Appearance
小火箭（Shadowrocket）新手最全上手指南，从美区 Apple ID 购买到订阅节点导入
⚡ 实测结论速览
Shadowrocket（俗称小火箭）是 iPhone 与 iPad 用户进入科学上网领域的最佳入门工具。 售价仅为 2.99 美元，协议支持极其全面，涵盖从传统 Shadowsocks、Trojan 到新一代 VLESS-Reality 与 Hysteria 2。
获取该软件必须通过非国区 Apple ID（首选美区）。强烈建议自行注册专属美区账号，通过官方正规礼品卡充值兑换，切勿使用公用共享账号或在设置中登录他人 iCloud，防止设备被恶意锁定勒索。
日常使用切记将全局路由保持在 配置（Config） 模式，并按需安装去广告模块与 CA 根证书。合理设置规则分流能让国内应用零感直连，海外平台顺畅加速。
为什么小火箭是 iOS 平台的第一装机工具
在苹果封闭的 iOS 生态中，所有翻墙客户端必须使用系统底层的 NetworkExtension 框架来构建虚拟专用网络。受限于 App Store 严格的分区审查政策，中国大陆区的应用商店下架了所有代理类工具。
在众多海外区网络工具中，小火箭始终占据着压倒性的市场份额。这主要源于三个核心优势。
第一，定价亲民且买断终身。相比 Surge iOS 高达数十美元的年订阅费用，或者 Quantumult X 与 Loon 偏高的门槛，小火箭多年来始终维持在两点九九美元的单次买断售价，且一次购买可在名下所有同一 Apple ID 的 iPhone、iPad 以及搭载 Apple Silicon 芯片的 Mac 电脑上通用。
第二，协议包容度首屈一指。小火箭的开发者对开源社区的新兴协议响应极快。无论节点采用的是基于 TCP 的 VLESS-Reality 还是基于 UDP 暴力发包的 Hysteria 2，小火箭均能在第一时间完成适配，几乎不需要用户手动调整底层参数。
第三，操作直观兼顾高阶拓展。新手通过扫描二维码或复制一段订阅链接，三秒内即可完成节点导入并开始上网。而对于追求极致体验的高阶玩家，它同样提供了模块扩展、HTTPS 中间人解密以及基于地理位置和无线局域网名称的自动化场景切换。
合规获取小火箭，美区 Apple ID 注册与安全充值
因为小火箭无法在国区 App Store 搜索下载，新手面对的第一道坎就是获取一个属于自己的海外区苹果账号。许多人因为图省事，在网上随意寻找公开的共享账号，最终导致手机照片泄露甚至整机被锁死变砖。
获取小火箭的安全与危险路径对比：
│
├──> 正规安全路径 (强烈推荐)
│ └── 自行在苹果官网注册专属美区 Apple ID ──> 仅在 App Store 登录 ──>
│ 通过正规电商购买官方礼品卡充值 ──> 自主拥有永久有效应用资产。
│
└──> 高危致命陷阱 (绝对严禁)
└── 在淘宝或论坛寻找公用共享账号 ──> 误在系统“设置 - iCloud”登录 ──>
被不法分子开启“查找我的 iPhone”远程锁死设备 ──> 遭遇敲诈勒索。1. 注册专属美区 Apple ID 核心步骤
注册美区账号无需复杂的国外信用卡，只需准备一个从未注册过苹果账号的全新邮箱（推荐 Gmail 或 Outlook）以及一个国内能正常接收短信的手机号码。
第一步，使用电脑或手机浏览器打开苹果官方 Apple ID 注册页面。国家或地区一栏务必选择美国。
第二步，依次填写姓名、生日与全新邮箱地址。手机号码可以直接填写你日常使用的中国大陆加八六号码，苹果允许同一个手机号码绑定多个不同国家地区的账号用于接收双重认证短信。
第三步，依次输入邮箱收到的验证码以及手机短信验证码，完成基础账号注册。
第四步，在 iPhone 上打开 App Store 应用商店，点击右上角个人头像，滑动到最底部点击退出登录当前账号。随后输入刚刚注册好的美区账号与密码进行登录。
第五步，系统会弹窗提示该 Apple ID 尚未在 iTunes Store 使用过，点击检查。在接下来的协议页面勾选同意，关键的付款方式一栏务必选择无（None）。账单地址需要填写一个真实的美国免税州地址（推荐选择俄勒冈州 Oregon 或蒙大拿州 Montana 的街区地址与五位数邮政编码），电话号码填入十位随机美国数字，点击下一页即可顺利激活。
