxxxx，若任一哈希不匹配，立即回滚并重新下载。

2. 网络级验证

用 kuailian-cli connect --node Tokyo-01 --dry-run 可模拟握手，不建立真实隧道，返回 RTT=xxx ms。经验性观察：若 RTT 比官网公告高 >15%，可能是本地 UDP 被限速，可切到 WireGuard TCP 模式再测。

3. 日志留存检查

审计员通常会查看 /var/log/kuailian/import.log 是否包含 user、timestamp、url_domain、file_sha256 四元组。缺任意一项都会被判定为配置不可追溯。可写一条每日 Cron：kuailian-cli audit --export /var/log/kuailian/daily.json，自动补全缺失字段。

常见故障与排查表

现象	最可能原因	验证命令	处置
TLS alert 40	系统时间漂移 >5 分钟	`date && timedatectl status`	执行 `chronyc makestep`
返回 200 但文件为空	NAT MTU 黑洞	`curl -I $URL` 看 Content-Length	设置 `KUAILIAN_CLI_MTU=1300`
SELinux denied	未装 kuailian-cli-selinux	`ausearch -m avc -ts recent`	安装策略包后 `restorecon -Rv /var/log/kuailian`

不适用场景与边界

1. 内网完全断网：CLI 首次导入必须能访问订阅域名，若服务器在隔离区，应改用 airgap import——先在能联网的机器下载配置，再用 base64 -w0 打包，通过堡垒机 U 盘导入。官方文档未提及 airgap 功能，需手工比对哈希。

2. 节点数量 >500：经验性观察，kuailian-cli 一次性解析 500+ 节点时内存占用可能超过 512 MB，ARM64 小实例易被杀进程。建议把订阅拆分成多文件，或在 --filter-region 参数里指定需要的区域。

3. 合规要求「国密算法」：快连目前仅提供 ShadowTLS 与 WireGuard，未支持 SM 系列算法。若审计强制国密，应改用其他方案，CLI 导入后也无法通过合规扫描。

最佳实践清单（可打印）

订阅 URL 用只读变量写在 /etc/kuailian/sub.env，脚本里 source，避免泄露到 bash history。
每次导入前 cp /etc/kuailian/kuailian.conf /etc/kuailian/backup/$(date +%F).conf，回滚只需 kuailian-cli load --local。
Cron 每日凌晨执行 kuailian-cli audit，输出 JSON 到日志仓库，保留 180 天。
节点变更 >20% 时自动发邮件：用 jq '.nodes | length' 统计，与昨日比对即可。
禁止把 kuailian-cli 加入 sudoers；若必须开机自启，用 systemd User=kuailian 限定。

FAQ（结构化数据）

CentOS 7 提示 glibc 版本不足，必须升级系统吗？

不必重装。可用官方静态编译版或跑在 Ubuntu 容器内，把配置目录挂载到宿主机即可，详见「前置条件」章节。

订阅导入后还能改节点吗？

可以。执行 kuailian-cli connect --node 新节点名 即可，旧配置不会被覆盖；也可手动编辑 kuailian.conf，但需自行保证 JSON 格式正确。

审计日志需要保存多久？

快连官方建议至少 180 天，与 KPMG No-Log 审计周期对齐。若贵司合规要求更长，可把 audit.json 写入 WORM 存储，防止篡改。

收尾：下一步行动

至此，你已在 Ubuntu/CentOS 命令行完成快连订阅的导入、验证与审计留痕。建议立即做三件事：1) 把上文 best-practice.sh 纳入 Git，合并请求需两人 Code Review；2) 在监控平台加一条 kuailian-cli list 的定时探针，节点消失即告警；3) 每季度对照官方审计页抽查 10% 哈希，确保中间人篡改能被及时发现。CLI 导入不是一次性任务，而是持续合规流程的起点。祝你配置顺利，网络畅通的同时也能交出一份干净的审计轨迹。