Shadowrocket 小火箭使用教程 订阅导入、节点与规则配置指南

亲民价格与全能型协议中枢#

在 iOS 平台上，代理软件往往走向两个极端：一类是动辄数千元人民币、定位于专业级全栈网络开发的商业中枢；另一类则是功能残缺、仅支持单协议的初级工具。而 Shadowrocket 巧妙地在两者之间开辟了一条黄金通道：

1. 极低的准入门槛：一次性买断制，终身免费维护升级，没有任何持续性的订阅付费陷阱；
2. 惊人的协议通吃能力：从经典的 Shadowsocks、ShadowsocksR、VMess、VLESS（含 Reality 伪装）、Trojan，到现代高性能的 Hysteria 2、TUIC，甚至企业级的 WireGuard、SOCKS5 与 HTTP 代理，小火箭几乎做到了“见招拆招、全量包容”；
3. 强大的附加功能链：除了基础的网络中继，小火箭还深度内嵌了规则重写（Rewrite）、脚本引擎（Scripting）、HTTPS 中间人解密（MITM）、实时网络抓包审查（Capture）以及 DNS 劫持防污染模块，使其早已蜕变为一款功能完备的移动端网络瑞士军刀。

Apple Network Extension 底层运行架构#

不同于开放但碎片化的 Android 系统，iOS 拥有极度封闭和严密的系统安全边界。所有第三方应用程序都被严格隔离在独立的系统沙盒（Sandbox）内部，既无法直接读取其他应用的网络流量，也无法直接调用特权内核驱动改写系统路由表。

Shadowrocket 充分利用了苹果官方的 Network Extension（网络扩展） 框架中的 Packet Tunnel Provider 接口。当用户在小火箭界面点击顶部的全局连接开关时，应用会向 iOS 系统内核申请注册一个名为 utun 的虚拟网络适配器，并在用户授权确认后，将 iPhone 上所有应用（无论是 Safari 浏览器、社交软件、邮件客户端还是后台守护进程）的出站 TCP 与 UDP 数据报文无条件引导至该虚拟网卡。

小火箭的核心守护进程驻留在由系统独立分配的高优先级内存空间内，对流入虚拟网卡的数据包进行快速拆包重组、域名反查与规则树匹配，最终把国内直连流量以原生方式送回物理 5G 或 Wi-Fi 网卡，而将受限跨境流量打包封装为加密信道发送至海外机场节点机房。

App Store 分区与正版获取逻辑#

由于众所周知的合规与政策原因，所有网络代理类应用程序在中国大陆地区的 App Store 均处于下架状态。用户必须切换至非大陆区域（如美区、日区、港区、台区等）的 App Store 才能检索并下载正版 Shadowrocket。

正版 Shadowrocket 的官方特征极其明确：

• 软件全称：Shadowrocket；
• 官方开发者名称：Shadow Launch Technology Limited；
• 官方售价：2.99 美元（以美区为例）；
• 图标特征：灰黑色背景正中心包含一枚向上倾斜发射的白色小火箭。

注册与充值安全避坑规范#

1. 注册专属私人美区账号：强烈推荐用户在苹果官网自行注册一个专属的海外 Apple ID。切记仅在 App Store 中登录该账号下载软件，严禁在 iPhone 系统设置的 iCloud 主账户中登录任何陌生共享 Apple ID，防范设备被恶意远程锁死敲诈勒索；
2. 官方正规充值途径：自行注册的海外账号由于没有境外当地信用卡，最合规安全的支付方式是在苹果海外官网、亚马逊海外自营或正规大型数码电商平台购买官方 App Store 电子礼品卡（Gift Card），在手机 App Store 中直接兑换充值 3 美元即可顺利完成购买下载；
3. iOS 系统权限准备：下载完成后首次启动小火箭，点击连接开关时，系统会弹出确认对话框提示“Shadowrocket 想要添加 VPN 配置”，输入你的 iPhone 锁屏开机密码即可完成系统级扩展授权。

方式一 订阅链接 URL 一键拉取（最推荐标准流程）#

1. 登录机场服务商客户后台，复制专属的 Shadowrocket 订阅链接（若无专属链接，复制 Clash 或通用 Base64 订阅链接同样完全支持）；
2. 打开 Shadowrocket，点击右上角的加号（+）；
3. 在弹出的页面中，点击第一栏“类型”，在下拉菜单中选择“Subscribe（订阅）”；
4. 参数录入细节：
   • URL：长按输入框，完整粘贴刚刚复制的机场订阅地址；
   • 备注：输入易于区分的名称，例如“极速专线主力订阅”；
5. 点击右上角“完成”。此时小火箭会自动向机场服务器发起 HTTPS 请求拉取配置。拉取完成后，主界面会以折叠分组的形式展现该机场包含的全部节点，并标注出各个节点的国家地区旗帜与倍率说明。

