云梯指南 云梯指南

小火箭高级规则配置

在苹果 iOS 生态中，Shadowrocket（小火箭） 之所以被公认为最强大的网络代理工具之一，并不仅仅因为其直观的“一键导入订阅”界面，更在于其底层极其完善的 .conf 规则配置文件、灵活的模块系统（Modules）、HTTPS 中间人解密（Mitm）以及 JavaScript 脚本引擎（Scripting）。通过合理编写高级规则，小火箭不仅能自动识别规则分流，更能实现强力去除网页广告、解锁付费限制、提取网页 Cookie 乃至全自动后台签到等强大操作。

然而，许多用户面对这套庞杂的“极客系统”时，经常遇到“自定义规则不生效”、“开启 Mitm 导致 HTTPS 链接异常断流”或“策略组测速频繁报错”等高频故障。本教程将由浅入深，从底层规则语法、模块挂载、Mitm 根证书配置、策略组故障自愈调优，到 DOH 加密 DNS 覆盖，为您提供高级配置教程。

📋 教程目录导航
一、核心分流匹配语法解析
二、Module (模块) 一键配置
三、MITM与本地CA证书完全信任
四、URL-Test策略组自愈调优
五、DNS 劫持防范与安全DOH寻址
六、推荐出海线路与连接排障

一、小火箭规则引擎：核心语法与分类解析

小火箭的流量分流取决于配置文件中 [Rule] 字段下的规则链。每一条规则都由 类型, 匹配内容, 动作, [参数] 四部分组成：

  • DOMAIN-SUFFIX (域名后缀匹配)：
    • 语法：DOMAIN-SUFFIX,google.com,PROXY
    • 原理解析：当遇到以 google.com 结尾的请求（如 mail.google.com）时，强制通过代理路由。
  • DOMAIN-KEYWORD (域名关键词匹配)：
    • 语法：DOMAIN-KEYWORD,github,PROXY
    • 原理解析：只要域名中包含字符 github（如 githubusercontent.com），就执行代理。
  • IP-CIDR / IP-CIDR6 (无类别域间路由 IP 匹配)：
    • 语法：IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
    • 原理解析：匹配特定的 IP 范围段，例如局域网 IP 一律直连。
    • no-resolve 选项的作用：带上此参数后，小火箭在遇到域名时，不会立即对该域名进行本地物理 DNS 解析以获取 IP 进行匹配，而是优先通过其他规则。这能杜绝因 DNS 解析导致的延迟抖动。
  • GEOIP (地理位置 IP 库匹配)：
    • 语法：GEOIP,CN,DIRECT
    • 原理解析：小火箭会查询本地 IP 数据库。若解析出的目标 IP 归属地为中国大陆，则一律直连。这对于流畅使用国内软件至关重要。
  • USER-AGENT (用户代理标识匹配)：
    • 语法：USER-AGENT,TikTok*,PROXY
    • 原理解析：根据发起请求的客户端程序进程的 UA 标识进行分流，常用于短视频软件绕过区域限制。
  • FINAL (默认终选规则)：
    • 语法：FINAL,DIRECT
    • 原理解析：所有未被上述规则捕获的剩余网络流量，一律走直连（或代理）。

二、小火箭 Module (模块) 机制：一键扩展分流与去广告

手动在配置文件中添加数千条规则非常低效，为此小火箭引入了 Module (模块) 机制。模块类似于打包好的功能插件，里面聚合了特定服务的分流规则、Rewrite 重写、Mitm 主机名声明甚至是 JS 脚本。

  1. 进入小火箭底部导航栏的 配置 (Configuration)。
  2. 点击第一项 模块 (Modules)，然后点击右上角 + 按钮。
  3. 在输入框中粘贴社区公共维护的模块 URL。例如：
    • 去广告模块：引入过滤主流视频与资讯网页悬浮广告的模块。
    • 免拔卡解锁模块：解除特定软件国区限制（如 TikTok 解锁模块）。
  4. 点击下载并确认。在模块列表中点击勾选启用，配置即可瞬间生效，合并进当前的运行文件中。

三、高阶基石：MITM 与本地 CA 根证书深度配置

绝大多数现代互联网封包均通过 HTTPS 进行了高强加密。要想对网络流量进行去广告重写或运行 JS 签到脚本，必须在 iOS 系统内打通 Mitm（中间人解密） 权限。

