一句话答案：日常使用坚决锁定【配置】（规则智能分流）模式；遇域名污染开启 DoH 安全加密解析；针对办公内网与家庭网络善用场景自适应切换。
- 三大工作平面架构：数据转发平面（TUN 虚拟网卡）、控制调度平面（规则匹配与 DNS）、遥测审计平面（Audit 日志）。
- 路由模式黄金铁律：99% 日常场景常态化锁定【配置】模式，杜绝【代理】全局模式引发的国内断网。
- 双重 DNS 分流治理：国内直连流量走本土低延迟安全 DoH，海外代理流量交由远端节点解析，消除 Anycast 漂移。
- 策略组自动化选优：善用
[Proxy Group]的 url-test 与 fallback 机制，构建高可用链路自愈网络。 - 网络基础设施决定论：调优是本地手段，而决定 4K 拖动秒开与全天候 0 丢包的命脉始终在于 IEPL 物理专线。
架构透视：小火箭作为现代网络接入层的三大工作平面
在 iOS 平台中，Shadowrocket（小火箭） 绝非一个普通的前台工具，而是一个在系统底层精密运转的现代轻量网络接入路由器。
为了在实际使用中真正做到游刃有余，我们必须从小火箭的内部系统工程视角，将其解构为三大独立的工作平面：
[ 应用程序网络数据包流入 ]
│
▼
┌─────────────────────────────────────────────────────────────┐
│ 1. 数据转发平面 (Data Plane): │
│ • 监听 iOS 内核 UTUN 虚拟网卡接口 │
│ • 基于 lwIP 协议栈进行 TCP/UDP 拆包与重构 │
│ • 执行底层密码学握手与隧道封装 (TLS / Reality / Brutal) │
├─────────────────────────────────────────────────────────────┤
│ 2. 控制调度平面 (Control Plane): │
│ • 运行基于 Trie 前缀树与 AC 自动机的高性能规则匹配引擎 │
│ • 管理本地 DNS 递归解析与公共安全 DoH 加密信道 │
│ • 维护策略组 (Proxy Group) 健康检查探针与故障转移状态机 │
├─────────────────────────────────────────────────────────────┤
│ 3. 遥测审计平面 (Telemetry Plane): │
│ • 毫秒级捕获每个 Socket 的往返时延与连接状态 │
│ • 记录 Audit 实时请求日志与规则命中追踪 │
│ • 统计各应用流量散度与出站带宽波形 │
└─────────────────────────────────────────────────────────────┘
│
▼
[ 物理网卡出站: DIRECT 或 PROXY ]
1. 数据转发平面（Data Plane）
这是小火箭执行最频繁、性能要求最高的核心通道。当手机上的应用发起网络连接时，数据报文进入小火箭自研的轻量协议栈。小火箭在用户态内存中完成加密信道协商与封包，整个过程耗时控制在微秒级别，确保不会引入任何肉眼可见的系统转发开销。
2. 控制调度平面（Control Plane）
这是整个网络工具的“智慧大脑”。当一个数据包到达时，调度平面需要根据目的域名的后缀、IP 的地理数据库归属（GeoIP）以及客户端的 User-Agent，快速决定该数据包应该走本地物理网卡原路直连（DIRECT）、走指定的代理节点（PROXY），还是直接阻断抛弃（REJECT）。
3. 遥测审计平面（Telemetry Plane）
这是资深玩家与工程师排查疑难杂症的透视镜。通过内建的 Audit 审计管道，小火箭能够精准记录下每一个网络请求的发起时间、目标服务器、命中的具体规则行以及握手耗时，彻底终结“凭感觉排障”的盲目状态。
核心路由工作模式全景解析与选型矩阵
在小火箭主界面的总开关下方，【全局路由】（Global Routing）决定了全机流量的分流走向。
flowchart TD
DataPacket[手机所有应用发起的网络数据包] --> RouteMode{选择全局路由模式}
RouteMode -->|【配置模式】Config 推荐常驻| RuleEngine[本地分流规则引擎匹配]
RuleEngine -->|命中国内域名 / 大陆 IP| Direct1[DIRECT 本地直连 (0 代理流量 / 15ms)]
RuleEngine -->|命中海外规则 / 默认兜底| Proxy1[PROXY 优质专线 (IEPL 加速 / 25ms)]
RuleEngine -->|命中广告黑名单| Reject1[REJECT 静默拦截 (0 耗电)]
RouteMode -->|【代理模式】Proxy 仅作排障| Proxy2[强制全部送往境外节点 (全量消耗流量 / 易致国内App卡死)]
RouteMode -->|【直连模式】Direct 临时放行| Direct2[全局原生出站 (绕过代理隧道 / 0 加速)]
