一、Shadowrocket 客户端正版获取与安全须知

由于相关政策法规要求，Shadowrocket并未在中国大陆地区的App Store上架。获取正版小火箭的最稳妥方式是使用海外非国区Apple ID（如美区、日区或港区Apple ID）登录App Store并完成下载。

切记：在手机设置中千万不要直接在「设置 - iCloud」中登录任何非个人独享的公共海外ID，否则极有可能导致手机被远程恶意锁定或激活锁死！正确的做法是：仅打开手机自带的「App Store」应用，点击右上角头像滑动至最底部退出当前国区账号，然后在App Store内部单独登录海外账号进行搜索与下载。下载完成后即可立即切回自己的国区日常账号，已下载的小火箭完全不受影响且可正常使用与更新。

二、奈云专属高速节点一键连接与延迟测速

下载好Shadowrocket后，载入节点配置极其简便。在奈云用户后台中，点击「一键配置到Shadowrocket」按钮，手机会自动唤起小火箭并自动同步官方专属专线节点；或者您也可以进入小火箭，通过后台专属配置一键完成快速同步，点击右上角完成即可。

节点配置完成后，小火箭主界面会整齐列出奈云全量的高速节点。此时点击「连通性测试」，请务必注意：不要仅看简单的Ping值，建议在设置中将测试方式切换为「HTTP 延迟测试」。Ping值仅仅是ICMP协议的回显，而HTTP延迟测试则是真实向海外Web服务器发送HEAD/GET请求，能够真实反映节点当前的可用性与网络吞吐能力。选择一个延迟在20毫秒至50毫秒的香港或日本绿色节点作为主用节点即可。

三、全局路由策略精细配置：配置模式 vs 代理模式

小火箭主界面下方有三个全局路由选项，分别是「配置（Config）」、「代理（Proxy）」和「直连（Direct）」。很多新手误以为选择「代理」才能上网，其实不然：

1. 「代理」模式：顾名思义是全局代理，无论您打开微信、百度、淘宝，还是海外网站，所有流量全部走加速节点。这不仅会白白消耗昂贵的专线流量，还会导致国内App定位偏移、微信收发图片延迟变高、甚至触发国内网银的风控警报，极其不推荐日常使用。

2. 「直连」模式：全局不走代理，所有连接裸连公网，通常仅用于临时排查网络问题。

3. 「配置」模式（强烈推荐日常开启）：该模式下小火箭会根据内置的规则列表智能判断每一个网络请求的去向。访问国内域名走DIRECT直连，跑满您本地5G或Wi-Fi千兆带宽；访问Google、GitHub、Netflix等海外服务走PROXY加速专线，实现智能分流与无感加速。

四、模块（Modules）扩展：去广告与高级功能一键注入

Shadowrocket自近期版本以来引入了极为强大的「模块（Modules）」系统。通过模块，用户无需繁琐地手动修改庞大的规则配置文件，即可像浏览器安装插件一样，一键为系统注入丰富的高级功能。

在小火箭底部导航栏点击「配置」-「模块」，点击右上角「+」号，即可通过网络链接添加社区精选模块。常用推荐模块包括：1. 全球流媒体智能重定向模块，确保Disney+和Netflix在遭遇部分CDN限制时自动转发至最优解析IP；2. 广告拦截与隐私跟踪保护模块，在手机底层直接拦截应用内开屏广告与分析追踪SDK；3. 搜索引擎优化模块，在Safari中提供无缝国际化搜索体验。

五、按需连接（On Demand）与自动化省电策略

许多苹果用户抱怨开启VPN后手机发热严重、掉电明显加快。事实上，Shadowrocket本身使用纯C/Rust重写了核心网络栈，空闲时内存占用不足25MB，真正导致耗电的原因往往是由于错误的心跳保活设置导致CPU持续处于唤醒状态。

为了实现极致省电，我们可以在小火箭中开启「按需连接（On Demand）」功能。进入主界面已添加的VPN配置详情页，开启「按需连接」开关，并在规则中设置：当连接到家庭受信任Wi-Fi且无需访问外部网络时自动暂停；当网络切换为蜂窝移动网络（5G/4G）或检测到海外目标流量发起请求时，iOS系统网络栈会在毫秒级瞬间自动拉起小火箭建立加密通道。这样既保障了全天候随时秒连，又彻底解决了后台长驻耗电的后顾之忧。

