为「少数几台设备、几条线路、稳定的游戏体验」而做，不做通用 VPN。
按进程名、业务协议（TCP + UDP）与目标（域名集 / IP 集）匹配，命中的连接走指定出口。 不配集合时覆盖该进程的全部公网目标，不依赖 DNS 映射，连应用层直接拿到 IP 的游戏服也能兜住。
客户端接入就近节点，出口可另选他地；节点之间用 MPLS 标签按路径转发， 中间路径变化不改变业务标识，故障由控制面统一重算。
每条路径维护最近 120 秒的探测窗口，给出平均 RTT、抖动与丢包率； 组网状态与链路状态分开呈现，便于判断是哪一段出问题。
业务地址、接入节点、加速策略全部由管理端下发， 客户端不接受手工改配置，也不会自行改路；出问题时的现象可复现、可追溯。
单进程用户态 WireGuard，不安装内核模块、不写系统转发规则， 只创建承载业务地址的虚拟接口和到节点的隧道。
Windows 图形客户端（含进程加速）、macOS 图形客户端、 Linux 命令行 Agent（服务器接入），同一套组网与探测实现。
当前版本 0.5.1。下载后请核对 SHA256；只有一个客户端对应一份激活码，请勿转发。
| 文件 | 大小（字节） | SHA256 |
|---|---|---|
| NekoNet-0.5.1-amd64.exe | 76,516,864 | d0eeb3785c39a95c5cf710bf7b279e03abcb2267667d51996f8cf64882fe04bf |
| NekoNet-0.5.1-macos-arm64.zip | 13,242,437 | cb64f47238030f613f0558ef8d8da74918bd693910662f22583b286eb8885028 |
| nekonet-agent-0.5.1-linux-amd64.tar.gz | 6,381,372 | b8782a7c738718746ebaa66c7934025eed27141860761e02ea52fb58ce77f789 |
| nekonet-agent-0.5.1-linux-arm64.tar.gz | 5,828,236 | abdff3d10695b31824f021cf2d9a3005c027bf2c284f0c57f933e49893bcb259 |
校验：Windows 用 certutil -hashfile 文件名 SHA256，macOS / Linux 用
shasum -a 256 文件名。也可直接下载 SHA256SUMS.txt。
四步接入。激活码由管理员在管理端创建客户端时生成，一码一机。
nekonet://… 的激活码。它是这台设备的唯一凭据，请勿转发。sudo sh deploy/install-agent.sh 安装。sudo nekonet-agent ztp 'nekonet://…'。客户端本身不需要登录。但每台设备必须使用管理员生成的激活码；没有激活码的客户端不会获得任何转发权限。
不会。客户端只创建业务虚拟接口和到中转节点的隧道，不修改物理网卡、默认路由与 DNS；未命中策略的流量照常直连。
已经被判定为直连的连接不会再被接管，所以策略改动或开启加速都需要重建连接才生效。修改策略的协议后同样要重新开启一次。
客户端未做代码签名，属于预期现象：在 SmartScreen 提示中点「更多信息 → 仍要运行」。绿色版数据在 %ProgramData%\NekoNetPortable\，日志为其中的 agent.log。
当前构建使用本地 ad-hoc 签名，未做公证。请在 Finder 中右键应用选择「打开」，或在「系统设置 → 隐私与安全性」中允许。仅提供 Apple Silicon（arm64）版本。
需要 iproute2、nftables、/dev/net/tun 和 systemd（Debian/Ubuntu：apt-get install -y nftables iproute2）。Agent 以 root + CAP_NET_ADMIN 运行，只管理自己的虚拟接口和隧道。
对照上面的 SHA256 表，或下载 SHA256SUMS.txt 后在同目录执行 shasum -a 256 -c SHA256SUMS.txt。