Shadowrocket 小火箭使用教程：订阅导入、节点选择与规则配置完整指南

Shadowrocket 是什么，为什么叫"小火箭"

Shadowrocket 是由独立开发者 Shadow Launch Technology LLC 开发并上架于 Apple App Store 的一款 iOS/iPadOS 代理客户端。它的中文别称"小火箭"来源于其 App 图标——一枚橙黄色的火箭，设计简洁辨识度高，在华语用户群体中迅速流传，久而久之便有了这个约定俗成的昵称。

作为 iOS 平台代理工具的早期参与者，Shadowrocket 在相当长的时间内几乎是 iPhone 用户进行代理上网的主流选择之一。即便后来 Quantumult X、Surge 等竞品相继崛起，小火箭凭借定价亲民（长期维持在 2.99 美元左右）、更新稳定、兼容协议全面等特点，依然占据着相当可观的市场份额。

从技术角度看，Shadowrocket 通过 iOS 的 Network Extension 框架创建一个本地 VPN 接口，将设备流量经由该接口路由至指定的代理服务器。它支持 Shadowsocks、ShadowsocksR、VMess、VLESS、Trojan、Hysteria2、TUIC 等绝大多数主流代理协议，并内置了一套基于规则匹配的分流引擎，可以精细控制哪些流量走代理、哪些直连。

与桌面端的 Clash 或 Surge for Mac 相比，Shadowrocket 天然受到 iOS 沙盒机制的约束，不能像桌面工具那样自由拦截全系统流量。但在 iOS 生态内，它已经是功能最接近桌面级别的代理工具，这也是它长期保持热度的根本原因。

如何购买与获取 Shadowrocket

Shadowrocket 仅在 App Store 付费下载，无官方免费版本。国区 App Store 搜索不到此 App，这是很多新用户的第一个困惑点。你需要使用一个非中国大陆地区的 Apple ID（最常见的是美区账号）才能搜索和购买。

获取美区账号的主要途径：

自己注册美区 Apple ID：全程在浏览器完成，填写美国地址（可使用免税州地址如俄勒冈州）、免税区邮编，付款方式选"None"，之后进入 App Store 切换到该账号购买。
购买他人共享的美区账号：部分用户会在社群内分享用于下载特定 App 的账号，但这类方式存在账号被更改密码、App 被删除的风险，不推荐长期使用。
使用美区礼品卡充值购买：可在部分平台购买美区 Apple Gift Card，充值后用该账号购买 Shadowrocket，一次买断约需 3 美元折合人民币 20 余元。

重要提示：切换到美区 Apple ID 时，请务必在设置中手动切换，而不是退出当前账号——退出当前账号可能导致已购买 App 的授权出现问题。建议只在 App Store 内切换账号，完成下载后再切回国区账号，这样设备主体不受影响。

购买后，App 永久关联到该美区账号。只要你的 iPhone 曾用该账号下载过 Shadowrocket，后续即便账号密码被更改，已安装的 App 依然可以正常使用，只是无法重新下载或更新。因此建议下载后立即开启 iCloud 备份，或在 iTunes 中做一次本地备份留存。

首次启动：界面全览

安装并首次打开 Shadowrocket，你会看到一个结构清晰的主界面，底部导航栏共有四个 Tab：

首页（Home）

首页分为两个核心区域：顶部是一个大型开关按钮和"已连接/未连接"状态指示，点击这个大按钮即可启动或停止 VPN 连接。下方是节点列表，显示你已添加的所有代理服务器，每个节点左侧有一个圆点指示当前选中状态，右侧会在测速后显示延迟值（ms）。

配置（Config）

这里管理"配置文件"，也就是 .conf 格式的规则文件。配置文件决定了分流规则的逻辑——哪些域名走代理、哪些直连、哪些拦截。默认情况下，Shadowrocket 自带一个内置配置，可满足基本使用需求。高级用户可以从远程 URL 下载自定义配置文件。

设置（Settings）

涵盖 DNS 设置、全局路由模式、通知、证书管理等系统级选项。大多数用户只需关注"全局路由"和"DNS"两项。

首页右上角的"+"按钮

用于手动添加单个节点，支持填写服务器地址、端口、加密方式、密码等参数，也可以直接粘贴 ss://、vmess:// 等格式的节点 URI。

订阅导入：三种方式详解

方式一：粘贴订阅 URL

这是绝大多数用户的首选方式。当你从机场（代理服务提供商）购买套餐后，机场会提供一个订阅链接，格式通常类似 https://你的机场域名/api/v1/client/subscribe?token=xxxxx。