六、证书安装与HTTPS解密（MitM）的规范与安全

如果需要使用某些高级重写脚本（如特定流媒体跨区定位欺骗或深度去广告），通常需要开启MitM（中间人解密）功能并安装小火箭本地生成的CA根证书。需要高度警惕的是：根证书具有解密您网络流量的最高权限，绝对不要从任何第三方未经验证的网页下载并信任来路不明的.crt证书！

如果您确实需要使用，请务必仅在小火箭内部点击「生成新的CA证书」，随后系统会跳转至iOS「设置 - 已下载描述文件」进行安装，并最后在「设置 - 通用 - 关于本机 - 证书信任设置」中手动勾选完全信任。在不需要使用深度脚本重写功能时，建议保持MitM功能关闭，确保个人财产与账户密码的最高级别安全。

七、智能场景感知切换：办公 Wi-Fi 与 5G 蜂窝无缝漂移

在现代移动办公场景中，用户经常在公司企业局域网、家庭千兆Wi-Fi以及室外5G蜂窝网络之间频繁切换。不同网络环境的安全策略与路由拓扑差异极大：在某些严格管控的企业Wi-Fi下，网络网关可能会封锁非标准的UDP端口；而在户外5G蜂窝网络下，网络带宽充沛但运营商基站NAT类型受限。

Shadowrocket内置了基于网络SSID与网络类型的智能感知脚本系统。用户可以在「配置 - 场景（Scenes）」中定义精细化触发策略：例如当手机检测到已连接至名称为“Company-Office”的企业Wi-Fi时，小火箭自动切换至采用标准443端口伪装的Trojan专线节点，规避企业网关的端口过滤；而当手机断开Wi-Fi切入5G蜂窝网络时，系统自动无缝切换至高吞吐的WireGuard万兆专线节点，享受最充沛的峰值速率，全程无需人工干预切换。

此外，用户还可以在场景设置中为特定公共场所不安全Wi-Fi（如星巴克、机场免费网络）配置自动启动强制加密规则，一旦连入未知开放热点，小火箭会在数据包发出的瞬间强制建立端到端高强度密闭通道，有效阻断公共Wi-Fi常见的中间人ARP欺骗与DNS劫持嗅探。

八、证书管理与 MitM 流量抓包安全性深度剖析

尽管Shadowrocket的MitM（Man-in-the-Middle）解密功能为高级去广告与API重定向提供了无限可能，但用户必须对底层安全边界保持清醒的认知。当您在iOS系统中安装并完全信任一个本地生成的CA根证书后，该证书理论上具备解密手机通过该代理发送的所有HTTPS通信报文的能力。

因此，在安全配置上必须严格遵循最小权限原则：在小火箭的MitM主机名列表（Hostname）中，严禁添加通配符“*”，更绝对不能将任何银行App、支付宝、微信支付、苹果iCloud认证以及各类政府政务系统的域名加入解密列表。建议仅将明确需要去广告或重定向的特定海外流媒体辅助域名（如*.byteoversea.com或部分图片CDN）纳入解密范畴，从机制上将潜在的数据泄漏风险降为绝对零。

九、iOS 全天候长连接心跳保活与低电量模式调优实录

苹果iOS操作系统拥有极其严苛的后台应用冻结机制（Tombstone Mechanism）。许多用户常常发现，手机锁屏一段时间后，后台的代理连接可能会悄然断开或在收到新消息推送时出现严重延迟。为了解决这一痛点，需要在Shadowrocket中做好细致的心跳保活与网络唤醒调优：

首先，在小火箭设置的「TCP」选项中，将Keep Alive（长连接保活）时间调整为30秒，这样客户端会在连接空闲时定期向奈云专线服务器发送一个极微小的TCP心跳包，防止移动运营商基站网关因长时间无流量而主动切断NAT映射；其次，在设置中开启「后台自动刷新节点」功能，并设置在Wi-Fi与充电状态下每天凌晨4点静默同步节点列表；最后，结合iOS自带的「低电量模式」设置快捷指令自动化，在电量低于20%时智能切换为轻量级分流规则，兼顾超长续航与随时秒开。

针对双卡iPhone用户，当您在主卡与副卡之间切换蜂窝数据流量时，iOS会强制重置底层网络接口。在Shadowrocket的高级设置中启用「网络切换自动重连（Auto Reconnect on Network Change）」开关，能够确保在地下车库、电梯等弱网脱网重连后，小火箭在0.5秒内自动重塑VPN安全隧道，彻底解决需要手动解锁手机重新点击连接的繁琐痛点。