方式二 扫描二维码与剪贴板一键导入#

• 二维码扫码：在小火箭主界面左上角，点击扫描小图标，将镜头对准机场后台或好友分享的单节点二维码或订阅二维码，软件会自动识别并瞬间完成添加；
• 剪贴板监听：如果从聊天软件中复制了一串以 vmess://, vless://, ss://, trojan://, hysteria2:// 开头的单节点 URI，打开小火箭时，软件会自动弹出提示“检测到剪贴板中的节点信息，是否添加？”，点击保存即可。

开启自动更新与 User-Agent 伪装设置#

为了防止机场更换线路或节点 IP 漂移时手机端失联，必须配置好自动化更新机制：

1. 点击底部导航栏的“设置”；
2. 找到“订阅”设置项，打开“打开时更新”与“自动后台更新”开关；
3. User-Agent 伪装：某些机场为了防爬虫，会拦截默认的 User-Agent。可在“订阅”设置中，将 User-Agent 填写为 Shadowrocket/2.2.35 或常见手机浏览器标识，确保每次更新畅通无阻。

延迟测试机制与操作建议#

小火箭主界面上方提供了“连通性测试”功能：

1. 点击“连通性测试”，小火箭会向每一个节点发送探测数据包；
2. 测速完成后，延迟数值会以醒目的颜色标注在节点名称右侧：
   • 绿色数字（如 85ms, 130ms）：代表握手极快、质量极佳的低延时节点；
   • 黄色数字（如 200ms 至 350ms）：代表长途跨洋美西或欧洲节点，适合下载但交互稍慢；
   • 红色标示（Timeout 或 无法连接）：代表该节点服务器暂时离线、机房维护或被运营商端口封锁；
3. 排序管理技巧：在主界面点击节点分组名称右侧的排序图标，可以选择“按延迟排序”，小火箭会瞬间将当前延迟最低的可用节点置顶，方便用户快速点击切换。

四大路由模式运行机理对比#

规则结构与语法规范#

点击底部导航栏的“配置”，用户可以看到当前活跃的规则文件（默认为 default.conf）。点击该文件选择“编辑配置”，即可看到结构化的规则定义段落：

1. DOMAIN-SUFFIX：泛域名后缀匹配。例如 DOMAIN-SUFFIX,google.com,PROXY，意味着任何以 google.com 结尾的二级、三级域名均走代理；
2. DOMAIN-KEYWORD：域名关键字模糊匹配。例如 DOMAIN-KEYWORD,bilibili,DIRECT，只要域名中包含 bilibili 字符串，一律走本地直连；
3. IP-CIDR：无类别域间路由网段匹配。例如 IP-CIDR,192.168.0.0/16,DIRECT,no-resolve，将局域网私有网段排除在代理之外；
4. GEOIP：基于全球地理位置 IP 数据库判定。例如 GEOIP,CN,DIRECT，所有落入中国大陆运营商 IP 池的请求自动直连；
5. FINAL：兜底最终规则。前部所有规则均未命中时的最终归宿，通常设为 FINAL,PROXY。

引入远程高质量规则集#

为了省去手动编写成千上万条规则的繁琐，建议直接挂载业界广泛维护的开源权威规则集（如 ACL4SSR 或 Hackl0us 规则）：

1. 在“配置”页面，点击右上角的加号（+）；
2. 粘贴远程规则配置的 URL 地址，点击下载；
3. 下载完成后，点击该新规则文件，选择“使用配置”，小火箭即可平滑切换至包含了精细国内流媒体、国外主流学术、社交与广告拦截的现代化分流体系。

小火箭对 Clash YAML 订阅与节点配置的兼容解析#

小火箭内部拥有极其健壮的多格式转译引擎。当用户将一条标准的 Clash 格式订阅链接填入小火箭时，小火箭底层的解析器会自动提取 YAML 结构中的 proxies 节点对象数组，将其无缝转化为小火箭内部的高性能节点树结构：

