Shadowrocket 小火箭进阶攻略 2026：路由模式、规则、TUN 与 Tailscale

这篇讲什么

Shadowrocket（小火箭）是一款在 App Store 销售的、按规则转发流量的网络工具。开发商是 Shadow Launch Technology Limited，官方网站是 www.shadowlaunch.com，应用页面是 App Store：Shadowrocket（应用编号 932747118）。

商店说明写得很清楚：它是独立的网络工具，不附带任何代理服务或服务器资源，配置要由用户自己提供。买到的是客户端，不是「机场」或节点套餐。本文对照 2026 年 11 月 14 日（香港时间 / Asia/Shanghai）当天的美区、港区 App Store 页面、官方网站和应用界面，整理路由模式、规则、模块、隧道 / TUN、TLS 指纹、GeoIP 和内置 Tailscale 这些进阶项。文中不编造亲测。用户提供的界面截图只作案例，不代表官方承诺，设置名称和选项以你设备上当天的页面为准。

核对当日，美区标价是 2.99 美元，港区标价是 22.00 港元；价格会随商店地区变化，下单前以所在地区的 App Store 为准。系统要求写明：iOS 13.0 或更高版本，并兼容 iPadOS 13、macOS 10.15、tvOS 17、visionOS 1。当天商店页显示的版本是 2.2.93。

请只把这款工具用在你有权使用的网络和配置上。不要用第三方「会员解锁」模块去绕过付费订阅，也不要借助位置伪装或其他手段去规避银行、流媒体或平台的风控——这类做法可能违反对方条款，也可能违法。下文不提供这类教程。

配置从哪里来

应用支持在「配置」页导入或新建配置，常见入口包括恢复默认配置、从 URL 或 iCloud 导入、通过 Wi-Fi 上传，以及右上角「+」添加。从 URL 下载时，对话框会要求填写配置地址。只导入你信任、并能看懂来源的订阅或文件；来源不明的配置可能夹带不合规规则或失效节点。

全局路由的四种模式

在「设置」里的「全局路由」中，可以看到四种转发方式，界面说明如下：

• 配置：根据配置文件里的规则转发流量。
• 代理：流量都经代理转发。
• 直连：不使用代理转发流量。
• 场景：根据场景转发流量。同一页下方还有「场景」和「分组」入口。较新版本的更新说明里提到过 Wi-Fi 场景规则（SSID）相关修复，说明「场景」是官方功能，不是民间补丁。

同一页还有「启用回退」：如果当前节点不可用，应用会尝试使用其他可用节点。要不要打开，以你的节点质量和当天说明为准。

日常使用里，多数人会把全局路由放在「配置」，让规则决定哪些走代理、哪些直连。需要临时全部走代理或全部直连时，再切到对应模式。具体效果取决于你导入的规则和节点，不是应用本身的保证。

规则怎么写、怎么测

配置文件里的常见规则类型，社区文档和教程通常会列成下面这样。它们与应用里「类型」下拉菜单是对得上的，但下表本身不是官方说明书，表述以应用内选项为准。

策略一侧，界面和社区配置里常见 DIRECT（直连）、PROXY（走代理）、REJECT / REJECT-DROP（拒绝连接）等。REJECT 一类多用于拦截广告或跟踪请求，效果取决于规则是否写对，也取决于目标站点是否改了域名。

添加一条规则时，可以指定类型、策略，以及是否打开「扩展匹配」「预匹配」。下面这张图里的域名已遮盖，只用来说明界面，不指向某个具体网站。

写完后可用「测试规则」检查某个主机名会命中哪一条。例如，若配置里有 DOMAIN-SUFFIX,cn,DIRECT，测试一个以 .cn 结尾的域名时，结果可能显示类型为 DOMAIN-SUFFIX、策略为 DIRECT。这只说明规则按后缀匹配了，不等于这个站点一定位于中国境内，也不等于直连一定能打开。有用户反馈，把整个 .cn 后缀都设成直连时，一些实际托管在海外（例如使用境外 CDN 或代码托管）的 .cn 站点也会被判成直连，从而打不开或表现异常。这是规则写法问题，不是应用故障。更稳妥的做法是按你真正要直连的具体域名或可靠的 IP / GeoIP 数据来写，而不是依赖一个过大的后缀。