RouteMode -->|【场景模式】Scene 环境感知| SceneSwitch[根据当前 Wi-Fi SSID 自动挂载对应配置/直连]
[ 四大全局路由模式底层数据流图谱 ]
┌─────────────────────────────────────────────────────────────┐
│ 【配置模式】(Config) ── 智能判决: │
│ 数据包 ──► 匹配规则库 ──┬─► 命中国内/私有白名单 ──► [DIRECT 原生直连] │
│ └─► 命中海外规则/兜底 ──► [PROXY 专线代理] │
├─────────────────────────────────────────────────────────────┤
│ 【代理模式】(Proxy) ── 强行全局劫持: │
│ 数据包 ──► 无视任何规则 ──────────────────────────► [PROXY 全局海外] │
├─────────────────────────────────────────────────────────────┤
│ 【直连模式】(Direct) ── 全局原路透传: │
│ 数据包 ──► 绕过代理隧道 ──────────────────────────► [DIRECT 原生出站] │
├─────────────────────────────────────────────────────────────┤
│ 【场景模式】(Scene) ── 环境感知自适应: │
│ 识别当前 Wi-Fi SSID ──► 动态挂载对应的配置/直连策略 │
└─────────────────────────────────────────────────────────────┘
四大全局路由模式特性全景对比表
| 路由工作模式 | 底层流量处理行为 | 适用典型场景 | 节点流量消耗 | 综合推荐指数 |
|---|---|---|---|---|
| 配置 (Config) | 智能匹配规则集：国内直连，海外走专线，广告直接拦截 | 全天候 24 小时主力常驻挂载 | 极低（仅加速必要流量） | ★★★★★ (最强推荐) |
| 代理 (Proxy) | 全盘强制代理：无视任何分流，所有请求全部强行送往境外节点 | 临时排查节点跨境可用性、海外特定锁区平台 | 极高（全流量跨洋消耗） | ★★☆☆☆ (仅作排查) |
| 直连 (Direct) | 全局原路透传：所有数据绕过节点直接出站，保留 DNS 本地代理 | 局域网大文件传输、临时切断代理但保留 VPN 状态 | 零消耗 | ★★★☆☆ (偶尔使用) |
| 场景 (Scene) | 网络环境感知：根据当前接入的 Wi-Fi 名称自动挂载预设策略 | 公司内网、家庭网络与 5G 蜂窝网络自适应平滑切换 | 视配置而定 | ★★★★☆ (进阶实用) |
DNS 递归解析架构与防污染深度治理
在网络代理的技术链条中，DNS（域名系统）是决定连接成败的第一道关口。许多用户经常遇到“节点测速显示 30ms 绿字，但 Safari 依然打不开网页”的故障，90% 以上的原因都在于 DNS 遭遇了污染或解析死锁。
[ 现代分流 DNS 双重解析流水线 ]
[ 应用程序发起域名请求: google.com ]
│
▼
[ 小火箭内置安全 DNS 代理模块 ]
│
┌─────────────────────┴─────────────────────┐
▼ ▼
[ 判定为中国大陆目标 ] [ 判定为境外加速目标 ]
(命中 .cn / GEOIP CN) (命中海外规则 / 默认兜底)
│ │
▼ ▼
[ 本地安全 DoH 解析器 ] [ 远程节点代理解析 (Remote DNS) ]
https://dns.alidns.com/dns-query 由远端香港/日本节点向海外根 DNS 发起
(获取离手机最近的省内 CDN 节点) (杜绝中间人劫持与 DNS 投毒，0 污染)
1. 传统明文 DNS 的致命隐患
- DNS 投毒与污染（DNS Poisoning）：传统的 DNS 查询运行在 UDP 53 端口上，数据包完全明文传输。当您尝试查询海外目标时，本地网络网关会抢先伪造一个死链 IP 返回给手机，导致浏览器弹出“无法访问此网站”；
- 国内 CDN 调度地域偏离（Anycast 漂移）：若让境外的公共 DNS（如
8.8.8.8）去解析国内淘宝、爱奇艺的域名，由于境外服务器缺少国内用户的客户端 IP 网段（EDNS Client Subnet），会将您的请求调度到美西或法兰克福的机房，引发国内图片大面积裂图与视频严重卡顿。
2. 构建工业级防污染分流 DNS 的实操步骤
- 打开小火箭底部【设置】（Settings）→ 进入【DNS】管理页面；
- 启用【DNS 覆写】（DNS Overwrite）；
- 配置首选高可用 DoH（DNS over HTTPS）：
- 阿里安全 DoH：
https://dns.alidns.com/dns-query - 腾讯 DNSPod DoH：