1
# 机场下发给小火箭解析的标准 Clash 格式节点配置范例
2
proxies:
3
  - name: "香港 01 专线 BGP"
4
    type: ss
5
    server: hk01.example.net
6
    port: 443
7
    cipher: 2022-blake3-aes-128-gcm
8
    password: "SecretPassword123"
9
    udp: true
10

11
  - name: "日本 02 极速 Hysteria2"
12
    type: hysteria2
13
    server: jp02.example.net
14
    port: 8443
15
    password: "UserAuthToken456"
16
    sni: jp02.example.net
17
    skip-cert-verify: false

通过这种底层兼容能力，用户无需手动在多个客户端之间进行复杂的格式转换。不管是包含前沿加密套件声明的 Shadowsocks 2022 节点，还是挂载了特定 SNI 伪装域名与安全指纹的 Hysteria2 高速节点，小火箭都能精准读取其配置字段，并在建立网络连接时动态装配对应的协议栈。对于包含丰富分流组的完整配置，小火箭还会智能识别策略并提示用户按需加载分流规则，大幅提升了移动端的网络管理效率。

MITM 运作机理与本地根证书签发#

开启 MITM 的本质，是由小火箭在 iPhone 本地充当一个安全的自签名根证书颁发机构（Root CA）。当 Safari 浏览器向特定目标（如 api.example.com）发起连接时，小火箭在本地拦截这一请求，使用本地根证书即时为该域名签发一张伪造的 SSL 证书交付给浏览器，并由小火箭与真实的海外服务器建立安全 TLS 连接，从而在本地实现报文的明文审计与篡改。

证书生成与系统完全信任实操两步走#

1. 在小火箭内部生成并安装证书：
   • 进入小火箭“配置”页面，点击活跃的配置文件，选择“编辑配置”；
   • 点击“HTTPS 解密”选项，开启总开关；
   • 点击“生成新的 CA 证书”，生成完成后，点击“安装证书到系统”；
   • 此时 Safari 浏览器会自动弹窗提示“此网站正尝试下载一个配置描述文件，是否允许？”，点击“允许”；
2. 在 iOS 系统中激活完全信任：
   • 打开 iPhone 系统自带的“设置”->“通用”->“VPN 与设备管理”；
   • 在已下载的描述文件中找到“Shadowrocket”，点击右上角“安装”，输入手机锁屏密码确认安装；
   • 至关重要的最后一步：返回 iPhone“设置”->“通用”->“关于本机”，滑动到最底部点击“证书信任设置”；
   • 找到刚刚安装的“Shadowrocket”根证书，将右侧的开关明确打开为“完全信任”，在弹出的系统安全警告框中点击“继续”。至此，HTTPS 解密配置圆满成功。

开启捕获与时延分析#

1. 在小火箭底部点击“设置”，找到“抓包”选项并开启；
2. 触发需要排查的应用网络请求，随后返回抓包页面；
3. 界面会实时列出所有已截获的 HTTP/HTTPS 会话记录。点击任意一条记录，右侧即可深入展开：
   • 请求信息：完整展示 Request Headers、Query 参数以及 JSON 格式的 Request Body；
   • 响应报文：查看 HTTP 状态码、Response Headers 以及接口真实回传的报文内容；
   • Timing 耗时拆解：清晰展现 DNS 查询时间、TCP 三次握手耗时、TLS 握手延时与数据传输时长，便于极速揪出服务端瓶颈；
4. 点击分享按钮，可以将整场抓包会话直接打包导出为标准的 HAR（HTTP Archive）格式文件，方便与后端开发团队同步排障。

开启代理共享步骤#

1. 在小火箭主界面底部点击“设置”，找到“代理共享”并点击进入；
2. 勾选打开“启用共享”开关；
3. 查看界面上显示的本机共享 IP 地址（通常为当前连接 Wi-Fi 或热点分配的 IP，如 192.168.43.1），以及默认的监听端口（通常为 1082）；
4. 打开 iPhone 的“个人热点”，让笔记本电脑或 Switch 连接该热点；
5. 在外设的网络高级设置中，将代理配置修改为“手动”，填入上述 IP 与端口 1082；
6. 外设即可瞬间共享 iPhone 小火箭的高速加密链路，实现一机在手、全家数码畅通出海。

CLI 实战 1 验证局域网代理可用性与公网出口 IP#

在连接了 iPhone 热点的电脑终端中执行：

1
# 1. 验证通过小火箭共享端口访问 Google 首页的连通性与 HTTP 状态码
2
curl -I -s --connect-timeout 5 -x "http://192.168.43.1:1082" https://www.google.com | head -n 5
3