请按照以下三个步骤，一步不漏地完成 CA 根证书的系统信任：

第一步：在小火箭内生成 CA 证书

  1. 点击底部导航栏的 配置 -> 选择您正在激活的配置文件 -> 点击 编辑配置 (Edit Config)。
  2. 找到并点击进入 HTTPS 解密 (Mitm)。
  3. 打开 Mitm 开关，并点击 生成新的 CA 证书 (Generate CA Certificate)。
  4. 证书计算生成后，点击 安装证书 (Install Certificate)，系统会弹出描述文件下载提示，点击 允许。

第二步：安装配置描述文件到 iOS 系统

  1. 打开 iPhone 手机系统的 设置。
  2. 在顶部会看到 已下载描述文件 (Profile Downloaded)，点击进入。
  3. 点击右上角 安装 (Install)，输入您的解锁密码并确认安装。

第三步：在 iOS 系统底层激活“完全信任”

  1. 依次进入手机系统 设置 -> 通用 (General) -> 关于本机 (About)。
  2. 划动到最底部，进入 证书信任设置 (Certificate Trust Settings)。
  3. 找到刚安装的 Shadowrocket CA 根证书项目，打开其右侧的绿色信任开关，并在弹出的警告中确认信任。

完成上述步骤后，小火箭即可解密您在 Mitm 列表中配置好的 Hostname 流量，将广告过滤拦截，或利用 JS 脚本劫持特定功能。

四、策略组 (Policy Groups) 深度调优：实现故障自愈

高级用户一般会拥有多个机场订阅或节点（例如搭配拥有 Vless 协议特性的 快狸机场 与专线极速的 极连云）。如何在节点发生异常时让小火箭实现自动切换？这需要建立 策略组 (Policy Group) 的自愈机制：

  1. 点击 配置 -> 编辑配置 -> 策略组 -> 添加。
  2. 填写策略参数：
    • 类型 (Type)：选择 url-test 组。
    • 测速链接 (URL)：填入纯净的 HTTP 心跳检测地址，如 http://cp.cloudflare.com/generate_204。
    • 测速间隔 (Interval)：建议填写 600（单位为秒，即每 10 分钟自动在后台测速一次）。
    • 容差值 (Tolerance)：建议填写 50（毫秒，当新节点延迟比当前节点低 50ms 以上时才切换，防止频繁重连造成断流）。
  3. 节点绑定：将您的主力机场订阅全部勾选进此策略组中。小火箭会在后台持续检测节点心跳，一旦当前选用的节点超时爆红，会自动无感秒级切换到另一个可用的低延迟节点，实现自动自愈。

五、DNS 防污染与 DOH 安全寻址

iOS 本地的 DNS 解析极易受到宽带运营商的劫持与缓存投毒，为了保障分流规则模式下的正确匹配，建议对本地 DNS 进行强制加固：

  1. 点击 配置 -> 编辑配置 -> DNS 模块。
  2. Nameserver 模块：配置腾讯公共 DNS (119.29.29.29) 和阿里公共 DNS (223.5.5.5)，实现国内直连域名在毫秒级内完成 IP 解析。
  3. Fallback 安全 DOH 模块：在列表中添加 https://dns.cloudflare.com/dns-query，强制要求小火箭遇到海外域名时，通过加密 HTTPS 信道向境外安全 DNS 进行并发寻址，彻底截断本地域名污染。

六、优秀出海线路与连接排障

配置完美的高级规则，依旧需要底层配合一条足够强韧的物理链路：

  • 针对大码率流媒体播放与日常办公场景，推荐接入采用全 Vless 住宅 IP 协议架构的 快狸机场。
  • 如果在跨境办公中对连接稳定性有刚性诉求，可优先考量配备内网 IPLC 隔离物理专线的 光年梯 以及支持不限制并发设备数的 极连云 深度评测。
  • 若在日常使用中遇到特定网页或 App 界面报错，可第一步排查系统根证书信任开关是否打开，第二步利用小火箭的 连接监控面板 (Connections) 进行域名嗅探与 IP 解析自查，绝大多数规则冲突均可在此处快速排除。
返回首页 查看推荐机场