不想逐条手写时，可以从 URL 导入一份规则列表。社区里有人维护面向 Shadowrocket 的分流或广告规则，例如公开页面上会把「黑名单 / 白名单 / 国内外划分 / 回国 / 仅去广告 / 懒人配置」等方案列成对照表。这类列表不是 Shadowrocket 官方出品，链接、分类和默认策略都会变，使用前应自己打开原文，确认规则内容、更新时间和许可，不要把某一份列表当成必须订阅的标准答案。

模块：可以用，但不要用来「解锁会员」

「配置」页有官方的「模块」入口。模块系统是应用本身提供的扩展方式，社区常见用途包括广告拦截、对特定站点做补充规则等。导入前同样要看来源和脚本在做什么。

需要明确划清一条界线：网上能搜到不少号称可以「解锁」修图、阅读、办公或流媒体会员的模块包。那类模块通常是在未授权的情况下改写应用请求或返回内容，可能违反应用商店规则、被解锁软件的用户条款，也有法律风险。本文不推荐、不介绍、不提供这类模块的地址。位置伪装（包括一些已被系统修补的方案）同样不在本文范围内。如果你只是要减少广告，优先考虑来源可核对、只做域名或 User-Agent 拦截的规则，并在出问题后能关掉或删掉它。

延迟测试：TCP、ICMP 和 CONNECT 不是一回事

在「连通性测试」里，可以选择 TCP、ICMP 或 CONNECT。界面给 CONNECT 的说明是：「通过代理服务器测试 URL 请求」，并可以单独设置测试用的 URL。

三种方式测的不是同一件事。TCP 和 ICMP 更接近到达节点或主机的网络层表现；CONNECT 是按你指定的 URL，走代理做一次应用层请求，所以有用户把它当作「更接近实际打开网页」的参考。这并不等于 CONNECT 是唯一正确的测速，也不等于某一次数字可以代表该节点长期稳定。测试 URL、节点负载和本地网络都会影响结果，请以当天界面和多次测量为准。

隧道选项：含所有网络、含 APNs

「隧道」页提供若干开关，界面原文大意如下（以你设备上的译文为准）：

• 强制路由：该隧道的路由规则优先于本地定义的路由，默认是否。
• 包括所有网络：所有网络流量都会通过隧道路由，但有一些排除项。
• 包括本地网络：发往本地网络的流量也包括在隧道中。
• 包括 APNs：苹果推送通知服务（APNs）的流量将包括在隧道中。
• 包括蜂窝服务：与蜂窝相关的流量是否进入隧道。

有用户反馈，打开「包括所有网络」并勾选「包括 APNs」后，X、Telegram 等依赖推送的应用通知更稳定。这只是个案，不是官方保证。把 APNs 放进隧道，也可能在某些网络下反而影响推送，需要你自己对比开关前后的表现。图中的开关状态仅作界面说明。

TUN 模式：代理类型选 None

若要使用 TUN 模式，在「代理类型」里选择 None，界面会标注 TUN Mode。这是应用自己的选项名称，不是要你再去安装别的 TUN 工具。

同一组设置里还有「代理地址」。界面列出两个可选项：

• 198.18.0.3，说明是 Default Tun HTTP Proxy Server（默认的 TUN HTTP 代理服务器）。
• 127.0.0.1，说明是 Loopback HTTP Proxy Server（环回 HTTP 代理服务器）。

这里需要纠正一种常见误解：198.18.0.3 不是公网上的一台代理服务器，而是应用在 TUN 场景下使用的默认本地地址。198.18.0.0/15 本身是文档和测试用途的地址段，代理工具里也常用这段做假 IP / 映射，并不表示这个地址能在互联网上被访问。选哪一项，以设置页当天的说明和你的系统版本为准，不要把它填到其他软件里当成远程节点。