操作步骤：

打开 Shadowrocket，点击右上角 "+"
在弹出的类型选择列表中，选择 "Subscribe"（订阅）
在 URL 栏粘贴你的订阅链接，备注填写机场名称方便区分
点击右上角 "完成"，App 会立即拉取订阅内容并解析节点
解析成功后，首页节点列表会出现来自该订阅的所有节点

如果导入后显示"节点数量为 0"，通常是以下原因之一：订阅链接已过期、机场服务器暂时无响应、或该订阅使用了 Shadowrocket 不支持的私有格式（极少数机场这样做）。可以尝试将链接在浏览器中打开，看能否返回节点内容。

方式二：扫描二维码

部分机场在购买页面或用户中心提供二维码，扫描后可自动识别节点或订阅信息。

在 Shadowrocket 首页点击右上角 "+"
选择 "Scan QR Code"（扫描二维码）
对准机场提供的二维码图片扫描即可

需要注意：如果二维码是截图存在手机相册里，可以点击扫描界面左下角的相册图标，从本地图片识别二维码，无需实时扫描。

方式三：手动添加单个节点

适合只有单个节点 URI，或者想临时测试一个节点的场景。点击 "+" → 选择对应协议类型（如 Shadowsocks、VMess、Trojan 等），然后逐项填入服务器地址、端口、密码、加密算法等参数。对于 VMess 节点，还需要填写 UUID 和额外 ID。

也可以直接粘贴节点的 URI 字符串：在首页空白处长按，选择"粘贴"，Shadowrocket 会自动识别并解析剪贴板中的节点 URI，包括 ss://、vmess://、trojan://、hysteria2:// 等格式。

节点延迟测试与选择技巧

导入订阅后，你会看到列表中有数十甚至上百个节点。盲目选择一个并不明智，正确做法是先做延迟测试。

如何批量测速

在首页节点列表中，找到对应订阅组的标题行，右侧通常有一个"连接测试"图标，点击即可对该订阅下所有节点同时发起 ping 测试。测试完成后，每个节点右侧会显示延迟数值（单位毫秒）。

延迟数值解读

< 100ms：非常优秀，适合所有场景包括视频会议和流媒体
100–200ms：正常范围，日常浏览、ChatGPT 使用无明显感知
200–500ms：可以使用，但加载速度会有明显延迟
> 500ms 或显示"超时"：该节点当前不可用或线路严重拥塞

选择技巧

节点延迟低不等于速度快。延迟反映的是握手往返时间，真正的下载速度还取决于节点所在服务器的带宽和当前负载。对于流媒体解锁（Netflix、Disney+、YouTube Premium），除了延迟外还要确认节点是否具备原生 IP，这类节点标题通常含有"Netflix"、"流媒体"、"原生"等关键词。关于机场与流媒体节点的选择，可以参考：流媒体与 ChatGPT 机场推荐。

对于日常翻墙，建议选择延迟最低且标注"IPLC"或"CN2 GIA"的节点，这类线路经过专线中转，受晚高峰影响较小。

全局路由设置详解

全局路由是 Shadowrocket 最核心的工作模式开关，决定了流量如何被处理。在设置页面（Settings）顶部即可看到此选项，共有四种模式：

代理（Proxy）

所有流量都经过代理服务器转发，不做任何分流判断。优点是不会遗漏任何需要翻墙的流量，缺点是访问国内网站（如淘宝、微信）时会绕路，速度可能变慢。临时测试节点是否可用时常用此模式。

直连（Direct）

所有流量都不经过代理，直接连接目标服务器。此模式下 VPN 虽然显示"已连接"，但实际上没有任何翻墙效果。通常在需要暂时停止代理但不想关掉 VPN 时使用。

配置（Config）

这是日常使用的推荐模式。Shadowrocket 会根据当前配置文件中的规则，对每条流量进行逐一匹配，决定是走代理还是直连。例如：访问 Google 走代理，访问 163.com 直连，访问被拦截的广告域名则拦截请求。这种模式下，国内外流量各走各路，体验最均衡。

场景（Scene）

这是一个高级特性，允许你针对不同 Wi-Fi 网络名称（SSID）设置不同的规则集。例如，连接公司 Wi-Fi 时自动切换为直连，连接家庭 Wi-Fi 时使用配置模式。对于需要在多个网络环境间频繁切换的用户很实用，普通用户暂时无需深入研究。