2. 通过官方礼品卡安全购买兑换
由于美区 App Store 无法绑定中国大陆发行的银联信用卡、微信或支付宝，最稳妥的支付方式是购买官方 Apple Gift Card（苹果礼品卡）。
可以在电商平台的正规官方直营店，或者支持支付宝付款的国际零售平台购买小额礼品卡（通常最低支持两美元或三美元面额）。
拿到十六位礼品卡兑换码后，在 App Store 右上角点击头像，选择兑换充值卡或代码，手动输入兑换码。账户余额成功入账后，在搜索栏输入 Shadowrocket，确认开发者为 Pan modal，点击两点九九美元完成购买并下载安装。
购买完成后，即可在 App Store 中随时退出美区账号，重新换回你的国区日常主力账号。已下载的小火箭仍可正常使用并接受后续版本更新，绝不影响日常软件与微信推送。
节点与订阅导入实操技巧
安装好软件后，需要将代理服务器节点配置注入小火箭。软件内置了高度容错的输入解析引擎。
小火箭连接建立与数据包分流流程拓扑：
[本地 iOS 应用发起联网请求]
│
▼
[iOS NetworkExtension 虚拟专用网络接口]
│
▼
[小火箭核心分流引擎 (读取 Default.conf 配置)]
│
├─── 匹配为国内域名或局域网 IP ───> [DIRECT 直连出境 (走本地 5G / WiFi)]
│
├─── 匹配为广告与追踪收集器 ───────> [REJECT 丢弃数据包]
│
└─── 匹配为海外受限平台 ───────────> [PROXY 加密管道发送给节点]
│
▼
节点服务器落地并解密1. 常见导入方式操作详解
第一种，扫码一键导入。点击小火箭首页左上角的扫描二维码图标，直接对准电脑屏幕或机场后台生成的节点二维码，软件会自动识别并将节点保存至主界面。
第二种，剪贴板自动抓取。如果在网页中复制了单条或多条以 vless://、vmess://、trojan://、hy2:// 开头的节点链接，切换回小火箭时，软件会自动弹出提示询问是否添加剪贴板中的节点，点击添加即可完成导入。
第三种，订阅链接自动化同步。点击首页右上角的加号按钮，类型下拉列表中选择第三项 Subscribe（订阅）。在备注一栏填入机场名称，在地址（URL）输入框中粘贴完整的订阅长链接。点击右上角完成，小火箭会在后台发起网络请求，瞬间将几十个甚至上百个节点下载并按分组规整排列。
2. 启用自动更新节点订阅
机场通常会不定期维护失效线路或增添新节点。为了保证节点列表的有效性，建议在小火箭底部导航栏点击设置，找到订阅选项。
开启打开时更新复选框。这样每次手动冷启动小火箭时，软件会自动与远端服务器同步最新节点，省去频繁手动拉取更新的繁琐步骤。
全局路由模式深度剖析，配置、代理与直连
在小火箭主界面的核心连接开关下方，有一个名为全局路由的选项。很多新手因为误选了模式，要么导致国内软件极度卡顿，要么导致翻墙彻底失效。理解这四种模式的边界至关重要。
| 全局路由模式 | 底层数据流转逻辑 | 流量与性能表现 | 适用典型场景 |
|---|---|---|---|
| 配置 (Config) | 依据分流规则逐条匹配，国内直连海外代理 | 性能最优，省电且节省节点套餐流量 | 绝大多数用户应常年保持此模式 |
| 代理 (Proxy) | 强制整机所有流量全部无脑走当前选中的节点 | 流量消耗最大，国内应用容易触发风控 | 节点调试、紧急排查分流规则失效时临时使用 |
| 直连 (Direct) | 彻底绕过所有代理节点，整机直接通过物理网卡上网 | 不消耗代理流量，无法访问任何海外受限网络 | 临时排查本地真实网络连通性 |
| 场景 (Scene) | 根据连接的特定 WiFi 名称或蜂窝数据自动切换 | 高度自动化，省去手动切换节点的麻烦 | 公司与家庭网络环境差异化自动切换 |