TLS 后端和指纹

「TLS」页可以看到几种后端，界面标注（英文原文）大致是：

• OpenSSL：TLS 1.3 / All iOS / Lower Memory，并带有提示标记。
• SecureTransport：No TLS 1.3 / All iOS / Deprecated（已弃用）。
• Network：TLS 1.3 / At least iOS 12 / Limited。

两点需要单独说明。第一，商店对应用的最低系统是 iOS 13.0，并不支持 iOS 12；「At least iOS 12」是这个后端在界面上的历史能力标注，不是应用现在还能装在 iOS 12 上。第二，页面并没有写出「必须选 Network」这样的官方推荐。OpenSSL 标明内存占用更低并带提示，Network 标明能力有限。选哪一个，取决于节点协议、证书和你设备上的兼容性，出问题可以改回去对比，不要把某一则用户经验当成固定最优。

较新版本增加了 TLS ClientHello 指纹（fingerprint）及方案选择。在「指纹」页里，会列出 Safari、Chrome、Firefox 等不同版本的方案；其中一部分会额外标注「支持 X25519MLKEM768」（一种带抗量子密钥协商的组合）。图中示例选中的是 Safari26_3。

「建议选带 X25519MLKEM768 标注的方案」只是一种用户倾向。能否握手成功，取决于对端是否同样支持；强行选择对端不支持的方案，反而可能连不上。以节点文档和实际握手结果为准。

GeoIP 与第三方数据库

应用内「GeoLite2 数据库」页写明：此产品包含 MaxMind 的 GeoLite 数据（www.maxmind.com）。GeoLite2 是 MaxMind 的免费地理定位数据库，有自己的许可和使用条件，更新频率和精度都比不上付费的 GeoIP2，这一点以 MaxMind 官方说明为准。

有用户会把数据库 URL 换成社区项目，例如 GitHub 上的 Hackl0us/GeoIP2-CN 所发布的 Country.mmdb。这是第三方整理的国家库，不是 MaxMind 官方库，也不是 Shadowrocket 官方维护的数据。准确性、更新节奏和许可都要你自己评估；填错 URL 或使用过期文件，会导致 GEOIP 规则误判。重置后应回到应用默认来源。下图里的更新时间只是该案例当天的记录。

内置 Tailscale

近年版本在设置里加入了 Tailscale 模块，可以把 tailnet 流量交给应用内的集成来处理。界面提供的选项包括：启用、低电量模式、认证密钥、控制服务器 URL（默认 https://controlplane.tailscale.com）、出口节点，以及「始终使用 DERP」（强制经 DERP 中继并禁用直接 UDP）。说明文字写明：启用后，Tailscale 会作为处理 tailnet 流量的全局模块，设置变更时数据包隧道会重新加载。

这说明你不一定要再装一个独立的 Tailscale 客户端，才能在同一台设备上使用 tailnet；也可以继续使用官方 Tailscale 应用，两者怎么配合以 Tailscale 文档 和当天应用说明为准。认证密钥要从 Tailscale 管理后台获取，分为可复用或临时密钥，不要把密钥发到公开场合或截图里。本文不编写逐步接入教程，也不保证某一种开关组合一定稳定。出口节点、子网路由、MagicDNS 等能力是否可用，还取决于你的 tailnet 计划和访问控制。

使用时记住这几条

• 客户端不等于节点。 商店和官网都不提供代理服务器。节点要来自你自己有权使用的服务，到期、被封或配置写错，都不是 Shadowrocket 能单方面解决的问题。
• 规则和模块会过期。 广告域名、CDN 和网站结构常变，一份去年能用的列表今年可能误伤正常站点。出问题先关掉有疑问的模块或改回默认配置，再逐项排查。
• 界面文案会随版本变化。 本文截图来自 2026 年 11 月前后的用户界面，选项名称、默认值和版本号以你设备上的 App Store 与应用内说明为准。
• 遵守法律和对方条款。 这是网络工具，不是用来做未授权访问、绕过付费墙或伪装位置以通过银行 / 平台审核的手段。

官方入口

• 官网：www.shadowlaunch.com
• App Store：Shadowrocket（id 932747118）
• GeoLite 数据说明：MaxMind
• Tailscale 文档：tailscale.com/kb