日常访问，本地直连。
按域名、IP、目标端口或协议设置规则，也能用规则包统一管理一组服务。需要指定出口的业务选择 Relay，其余访问按直连规则或默认动作处理。
客户端的 DIRECT 使用设备本地网络。选择直连 Gateway 作为代理节点，访问仍会经过 Gateway。
了解客户端分流 →规则交给节点。
设备保留连接配置，业务出口由管理员集中调整。
业务分流策略按业务选择出口。
为域名或 IP 网段添加规则。
在出口，指定下一跳。
分流 Connector 把指定业务交给另一台已建立链路的 Connector，其他访问仍从本机直连。节点下载并应用已发布策略，设备沿用原来的配置。
直连 Gateway 也能统一执行规则，按目标选择 Relay、节点直连或阻断。
了解节点分流 →具体规则，放在前面。
业务规则从上到下匹配，首条命中决定路径。把公司业务的具体域名放在通用规则前面；未命中的访问使用默认动作。
客户端的平台安全规则先于业务规则执行：本机、私网和控制域名直连，已知云元数据端点拒绝访问。自定义业务规则不能覆盖它们。
按目标选路径之外，也可以为标准 Relay 的 WireGuard、RouterOS 配置固定 Cloud Pulse 出口。只改变这一份配置，其他设备保留自己的设置。
了解终端独立出口 →常见问题。
保存规则后，设备就会使用新配置吗？
保存草稿不会改变当前配置。客户端规则发布后，员工还需刷新并启用新版订阅；节点策略发布后，节点还需下载、应用并返回回执。确认应用后，再从设备访问业务验证连接。
指定出口离线，访问会怎样？
节点策略指定的出口，或 Gateway 默认选择的 Relay 不可用时，对应访问会阻断，不会自动改走直连。处理故障或明确更换出口后再发布。
节点能识别所有域名，也能处理 IPv6 吗？
执行节点需支持分流的固件，并开启对应模式。节点分流使用 IPv4，并阻断 IPv6。DoH、ECH 或缓存可能让节点无法识别域名，这些访问按 IPv4 规则或默认动作处理。策略只处理绑定终端或相应授权入站；RouterOS 只处理送入隧道的访问。
终端绑定 Cloud Pulse 后，还能用节点策略吗？
同一终端配置需先清除独立 Cloud Pulse 绑定，再选择节点分流策略。Gateway 策略里的云脉出口需由每台执行 Gateway 分别关联并验证；Connector 策略通过下一跳链路选择其他 Connector。