在配置模式下，小火箭会调用默认规则集。访问百度、微信、网易云音乐等国内服务时，走的是本地网络直接通信；只有访问 Google、GitHub、YouTube 等受限站点时，才会平滑建立加密通道走节点。
规则配置（Config）与模块（Module）进阶优化
小火箭的分流能力极其强大。除了默认内置的基础规则外，引入社区维护的精细化规则集与模块，能大幅提升移动端网络体验。
1. 订阅远程分流规则集
在底部导航栏点击配置，可以看到当前生效的规则配置文件列表。点击右上角加号，可以添加远程规则链接。
目前开源社区（如 ACL4SSR 或 Loyalsoldier）维护了详尽的分流列表。常见的单条规则结构由规则类型、匹配条件以及动作指令三部分组成。
ini
# 小火箭经典分流规则格式示例
# 规则格式：类型, 匹配值, 策略出口
# 域名后缀精确匹配
DOMAIN-SUFFIX,google.com,PROXY
DOMAIN-SUFFIX,github.com,PROXY
DOMAIN-SUFFIX,apple.com,DIRECT
# 域名关键词模糊包含
DOMAIN-KEYWORD,openai,🤖 人工智能
DOMAIN-KEYWORD,claude,🤖 人工智能
# IP 地址段与中国地理归属
IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
IP-CIDR,10.0.0.0/8,DIRECT,no-resolve
GEOIP,CN,DIRECT
# 最终兜底规则
FINAL,PROXY每条规则按自上而下的顺序执行。一旦匹配成功便立即执行对应策略并终止后续扫描，因此高优先级的自定义特殊规则必须置于配置文件靠上的位置。
2. 模块（Module）的杀手级功能
模块是小火箭的一大特色扩展功能。它允许用户在不修改核心配置的前提下，通过安装一个轻量级的 .sgmodule 文件，动态注入特定的增强功能。
常见的模块功能包括去除知乎、微博、贴吧等客户端内的开屏牛皮癣广告；强制各大视频网站解锁超清画质；自动重定向海外应用内的特定请求地址。
在底部导航栏点击配置，滑动至下方找到模块，点击右上角加号输入模块订阅地址即可安装。
四款主流 iOS 代理工具选型横评大表
虽然小火箭是综合性价比最高的首选工具，但在 iOS 进阶圈子中，还有几款各具特色的老牌代理软件。为了帮助大家根据自身实际需求理性选型，我们对这四款应用的核心指标进行了横向测算。
| 评估项目 | Shadowrocket (小火箭) | Quantumult X (圈叉) | Loon | Surge iOS | | --- | --- | --- | --- | | 官方售价 | 2.99 美元（终身买断） | 7.99 美元（终身买断） | 5.99 美元（终身买断） | 49.99 美元起（按年订阅制） | | 上手门槛 | 极低（新手一键导入即用） | 较高（界面极客，配置项丰富） | 中等（UI 清晰，插件生态成熟） | 高（网络工程师调试级定位） | | 协议支持广度 | 极其广泛（覆盖新旧所有主流协议） | 适中（偏向传统经典主流协议） | 广泛（支持新协议且跟进迅速） | 专精商业（主推自有 Snell 与传统协议） | | 脚本执行引擎 | 支持基础 JavaScript 重写 | 极强的本地 JS 引擎与定时任务调度 | 极佳的插件与脚本生态集成 | 顶级的网络调试与捕获引擎 | | 内存开销控制 | 较好（规则精简下约 35MB） | 优秀（内存回收机制严谨） | 良好（约 38MB 到 45MB） | 卓越（底层高度优化，稳定性极高） | | 推荐适用受众 | 绝大多数翻墙新手与通用移动办公者 | 喜欢深度去广告与自动化签到的折腾玩家 | 追求界面美观与轻量插件化的均衡用户 | 专业网络开发工程师与苹果全家桶极客 |
从长远使用角度来看，如果你仅仅需要稳定的科学上网、节点测速与基础的分流去广告，两点九九美元的小火箭完全足以满足未来几年的全部需求。只有当你对复杂的本地网络抓包、实时请求修改或者特定自动化任务有深度诉求时，才需要考虑进一步添置其他高阶工具。
小火箭内置 DNS 模块调优与防泄漏实战