4
# 2. 查询通过小火箭出站呈现给外部世界的真实公网出口 IP 与地理位置
5
curl -s -x "http://192.168.43.1:1082" http://ip-api.com/json/ | jq '{query: .query, country: .country, isp: .isp}'

CLI 实战 2 探查小火箭本地证书握手信息#

通过终端向目标接口发送请求，打印 TLS 握手链明细：

1
# 1. 查看目标站点经由小火箭代理返回的证书签发主体
2
echo | openssl s_client -connect www.google.com:443 -proxy 192.168.43.1:1082 2>/dev/null | openssl x509 -noout -issuer -subject

案例一 导入订阅提示 Invalid URL 或节点全部更新失败#

• 故障现象：在添加类型为 Subscribe 的节点时粘贴链接点击完成，小火箭弹出红字错误提示“Invalid URL”或“更新失败”，节点列表没有任何新节点展示。
• 原因剖析：第一，订阅链接前后无意多复制了空格字符或回车符；第二，订阅链接中的特殊字符未进行 URL 编码；第三，机场后端设置了 User-Agent 过滤防火墙，拦截了客户端的默认请求。
• 解决方案：
  1. 仔细检查并清除 URL 前后的空格与杂质；
  2. 在底部“设置”->“订阅”中，将“User-Agent”填写为 Shadowrocket/2.2.35；
  3. 将 iPhone 临时切换至蜂窝移动 5G 网络后重新尝试刷新，排除本地宽带 DNS 污染。

案例二 开启连接后状态栏显示 VPN 但所有网页打不开#

• 故障现象：点击小火箭顶部的总开关成功连接，iPhone 右上角状态栏亮起 VPN 小图标，但打开 Safari 浏览器访问任意网页均提示“无法接入互联网”或长时间卡死转圈。
• 原因剖析：第一，手机系统时间与世界标准授时中心存在超过 60 秒的时间差，导致现代 TLS 握手握手时间戳被服务端主动抛弃；第二，小火箭内部缓存了失效的旧 DNS 映射记录；第三，当前选中的机场节点服务器发生了整体离线宕机。
• 解决方案：
  1. 打开 iPhone“设置”->“通用”->“日期与时间”，开启“自动设置”以毫秒级对齐网络时钟；
  2. 在小火箭主界面重新执行“连通性测试”，切换至显示绿色低延时的可用节点；
  3. 在小火箭“设置”->“DNS”中，点击“清空本地 DNS 缓存”。

案例三 开启小火箭后微信发不出图片或部分银行 App 提示风险闪退#

• 故障现象：开启小火箭后浏览海外网站速度飞快，但在使用微信发送照片时频繁旋转转圈，打开招商银行、个人所得税或交管 12123 客户端时，软件弹出“检测到高风险代理环境，出于安全考虑拒绝服务”。
• 原因剖析：第一，当前全局路由误选为了“代理（Proxy）”模式，导致国内金融业务被迫绕经海外高风险机房 IP；第二，小火箭内置规则中缺少对国内金融直连白名单的放行。
• 解决方案：
  1. 检查小火箭主界面，务必确认“全局路由”必须勾选为“配置（Config）”模式，严禁长期停留在代理模式；
  2. 在“配置”页面点击当前活跃的配置文件，选择“更新规则”，重新拉取最新包含完整国内大厂直连名单的规则集。

案例四 开启 HTTPS 解密后大部分网页提示证书不安全或报错#

• 故障现象：用户在配置中打开了 HTTPS 解密（MITM）开关后，打开 Safari 浏览任何网站均弹出红字安全警告“此连接非私人连接”，点击详细信息显示证书颁发者无效。
• 原因剖析：虽然在小火箭中生成并向系统安装了描述文件，但在 iOS 系统的底层高安全防线中，用户未手动开启针对该自签名根证书的完全信任开关。
• 解决方案：
  1. 严格进入 iPhone 系统自带的“设置”->“通用”->“关于本机”；
  2. 滑动到最底部点击“证书信任设置”；
  3. 找到“Shadowrocket”根证书，将开关正式点亮为“完全信任”，重启 Safari 即可恢复正常。

Q1 为什么小火箭在国内无法直接在 App Store 搜索购买#

由于中国大陆地区的监管要求，苹果对大陆区 App Store 上架的网络代理类工具进行了严格的区域限制下架。用户只需注册一个免费的海外 Apple ID（如美区），在 App Store 中登录该海外账号，通过购买正规电子礼品卡充值 2.99 美元，即可合法合规下载正版软件，一次购买终身有效。

