ikuai-bypass 安全实践指南：守护路由器账密与 WebUI 认证的 5 个关键设置

ikuai-bypass 是一款爱快（iKuai）分流规则维护工具，能自动把区域 IP、域名整理进爱快路由器，实现旁路由自动切换、域名分流、端口分流等。正因为它可以直接改写路由器规则，保护好路由器账密、WebUI 认证和配置文件就显得格外重要。本文带你快速掌握 ikuai-bypass 安全实践的 5 个关键设置，避免路由器被他人接管或配置泄露。

一、为什么 ikuai-bypass 的安全配置值得认真对待

ikuai-bypass 运行在局域网内，手里握着两把"钥匙"：

• 爱快路由器账密：用它登录爱快后台，增删改分流规则；
• WebUI 管理账密：用它登录 ikuai-bypass 自带的网页管理台，可改配置、启停定时任务。

一旦这些凭据泄露，陌生人就能改动你的分流规则、清空配置，甚至借机控制整条出口线路。下面这张爱快后台截图，正是 ikuai-bypass 会自动写入规则的地方——端口分流界面，权限很高：

💡 记住一个原则：任何能登录 ikuai-bypass 或持有爱快账密的入口，都要当作"后门"来防护。

二、保管好爱快路由器账密

爱快的登录地址与账密是 ikuai-bypass 工作的基础，写在配置文件 config.yml 中：

ikuai-url: http://192.168.9.1 # 爱快控制台地址，结尾不要加 "/" username: admin # 爱快登录用户名 password: your_password # 爱快登录密码

登录信息有三个来源，优先级从高到低

程序在 resolve_login_params() 里按如下顺序决定用哪套账密：

🔐安全建议

• 爱快账密不要使用默认弱口令，建议强密码并单独保管；
• 在公共/共享设备上，不要长期在命令行历史里明文敲-login ...密码，优先写进配置文件；
• 若开启了网关自动探测，确认你的内网是可信的，避免探测到错误网关而泄露账密。

下图是 ikuai-bypass 的可视化配置助手，Basic Config区块集中管理爱快连接、代理与 WebUI，改完点Save Config即可保存：

三、务必开启 WebUI 的 BasicAuth 认证

ikuai-bypass 自带一个 Web 管理台（默认端口19001），可在线改配置、启停定时任务、看实时日志。它的访问入口是http://你的IP:19001，而且监听在0.0.0.0，默认对整个局域网开放。

默认账密必须改

出厂默认是admin / admin888，任何人都可能用这组默认值登进来，请务必第一时间修改：

webui: port: "19001" user: admin # WebUI 用户名，留空则禁用认证（危险！） pass: your_pass # WebUI 密码，改成强密码 enable: true

⚠️关键机制：当webui.user为空时，BasicAuth 被直接跳过，WebUI 对局域网完全开放。程序启动时如果检测到未启用认证，会主动打印警告：

警告: 当前未启用 BasicAuth，WebUI 将对局域网完全开放

恒定时间比较，防"时序攻击"

认证逻辑在 basic_auth() 中实现，用户名和密码都通过 constant_time_eq() 做恒定时间比较，逐字节对齐、不因长度差异提前返回，从而抵御通过响应时间猜密码的时序攻击。验证不通过则返回401 Unauthorized。

下图是启用认证后的配置编辑器，你可以看到"爱快连接配置"与"WebUI 设置"（管理账号 / 管理密码）两个安全入口：

🔐安全建议

• webui.user永远不要留空；user与pass都用强密码，且与爱快账密不同；
• 不要把 WebUI 端口暴露到公网，仅在内网访问；
• 换机/交接后，记得旧账密已失效。

四、配置文件自带的三层安全防线

配置文件config.yml里存着明文的账密，所以文件本身也必须被保护。ikuai-bypass 在保存配置时做了三道校验，代码见 write_config_file() 与 validate_save_path()：

这些防线都有对应的自动化测试保障，见 crates/core/tests/paths_and_security.rs。

🔐安全建议

• 配置文件默认落在用户私有目录（如 Linux 的~/.config/ikuai-bypass/config.yml），不要把config.yml放进共享目录或上传到公开仓库；
• 手动改权限时可再确认一次：chmod 600 config.yml；
• 备份配置时，记得备份文件同样含账密，要加密保存。

五、谨慎使用ikuai-url-ignore-cert

爱快 4.0.310 之后的版本强制开启 HTTPS，而默认是自签名证书，不在系统信任链内。为兼容这一场景，项目提供了ikuai-url-ignore-cert: true来忽略证书校验（详见 docs/faq.md）。

⚠️风险提示：开启后会跳过 HTTPS 证书校验，在不可信网络上存在被"中间人"截获账密的风险。仅在内网自签名证书场景使用，公网部署请保持关闭。

六、安全部署清单（照做即可）

把下面这份清单过一遍，你的 ikuai-bypass 就基本"焊死"了：

• ✅ 爱快账密改为强密码，不使用默认弱口令
• ✅webui.user非空，webui.pass改为强密码，且与爱快账密不同
• ✅ WebUI 端口仅在内网访问，不暴露公网
• ✅config.yml权限设为600，不放入公开目录 / 仓库
• ✅ikuai-url-ignore-cert仅在可信内网自签名证书场景开启
• ✅ 换机、交接、离职后，及时轮换所有账密

只要把这 5 个设置落实到位，你就能在享受 ikuai-bypass 自动化分流的同时，牢牢守住路由器账密与 WebUI 的最后一道门。🔒