配置文件（Config）的作用与基础规则

配置文件是 Shadowrocket 的"大脑"，它以 .conf 格式存储，内容包含代理规则、DNS 设置、URL Rewrite 规则等。

默认配置的局限

Shadowrocket 内置的默认配置（Default Config）只包含最基础的 GeoIP 判断——中国大陆 IP 直连，其余走代理，以及屏蔽广告规则。这对于大多数日常使用已经够用，但存在一个常见问题：某些国内 App 使用了境外 CDN，会被默认走代理，造成不必要的代理消耗。

如何导入远程配置文件

进入 Config 页面 → 点击右上角 "+" → 选择 "从 URL 导入" → 粘贴配置文件的远程地址 → 点击"下载"。

下载成功后，新配置文件会出现在列表中，点击其右侧的圆点将其设为当前使用配置即可。

规则的基本逻辑

配置文件中的规则按照从上到下的优先级逐条匹配：

DOMAIN-SUFFIX,google.com,PROXY
DOMAIN-SUFFIX,baidu.com,DIRECT
GEOIP,CN,DIRECT
FINAL,PROXY

上面这个简化示例的含义：以 google.com 结尾的域名走代理；以 baidu.com 结尾的走直连；IP 地址归属于中国大陆（GeoIP CN）的走直连；以上都不匹配的，走代理。规则文件越精细，分流效果越准确，但也意味着更高的维护成本。

DNS 配置要点

DNS 配置看似不起眼，却是影响实际体验最明显的因素之一。

进入 Settings → DNS 可以看到以下选项：

Override DNS

开启后，Shadowrocket 会使用你指定的 DNS 服务器替代运营商默认 DNS。推荐填入 8.8.8.8（Google）或 1.1.1.1（Cloudflare），这两个 DNS 在国内虽然存在污染问题，但配合代理使用时实际解析请求会经代理发出，可以正常返回未污染的结果。

DNS over HTTPS / DNS over TLS

这两种加密 DNS 方案可以防止 DNS 请求本身被监听或篡改。在 Shadowrocket 的 DNS 设置中可以直接填入 DoH 地址，如 https://1.1.1.1/dns-query。开启后，DNS 查询流量会被加密，进一步降低被识别的概率。

排查 DNS 污染问题

如果你发现某些 App 显示"已连接"但打不开，第一步是检查 DNS 是否被污染：可以在设置中临时将全局路由改为"代理"模式，如果问题解决则说明是 DNS 污染或规则配置导致的。关于 IP 类型与流媒体解锁的关系，可以参考：原生 IP 与广播 IP 的区别。

流媒体与 AI 工具访问：节点选择的关键

访问 Netflix、Disney+、ChatGPT、Claude 等服务，比普通翻墙对节点有更严格的要求。

流媒体解锁

Netflix 根据 IP 地址判断用户所在区域，并据此决定可播放的内容库和是否允许播放。如果你的节点 IP 是机房数据中心 IP（Datacenter IP），Netflix 极有可能直接封锁并显示"你连接的网络似乎使用了代理或 VPN"。

真正能解锁 Netflix 的节点需要使用住宅 IP（Residential IP）或原生 IP（Native IP）——即该 IP 在当地网络运营商注册，看起来像是真实用户的家庭宽带地址。这类节点通常在机场的套餐说明中会标注"Netflix 解锁"、"原生美国"等字样，价格也相对更高。

在 Shadowrocket 中，你只需在首页选择具备解锁能力的对应节点，然后打开 Netflix App 即可。无需额外配置，因为 iOS 上的 Netflix App 流量会经由 Shadowrocket 的 VPN 接口转发。

ChatGPT 与 Claude

OpenAI 对 IP 的风控比 Netflix 更严格。大量机场 IP 由于被批量使用，早已被列入 OpenAI 的黑名单，表现为注册时报错、登录后无法发送消息，或出现"Access denied"错误。

解决方法通常是：选择标注"ChatGPT 可用"或"OpenAI 解锁"的节点，这类节点的 IP 相对较新且干净，未被 OpenAI 封禁。另外，使用美国、日本、新加坡等节点时成功率通常高于欧洲节点，这与 OpenAI 的区域策略有关。

订阅泄露风险与安全注意事项

很多用户在拿到订阅链接后，会习惯性地分享给朋友，或者在截图中不小心露出 URL 片段。这个行为存在较大风险：

订阅链接泄露的后果

机场的订阅链接通常包含你的账号唯一 Token，任何获得该链接的人都可以直接访问你的订阅、查看你的节点，甚至通过机场的登录接口尝试进入你的账户。更关键的是，节点信息泄露后，共享你节点的人会消耗你的流量配额，导致月底流量提前用尽。