移动设备频繁在 WiFi 与蜂窝移动网络之间切换，这种动态的网络环境极易引发 DNS 劫持与查询泄漏问题。默认情况下，iOS 系统会优先使用当前连接网络下发的运营商本地 DNS。如果直接访问海外平台，查询请求在离开手机的一瞬间就可能被本地运营商的网关捕获并记录日志。
在小火箭中配置安全的加密 DNS（DoH / DoT）是构筑隐私防线的重要举措。
移动端加密 DNS 防泄漏解析流程：
[应用程序发起域名查询请求]
│
▼
[小火箭本地 DNS 转发拦截器]
│
├─── 国内白名单域名 ───> [https://223.5.5.5/dns-query (DoH 加密直连阿里 DNS)]
│ └── 获取物理延迟极低的真实大陆 CDN IP
│
└─── 海外受限域名 ─────> [https://1.1.1.1/dns-query (走代理通道请求 Cloudflare)]
└── 彻底免疫运营商 DNS 污染并消除明文日志追踪在小火箭底部导航栏点击设置，找到 DNS 选项。
建议将 DNS 覆盖模式指定为安全可靠的公共服务器。针对国内解析，可以填入阿里提供的安全 DoH 地址 https://223.5.5.5/dns-query 或腾讯的 https://120.53.53.53/dns-query。针对出海流量，开启远程 DNS 解析选项，让数据包到达海外节点后再进行安全查询。这样既保证了国内应用拿到离你最近的高速 CDN 节点，又彻底杜绝了海外访问记录被本地网络设备旁路嗅探的风险。
HTTPS 解密（MITM）与 CA 证书安装指南
当你在小火箭中开启某些高级去广告模块或重定向脚本时，往往会发现模块无法生效。这是因为现代移动互联网全盘普及了 HTTPS 加密通信，客户端发送的具体请求路径和返回的网页内容都被高强度密钥加密。
为了让分流引擎看懂数据包内容并剔除广告代码，必须在本地建立中间人解密（Man-in-the-Middle，简称 MITM）机制。
HTTPS 解密与中间人重写流程：
[应用程序发起 HTTPS 请求]
│
▼
[小火箭本地虚拟引擎拦截]
│
├──> 使用本地生成的专属 Root CA 证书与客户端建立伪装 TLS 连接
├──> 解密得到原始明文 HTTP 数据，剔除广告脚本并修改 Headers
└──> 小火箭以标准客户端身份与远端真实服务器建立第二次真实 TLS 会话1. 生成并安装小火箭本地根证书
进行此项操作必须严格按照苹果系统的安全认证流程推进，缺一不可。
第一步，打开小火箭底部导航栏的配置页面，点击当前正在使用的配置文件，在弹出菜单中选择编辑配置。
第二步，找到 HTTPS 解密（MITM）选项，点击进入，打开启用解密复选框。
第三步，点击生成新的 CA 证书。生成完成后，点击安装证书。此时系统会调用 Safari 浏览器弹窗提示网站正在尝试下载一个配置描述文件，点击允许。
第四步，打开 iPhone 的系统设置，在最上方能看到个人头像下方新增了一行提示已下载描述文件，点击进入，在右上角点击安装，输入你的手机锁屏密码确认安装。
2. 在系统底层彻底信任自签根证书
很多新手往往做完上面第四步就以为配置完成，导致全网软件无法加载网页。这是因为描述文件仅仅是将证书存入系统的暂存区，并没有授予它解密网络连接的最高授权。
必须完成最后一步终极信任操作。
打开 iPhone 系统设置，依次点击通用、关于本机。
滑动到关于本机的最底部，找到证书信任设置。
在针对根证书启用完全信任列表下方，找到带有 Shadowrocket 标识的证书开关，将其由关闭滑动为打开。系统会弹出红色严厉安全警告，点击继续确认授权。
至此，本地中间人环境部署完毕，所有的去广告规则与重写模块才能正式在后台稳定发力。
iOS 内存限制与后台省电调校实战
许多用户抱怨，开启小火箭一段时间后手机发热严重，或者偶尔在切换大型游戏时代理突然断开。这通常与 iOS 系统的资源管理机制有关。
1. 理解 NetworkExtension 的 50MB 内存硬墙
在 iOS 系统的内存调度策略中，所有的扩展插件（Extension）都受到严苛的 Jetsam 内存监控。苹果给网络扩展进程分配的物理内存上限通常严格限制在 50MB 左右。
