主题切换
Shadowrocket 基础原理知识库 - 苹果网络拓展框架与代理运作机制
独立第三方技术知识库声明
Shadowrocket（俗称小火箭）能够在 iOS 生态中保持长达十年的领先地位，源于其对苹果系统底层网络框架的高效调度与极简资源开销控制。许多初学者将小火箭误认为简单的翻墙开关，实际上它是一套高度成熟的本地轻量级透明代理网关。理解其底层通信机理，有助于在日常使用中合理分配路由规则、排查网络假死并大幅减少手机电量消耗。
🧭 客户端核心专题导航
基础认知体系涵盖技术原理解密、历史版本特性以及跨客户端横向评测。建议结合当前使用阶段选择对应板块研读：
横向横评
3. 四大主流 iOS 代理客户端横评
深度横向对比 Shadowrocket、Surge、Quantumult X 与 Loon 在性能、分流语法、脚本能力与性价比上的真实表现。
阅读客户端深度横评 →⚙️ 一、Shadowrocket 在 iOS 系统中的数据包处理管线
iOS 具备行业内极为严格的应用沙盒安全隔离机制。任何第三方 App 都绝无可能直接监听其他应用的底层网络数据。小火箭之所以能够对全手机的流量进行鉴权分流，完全依托于苹果官方提供的 NetworkExtension API，
【iOS 内部数据包处理管线全景】
[ 浏览器 / 微信 / 各种 App 发起网络请求 ]
│
▼
[ iOS Packet Tunnel Provider (NetworkExtension) ] <-- 苹果官方 VPN 权限接口
│
▼ (原始数据包重定向至内核)
[ Shadowrocket 内核处理引擎 (TUN 虚拟网络适配器: utun3) ]
│
├────► 1. 本地 DNS 模块：执行 DoH / DoT 防污染查询，解析目标真实 IP
│
├────► 2. 路由匹配引擎：根据 Domain / IP / User-Agent 逐行命中规则
│
└────► 根据匹配结果分流传输：
├── DIRECT ──► 苹果原生网络栈 ──► 国内直连服务 (B站/微信/淘宝)
├── PROXY ──► 加密协议隧道 ──► 跨境物理专线 ──► 目标外网服务
└── REJECT ──► 底层静默丢弃 ──► 广告追踪与遥测请求被拦截1. Packet Tunnel Provider 授权机制
当您第一次在 Shadowrocket 中开启连接开关时，系统会弹出一个系统级授权窗口，要求输入锁屏密码以“添加 VPN 配置”。在此过程中，小火箭向 iOS 注册了一个 NEPacketTunnelProvider 扩展进程。该进程接管系统的 IP 层路由表，将默认网关指向本地虚拟网卡。
2. TUN 虚拟网卡的运作
虚拟网卡在操作系统内部通常命名为 utun3 或类似名称。与物理 Wi-Fi 芯片或蜂窝移动基带不同，TUN 网卡并不直接发射电磁信号，而是纯粹由小火箭在内存中运行的 C 语言核心驱动。所有应用发出的 IP 数据包都会被直接压入 TUN 网卡的输入队列。
3. 用户态透明代理与数据包重组
小火箭内核从队列中取出原始数据包，进行 TCP/UDP 报文解封装。如果是发往国内服务器的流量，小火箭直接调用系统的原始套接字发出；如果是发往海外服务器的流量，小火箭则将有效载荷提取出来，使用 VLESS、Shadowsocks 或 Trojan 协议重新封装加密，通过专线网络发送到海外落地节点。
🔒 二、现代代理协议矩阵与抗探测机理
随着网络审查与流量特征识别技术的发展，底层协议的迭代直接决定了通信的可靠性：
| 协议代际 | 代表协议 | 加密认证方式 | 端口特征 | 核心技术优势 | 小火箭支持状态 |
|---|---|---|---|---|---|
| 第一代 | Shadowsocks / SSR | 预共享密钥对称加密 | 静态端口 | 开销极低，适合内网物理专线 | 完美支持 |
| 第二代 | VMess / Trojan | TLS 1.3 证书握手 | 443 常用端口 | 伪装成正常 HTTPS 流量 | 完美支持 |
| 第三代 | VLESS Reality | 借用知名大厂证书 | 443 端口伪装 | 免自建证书，消除 TLS 指纹识别 | 完美支持 |
| 第四代 | Hysteria 2 / TUIC | 基于 QUIC / UDP 单流 | UDP 自适应端口 | 弱网暴力抗丢包，极速响应 | 完美支持 |
协议选择实战建议
- 在 IEPL 或 IPLC 等纯物理内网专线中，推荐优先选用 Shadowsocks 协议。由于专线本身不经过公共骨干网审查，Shadowsocks 极低的加密开销能够让 iPhone 发热量显著降低，延长电池使用时间。
- 在公网中转或复杂网络环境中，推荐首选 VLESS Reality 或 Trojan 协议，借助苹果、微软等大厂的权威数字证书进行隐蔽通信。
🛠️ 三、关键性能参数与日常使用建议
要确保小火箭在日常运行中稳定、省电且不影响国内 App 速度，请注意以下三个核心配置，
1. 坚持使用“配置”模式而非“代理”模式
小火箭主界面中间提供了【配置】、【代理】、【直连】三种全局工作模式。请始终保持在【配置】模式。在该模式下，分流规则引擎全天候生效；如果误切为【代理】模式，手机所有流量（包括微信视频和网购）都会强行绕行海外节点，造成不必要的带宽浪费。
2. 谨慎启用 HTTPS 解密证书（MITM）
部分去广告模块需要用户在手机中安装小火箭的根证书以执行中间人解密（MITM）。如果仅仅是为了科学上网和日常办公，切勿随意开启 HTTPS 解密功能。保持原生端到端加密能够最大限度保障个人银行与社交隐私安全。
3. 配置按需连接实现真正无感
在小火箭的【设置 -> 按需连接】中开启该功能后，客户端能够感知 Wi-Fi 与移动网络状态。当进入休眠或特定 SSID 时自动进入省电待机状态，唤醒手机时毫秒级自动重连，带来如同原生内网般的顺畅体验。
📚 四、相关核心专题深度进阶阅读
- 什么是 Shadowrocket 客户端？全面功能科普：了解功能架构与常见术语；
- iOS 四大主流代理客户端横向对比：小火箭 vs Surge vs QX 选型分析；
- Shadowrocket 分流规则全景白皮书：掌握国内直连与海外专线分流配置；
- 2026 优质专线机场权威推荐榜：配合高品质节点获得最佳上网体验。