如何降低风险

定期在机场的用户中心"重置订阅链接"，使旧链接失效
不要将订阅链接保存在公共剪贴板、微信群、Telegram 公开频道中
在 Shadowrocket 中，订阅 URL 存储在本地 App 数据里，如果手机被他人借用，注意不要让对方进入 Shadowrocket 设置

关于来源不明的配置文件

网上流传着大量"一键导入"的配置文件 URL，其中部分配置可能包含将你的流量转发给第三方的恶意规则，或者在配置中夹带 MITM（中间人解密）证书。导入前务必确认来源可信，不明白配置内容的情况下，坚持使用机场官方提供的配置或 Shadowrocket 默认配置。

工具与机场的整体选择可参考：工具总览。

常见错误与排查方法

问题一：点击连接后提示"VPN 配置无效"或直接失败

这通常是 iOS 的 VPN 配置文件损坏或权限未授权导致的。

解决步骤：

进入 iOS 设置 → 通用 → VPN 与设备管理 → VPN，删除所有 Shadowrocket 相关的 VPN 配置
重新打开 Shadowrocket，再次点击连接按钮，系统会弹出"允许此 App 添加 VPN 配置"的对话框，点击"允许"并输入 Face ID / 密码

如果仍然失败，重启手机后再试。极少数情况是 iOS 系统本身的 Network Extension 模块出了问题，升级系统版本或还原网络设置可以解决。

问题二：订阅导入成功但节点列表为空

检查以下几点：

订阅链接是否已过期（机场套餐到期后订阅链接可能失效）
机场服务器是否暂时宕机（可在浏览器中打开链接查看是否有内容返回）
该订阅是否使用了 Shadowrocket 不兼容的格式（大多数机场支持，但极少数使用私有格式，需改用其他客户端）

问题三：App 闪退或启动即崩溃

iOS 的内存管理机制在设备内存紧张时会强制终止后台 App。Shadowrocket 作为 VPN 扩展，也可能因资源占用过高被系统回收。

解决方法：

强制关闭所有后台 App，重新打开 Shadowrocket
检查 App Store 是否有 Shadowrocket 更新，新版本通常会修复已知崩溃问题
如果问题持续，卸载并重新安装（注意：重装后配置和订阅需重新导入）

问题四：连接成功但网络访问很慢

可能原因：选择的节点当前负载过高；运营商对该端口或协议有限速；或者该节点服务器本身的出口带宽有限。

排查方法：切换到另一个同类型节点，对比速度。如果整体速度都很慢，考虑在高峰时段（晚 8–11 点）更换 IPLC 专线节点，或联系机场客服确认服务状态。

与 Quantumult X / Surge 的简单对比

这三款是 iOS 端最主流的代理客户端，各有侧重：

| 对比维度 | Shadowrocket | Quantumult X | Surge | |---|---|---|---| | 价格 | ~$2.99（一次性）| ~$7.99（一次性）| $49.99 起（订阅制）| | 上手难度 | 低 | 中高 | 高 | | 规则自定义 | 基础配置文件 | 高级过滤器 / 重写 | 脚本 / 模块 / 完整 MitM | | 协议支持 | 全面 | 全面 | 全面 | | 流量统计 | 简单 | 详细 | 非常详细 | | 适合人群 | 新手、对价格敏感的用户 | 进阶用户、重视规则定制 | 开发者、需要网络调试 |

总结：

如果你只是想稳定翻墙、看流媒体、用 ChatGPT，Shadowrocket 是性价比最高的选择，功能足够用，价格不贵。
如果你需要精细的去广告规则、JS 脚本处理（比如解锁会员、修改请求头），Quantumult X 更适合。
如果你是开发者，需要抓包调试 HTTPS 请求，或者有非常复杂的家庭网络路由需求，Surge 的高价投入物有所值。

更多 iOS 代理工具与机场搭配建议，可以从新手入门指引开始了解整体生态，也可以查看工具对比页面。

常见问题解答（FAQ）

Q1：我没有美区 Apple ID，能从港区或台区账号下载 Shadowrocket 吗？

可以。Shadowrocket 在港区、台区、日区等多个非中国大陆区域均有上架，价格相近。港区是最方便的选项之一，可以使用支付宝香港或国内部分信用卡直接付款，对不方便充值美区礼品卡的用户更友好。只需注册对应区域的 Apple ID，在 App Store 切换账号后搜索购买即可。