https://doh.pub/dns-query
- 阿里安全 DoH：
- 确保勾选【始终通过本地 DNS 解析直连域名】： 该选项能确保所有国内流量的 DNS 查询全部留在国内递归解析，保障国内 CDN 拥有毫秒级的就近调度性能；而所有需要走代理的海外域名，其解析请求会被直接打包进加密隧道，交由远端专线节点的本地网络安全解析，彻底根绝 DNS 泄漏与污染。有关 DNS 的深入技术推导，请参阅我们的专题指南：Shadowrocket DNS 设置与解析错误排查指南。
策略组（Proxy Group）高级级联与链路自愈
成功导入订阅并显示出节点列表后，很多用户习惯于每次手动挑选一个节点连接。然而，网络服务商的边缘节点可能会遭遇突发网络波动或例行维护。
利用小火箭高级分流规则集中的 [Proxy Group] 策略组机制，您可以构建一套自动化选优与故障转移（Failover）系统：
[Proxy Group]
# 1. 自动测速选优组：每隔 300 秒向探针发包，自动将流量无感漂移到延迟最低的节点
Auto-Select = url-test, policy-path=https://sub.speedcloud.example/sub, url=http://cp.cloudflare.com/generate_204, interval=300, tolerance=50
# 2. 故障自动转移组：主节点宕机后，在 5 秒内平滑切换至备用容灾节点
Failover-Group = fallback, policy-path=https://sub.speedcloud.example/sub, url=http://cp.cloudflare.com/generate_204, interval=180
# 3. 专线专属筛选组：通过正则表达式自动筛选出所有标有 IEPL 或专线的低延迟节点
IEPL-Lines = select, policy-path=https://sub.speedcloud.example/sub, policy-regex-filter=(IEPL|专线|VIP)
[Rule]
# 将海外 AI 工具与流媒体分别绑定到不同的策略组中
DOMAIN-SUFFIX,openai.com,IEPL-Lines
DOMAIN-SUFFIX,netflix.com,Auto-Select
GEOIP,CN,DIRECT
FINAL,Auto-Select
通过上述声明式配置，无论服务商后续如何动态更新底层的 IP 地址，小火箭的调度平面都会通过 policy-regex-filter 自动重构拓扑，实现真正意义上的**“一次配置，全天候免维”**。具体规则集的编写规范，请参阅：Shadowrocket 规则配置与 .conf 文件编写完全指南。
商业选型考量：配置是“方向盘”，物理专线才是“发动机”
在各大技术论坛中，经常有用户发问：“我的小火箭分流规则写得非常完美，DNS 也开启了高端 DoH，为什么晚高峰看 4K 视频偶尔还是会卡顿缓冲，难道是我的规则还不够精细吗？”
这揭示了网络性能最质朴的底层物理规律：分流规则与 DNS 优化仅仅是本地数据包的调度指挥官（Navigator），而承载数据包跨洋出海的真正动力，完全取决于底层的物理通信信道（Infrastructure）！
网络性能权重全景剖析图：
┌────────────────────────────────────────────────────────┐
│ 本地策略与调度层 (占体验权重 5%): │
│ • 智能规则分流 / 安全 DoH 覆写 / 策略组 url-test 选优 │
│ • 作用: 消除分流冲突，确保正确的数据走正确的通道 (< 2ms)│
├────────────────────────────────────────────────────────┤
│ 跨国物理信道层 (占体验权重 95% 决定性主干!): │
│ • 普通公网直连 (晚高峰拥塞丢包 30%+) vs IEPL 企业专线 │
│ • 作用: 决定了数据包出海是 25ms 0 丢包还是断流卡死! │
└────────────────────────────────────────────────────────┘
1. 软件设置无法逾越跨国公网拥塞的物理鸿沟
如果您使用的是廉价低配的公网 VPS 节点：
- 在每天 20:00–23:30 晚高峰期间，公网国际海缆出口不可避免地遭遇严重的 Tail Drop 尾部丢包；
- 无论您在本地将策略组调优得多么精细，丢失的 TCP 数据包依然必须等待 1–3 秒的重传超时（RTO）；
- 最终在手机屏幕前呈现的，依然是无休止的转圈与画质暴跌。
2. 光速云 IEPL 物理专线对小火箭系统的终极赋能
为了让您精心配置的小火箭系统释放出 100% 的潜能，选用工业级的物理专线是终极答案。以光速云（GuangSuYun）为例：
- 纯内网端到端物理穿透：所有出海流量在境内入口 BGP 机房汇聚后，直接通过专属物理内网海底光缆穿透至香港、日本，完全不经公网国际海缆出口，晚高峰全天候 0 丢包，延迟稳定在 25–35ms；