如果用户在小火箭中加载了海量的庞大规则文件（例如数十万条的去广告黑名单），或者开启了复杂的本地 JavaScript 重写脚本，当瞬间网络并发暴涨时，小火箭的后台常驻内存一旦突破 50MB 阈值，iOS 内核会毫不留情地立即向进程发送 SIGKILL 信号将其强行斩杀，表现为桌面顶部的 VPN 小图标瞬间消失。
为了保障小火箭后台常驻的永不闪退，建议遵循以下优化原则。
第一，精简规则订阅。切忌贪多同时加载三四个不同作者维护的全能规则集，保留一份维护活跃的轻量规则集即可。
第二，关闭不必要的连接日志。在小火箭的设置中，关闭详细日志记录功能。高并发读写系统日志不仅会大幅加速电池电量消耗，还会占用宝贵的系统扩展内存空间。
2. 按需连接（On-Demand）与场景自动化
小火箭支持 iOS 原生的按需连接技术。可以在设置中为特定的网络环境定制触发策略。
例如可以配置为只要手机连入家中的特定 WiFi 名称，小火箭自动休眠并断开代理通道（因为家中软路由已经具备全屋出海能力）；而一旦手机断开 WiFi 切换至蜂窝移动数据网络，小火箭瞬间在后台自动点亮建立连接。
这种配置方案完全免去了每天出门都要手动打开软件点连接的麻烦，将电池续航损耗降到了最低点。
真实排错与避坑指南
1. 节点测速全部超时且主开关打开后无网络
如果导入节点后进行真连接测速全红全超时，首先检查小火箭的系统联网权限。
在刚刚安装小火箭初次打开时，系统会弹出两个提示。一个是允许小火箭使用无线局域网与蜂窝网络，另一个是小火箭尝试添加 VPN 配置。如果在第一个弹窗中不小心误触了不允许，小火箭本身就被系统切断了互联网通道。
解决办法是打开 iPhone 系统设置，下拉找到 Shadowrocket 应用，检查无线数据一栏是否设置为无线局域网与蜂窝数据。其次进入设置、通用、VPN 与设备管理，删除已有的旧配置，回到小火箭重新触发一次添加代理许可。
2. 节点显示正常但部分海外软件依然提示连接失败
这种问题通常发生在对本地定位有深度校验的应用上。许多海外应用在启动时会同时发起常规网络连接与系统定位查询。单纯依靠节点代理 IP 有时无法绕过其综合反欺诈引擎。
此时应排查规则分流。在小火箭底部的工具箱中找到连接监视器，实时观察该应用在发起请求时调用的完整域名。如果发现其特定认证接口被意外命中了 DIRECT 直连规则，在自定义规则中添加一条对应的域名代理规则将其指定到出境出口即可彻底解决。
常见问题解答 (FAQ)
小火箭购买后可以在多台苹果设备之间共享安装吗？
可以。只要多台设备（包括你本人的多部 iPhone、iPad 或 Mac 电脑）在 App Store 登录的是同一个购买过小火箭的美区 Apple ID，就可以在已购项目中直接免费下载，无需重复支付两点九九美元。同时切记在安装完毕后退出该美区账号，换回日常账号使用。
为什么开启 HTTPS 解密后部分银行类应用闪退或报错证书错误？
部分安全性极高的商业银行、政务平台或特定金融类应用在编译时启用了 SSL Pinning（证书双向绑定技术）。应用内部硬编码了服务器的真实公钥指纹，拒绝承认任何本地安装的第三方自签根证书。遇到此类应用，切勿对其强行启用解密，应在小火箭的 MITM 设置中，将这些银行的域名添加进跳过解密名单中。
节点经常断开连接，状态栏的 VPN 标志频繁闪退重启是什么原因？
最常见的原因就是规则集过于臃肿导致内存突破了 iOS 系统 50MB 的限制，触发了系统的进程强制清理机制。请在配置中停用不必要的第三方庞大去广告规则库与沉重的脚本模块，并在设置中关闭详细日志，即可恢复稳定常驻。
小火箭支持在 Apple TV 电视盒子上运行作为家庭代理网关吗？
支持。小火箭目前拥有 tvOS 专属版本。如果你的客厅配备了搭载 tvOS 17 以上系统的 Apple TV，同样可以在其 App Store 中登录美区账号免费下载小火箭。将其设置为代理服务器模式后，局域网内的 Switch、PS5 或智能电视可以直接将网关指向 Apple TV，实现免软路由全家设备轻松出海。