Q2：Shadowrocket 支持 VLESS + Reality 协议吗？

支持。Shadowrocket 已在更新中加入了 VLESS 协议，并在后续版本中跟进了 Reality 的兼容。你只需在添加节点时选择"VLESS"类型，填入对应的 UUID、服务器地址和 Flow 参数即可。如果机场提供了 VLESS Reality 节点的分享链接，直接复制 URI 粘贴到 Shadowrocket 通常可以自动识别和解析，无需手动逐项填写。

Q3：订阅里有一百多个节点，怎么快速找到最适合我的？

先用批量测速功能过滤掉延迟超过 300ms 的节点，再从剩余节点中按用途选择：找延迟最低的用于日常浏览，找标注"Netflix"或"流媒体"的用于看剧，找标注"ChatGPT"或"OpenAI"的用于 AI 工具。实际带宽测试可以用 Speedtest 或 Fast.com 在不同节点之间比较下载速度，延迟低的节点不一定带宽大，要结合实际使用场景来选。

Q4：Shadowrocket 一直开着会很耗电吗？

会有一定影响，但幅度通常在可接受范围内。由于 iOS 的 Network Extension 是系统级进程，即便 Shadowrocket App 本体被杀死，VPN 隧道仍然在后台运行。电量消耗主要来自加密解密运算和网络保活心跳包。实测中，全天开启代理模式的电量消耗与不开相比，大约多耗 5–10% 的电量，开着睡觉也不会特别影响第二天的剩余电量。

Q5：更新订阅后，某些常用节点消失了是怎么回事？

机场有时会下线旧节点或更换服务器地址。订阅更新后，Shadowrocket 会以最新的节点列表为准，之前存在但已被机场移除的节点会从列表中消失。如果某个常用节点不见了，可以联系机场客服询问是否有替代线路，或者在节点列表中寻找同地区的其他节点进行替换。

Q6：iPad 上能同时运行 Shadowrocket 和另一个 VPN 应用吗？

不能同时激活两个 VPN。iOS 系统限制同一时刻只允许一个 VPN 配置处于激活状态。如果你在 iPad 上同时安装了 Shadowrocket 和其他 VPN App，开启其中一个时另一个会自动断开。这是 iOS 系统层面的限制，与 Shadowrocket 本身无关。如果你需要同时使用多种代理功能，可以考虑在 Shadowrocket 内部通过规则文件实现多出口分流，而不是同时运行两个 VPN App。

Q7：规则文件里的 DOMAIN-KEYWORD 和 DOMAIN-SUFFIX 有什么区别？

DOMAIN-SUFFIX,google.com,PROXY 只匹配以 google.com 结尾的域名，如 www.google.com、mail.google.com，不会误匹配 isgoogle.com。DOMAIN-KEYWORD,google,PROXY 则匹配任何域名中包含"google"字符串的请求，覆盖范围更广，但也可能误匹配不相关的域名。日常使用中，DOMAIN-SUFFIX 更精准可控，是规则文件中最常用的匹配类型。

Q8："全局路由"设为"代理"后，国内 App 会变慢吗？

会有影响。全局代理模式下，所有流量——包括打开淘宝、刷微博、用高德地图——都会绕道你的代理服务器。如果代理服务器位于境外，访问国内服务时会产生额外的跨境延迟，感知上就是 App 打开慢了一拍，图片加载转圈更久。建议日常使用"配置"模式，配合合理的规则文件让国内流量直连、境外流量走代理，这样两边体验都能兼顾。

Q9：换了新手机，Shadowrocket 需要重新购买吗？

不需要。Shadowrocket 的购买记录绑定在你的 Apple ID 上，只要你在新设备上登录同一个美区（或其他购买区域）Apple ID，进入 App Store 搜索 Shadowrocket 后点击下载，系统会识别为已购买并免费安装。但你的订阅链接和本地配置文件不会自动迁移，需要重新导入。如果开启了 iCloud 备份，App 数据有机会通过 iCloud 恢复，但并非所有用户都能成功，建议提前记录好订阅链接。

Q10：Shadowrocket 显示"已连接"但查 IP 没有变化，是什么原因？

这通常是"全局路由"被设置为"直连（Direct）"模式导致的。在直连模式下，VPN 隧道虽然建立，但所有流量仍然走本地网络，对外 IP 不会改变。解决方法：进入 Settings → 全局路由，切换为"代理"模式，再检查一次 IP。如果路由模式正确但 IP 仍不变，说明当前选中的节点可能已失效或服务器未正常响应，需要切换到其他节点后重新点击连接。