Q2 换了新 iPhone 之后 小火箭需要重新付费购买吗#

完全不需要。小火箭实行标准的 Apple ID 终身买断制。在新 iPhone 上，只需进入 App Store，点击右上角头像退出当前账号，登录当初购买过小火箭的海外 Apple ID，进入“已购项目”列表，即可直接免费重新下载安装，绝不会产生二次扣费。

Q3 开启小火箭后 会大幅度消耗 iPhone 电池电量吗#

在常规“配置模式”下，小火箭的电量开销非常低。得益于苹果官方 Network Extension 框架的高效调度与小火箭核心代码的深度优化，在日常后台待机状态下，其全天消耗的电量通常不足整机电池总量的 2% 到 3%，几乎感知不到额外发热。只有在持续进行数小时的高并发巨量文件下载，或者开启了全局不间断抓包日志时，才会产生可感知的电量消耗。

Q4 为什么有时候测速显示只有几十毫秒 但实际看 YouTube 却经常卡顿缓冲#

测速显示的延迟（Ping）仅仅代表数据包在手机与节点服务器之间往返一次的极小耗时。低延迟只代表该节点物理距离较近或网络握手迅速，并不代表该服务器具备充裕的带宽冗余。在晚间网络高峰期，一台仅有 5Mbps 剩余带宽的低延迟小节点，其实际视频流畅度远不及一台延迟稍高但拥有 10Gbps 专线大带宽的优质节点。

Q5 使用小火箭上网 手机银行和微信支付密码会被窃取吗#

绝对不会。所有正规金融机构与社交工具在发起网络通讯时，均受到高强度的端到端 TLS 1.3 / HTTPS 加密保护。流经小火箭以及海外节点服务器的数据包均为乱码密文，中间任何节点都无法还原、窥探或篡改你的明文密码与财产交易信息。只要不随意向手机系统中信任来历不明的第三方未知根证书，通信安全固若金汤。

Q6 订阅中的节点怎么按国家地区自动分组#

小火箭会自动根据节点名称中的国家标识（如香港、日本、美国、新加坡国旗）进行智能识别分类。如果你希望更加条理化，可以在导入订阅时将不同机场保存在不同的“分组”中，也可以在主界面点击节点名称展开折叠，按需进行个性化收藏与置顶。

Q7 小火箭支持分应用代理吗 为什么找不到应用列表#

由于 iOS 操作系统的强沙盒机制限制，苹果并未向普通开发者开放类似 Android 系统的“按应用程序包名直接阻断网络扩展”的原生接口。在 iOS 平台上，分应用控制是通过域名与 IP 规则来实现的。只要将全局路由设置为“配置模式”，微信、淘宝、支付宝等国内应用在访问国内网络资产时会自动无感走本地直连，效果等同于分应用旁路直连。

Q8 为什么开启代理后 隔壁朋友的电脑连我手机热点打不开外网#

因为 iOS 系统默认的热点流量不经过小火箭的底层虚拟网卡。要让热点连接设备翻墙，必须在小火箭“设置”->“代理共享”中开启共享开关，并在笔记本电脑或 Switch 掌机的 Wi-Fi 设置中，将网络代理手动指向 iPhone 热点 IP（如 192.168.43.1）与监听端口 1082。

Q9 小火箭支持在 iPad 和搭载 M 芯片的 Mac 电脑上运行吗#

完全支持。小火箭是一款全功能通用的 Universal App。只要你的 Mac 电脑搭载的是 Apple Silicon 芯片（M1/M2/M3/M4 系列），在 Mac App Store 的“已购项目 - iPhone 与 iPad App”分类中，可以直接一键下载运行 Shadowrocket Mac 版，享受完全一致的高速加速体验，无需额外付费。

Q10 卸载小火箭之前需要注意什么 避免手机全局断网#

在卸载或彻底退出小火箭之前，务必先在主界面点击关闭顶部的全局主开关，确认 iPhone 状态栏的 VPN 钥匙小图标完全消失后，再执行删除应用操作。如果直接在连接状态下强行删除应用，iOS 系统的底层网络重定向机制可能发生短暂残留，引起 Safari 无法打开任何网页。若不慎发生此情况，只需重启一次 iPhone 即可恢复原生网络设置。