| 数据面模式 | userspace(默认 127.127/16)、wss(等价 userspace)、tun(仅换前缀) | userspace + 真 TUN + WSS 严格模式 + P2P 直连 |
| VIP 分配 | 内存 HashMap,无持久化,/16 顺序分配,site 名幂等 | + 持久化缓存 + 稳定 VIP ↔ site 映射 |
| 本地 DNS | 127.53.53.53:53 默认监听,命中 *.n.ns / dns_config,未命中硬编码 1.1.1.1(顶替系统原 DNS,破坏性集成) | + 接管前快照系统 DNS 作默认上游(读在写前)+ 网络切换刷新 + split DNS / + AAAA 支持 |
| 双栈域名(公网+隧道) | dns_config 已可遮蔽 git.company.com 类公网域名到 VIP;隧道故障无 fallback、对 DoH 无对策 | + 隧道健康降级回退公网 A / + 客户端 posture 上报 DoH 状态 / + 配置 SOP |
| 条件转发 / 隧道内上游 DNS | 上游硬编码 1.1.1.1,不能"*.corp.company.com 走企业 AD"这类按域分流 | + 按后缀最长匹配的转发表;内网 DNS 注册为普通 service 自动得 VIP,转发表上游直接指 dns.<site>.n.ns:53/tcp —— DNS 模块零隧道感知 |
| SSE 消费 | 仅 3 路:routing / gateway / dns;其余 4 路显式丢弃 | 全部 8 路消费,出站 ACL,token 轮转 |
| 出站 ACL | 无,完全依赖 NSN / NSGW 兜底 | 双层:客户端预检 + 服务端权威 |
| HTTP 代理 | --http-proxy 127.0.0.1:8080 可选 | + SOCKS5 / + PAC 自动配置 / + 企业域规则 |
| 认证 | --auth-key 多 realm;--device-flow bail | device-flow 复用 device_flow crate;token 加密落盘 |
| 状态 CLI | nsc status 只 println! 占位 | UNIX socket / HTTP 暴露 sites / vips / dns / tunnel 状态 |
| 可观测 | 无 /metrics;无 OTel pipeline | 127.0.0.1:9091/metrics 暴露 dns / vip / nsgw_rtt / ws_reconnects |
| IPv6 | 不支持 AAAA 命中 | 与 NSN IPv6 同步 |