- 全生态原生流媒体解锁：香港、日本原生企业商用出口 IP，完美秒开 YouTube 4K/8K、Netflix 及各类海外 AI 生产力工具；
- 多客户端格式原生下发：服务端智能感知请求端点，为小火箭自动推送精简 Base64 订阅，杜绝一切格式解析报错与死锁。
在光速云官网选购专线服务时，结账输入专属优惠券码 AMM，即可获取专属优惠与高带宽升级。
常见问题深度解答（FAQ）
Q1：小火箭的【场景】（Scene）功能怎么用？有哪些典型场景？
答：进入小火箭底部【设置】→【场景】（Scene），点击右上角【+】号新建场景。典型用法包括：
- 公司办公场景：绑定公司的 Wi-Fi 名称（SSID），将路由模式设定为【直连】（Direct），实现走进办公室自动走原生内网，保障打卡与 OA 畅通；
- 家庭娱乐场景：绑定家里 Wi-Fi，路由模式设定为【配置】（Config），并默认选中延迟最低的香港专线节点。
Q2：为什么开启小火箭后，App Store 无法下载或更新软件？
答：苹果 App Store 的应用分发服务器部署在全国各地的 CDN 机房。若小火箭的分流规则未将苹果的下载域名（如 *.apple.com, *.mzstatic.com）正确加入 DIRECT 直连，下载流量被海外节点接管会导致下载变慢甚至报错。在小火箭配置中确保包含完整的苹果直连规则模块即可秒级解决。
Q3：小火箭的【数据包转发】（Packet Forwarding）有什么用？需要开吗？
答：数据包转发主要用于将 iPhone 作为家庭局域网内的中继网关代理其他设备（如给 Switch 游戏机或 Windows 电脑加速）。在个人单机日常使用中，务必保持关闭状态。若错误开启该功能且配置了冲突的监听端口，可能会导致本机的虚拟网卡发生端口占用死锁，引发断网。
Q4：为什么连接节点后，只有特定网页（如 ChatGPT）提示 Access Denied 1020？
答：该错误并非小火箭客户端问题，而是 OpenAI 部署在 Cloudflare 上的安全风控策略拦截了当前节点的公网出口 IP。通常是因为低价机场的某个出口 IP 被数百人并发使用，触发了 Cloudflare 的行为黑名单。解决办法是：在小火箭首页切换至拥有高纯度住宅/企业原生 IP 的专线节点。
Q5：手机发热严重且耗电极快，是小火箭故障吗？
答：若小火箭导致异常发热，常见原因有两点：1. 开启了高频的后台日志记录与详细调试模式；2. 当前连接的节点存在高达 30% 以上的恶劣丢包，导致 iOS 内核的 TCP 栈处于疯狂重传与计算死循环中。关闭日志记录并更换为低延迟专线节点，发热量将瞬间骤降。
Q6：小火箭中可以同时开启两个不同的代理配置吗？
答：受限于 iOS 系统的 NetworkExtension 架构，一个操作系统在同一时刻只允许一个 NEPacketTunnelProvider 虚拟网卡处于激活状态。您无法同时开启两个小火箭实例，也无法同时运行小火箭与其他第三方 VPN。但您可以通过小火箭的高级【前置代理】（Relay Proxy）功能，在单个应用内部实现多节点链式跳板加速。
Q7：什么是 DNS 污染？如何通过小火箭彻底根治？
答：DNS 污染是本地网络防火墙将未加密的境外域名查询伪造为错误 IP 的手段。小火箭支持【DNS 覆写】与安全加密 DoH。通过在小火箭设置中启用阿里的 https://dns.alidns.com/dns-query 或 Cloudflare 的 https://1.1.1.1/dns-query，DNS 请求会在 TLS 加密通道中传输，中间人无法窥探或篡改，从而彻底终结 DNS 污染。
Q8：如果所有排查都做完了依然无法解决，最后的求助渠道是什么？
答：若已执行完本文的重置与排查流程，请登录您的网络服务商后台管理面板提交技术支持工单，并附上小火箭 Audit 捕获到的错误请求代码；若是针对小火箭客户端本身的底层 Bug 反馈，可在 App Store 应用评价区或开发者官方反馈邮箱提交系统日志。
结语与推荐学习导航
掌握 Shadowrocket 的高级使用与分流策略，标志着您从单纯的“网络消费者”蜕变为了具备系统级视野的“网络掌控者”。牢记**“坚守配置分流模式、双重 DNS 分工治理、选用工业级 IEPL 物理专线”**的三大核心原则，您就能在任何网络环境中游刃有余。
为了进一步完善您的知识图谱，建议继续深入研读以下核心专题：
- 路由模式与分流深度解析：Shadowrocket 规则模式与全局模式区别与设置说明
- DNS 优化与防污染完全指南：Shadowrocket DNS 设置与常见解析错误排查
- 全站规则与 .conf 定制：Shadowrocket 规则配置与 .conf 文件编写完全指南
- 解决规则冲突与国内断网：开启 Shadowrocket 后微信淘宝等国内 App 断网排查完全指南
- 工业级低延迟网络选型：了解全天候稳定 30ms、晚高峰零丢包的 IEPL 架构评测：光速云深度评测与专线性能实测报告