新手知识与网络代理基础概念：小火箭原理与专线常识通识课

一句话答案：小火箭是基于 NetworkExtension 框架的智能规则路由代理外壳，通过本地分流引擎实现国内秒级直连与海外加密中转，需外挂高品质物理专线方可建立加速隧道。

计算机网络体系架构与代理技术的历史演进

结论先行：代理技术经历了从原始的应用层单向中继，到系统级全局隧道，再到现代智能规则分流（Rule-based Routing）的三代演化；Shadowrocket 代表了移动端智能分流的最高成熟形态。

对于刚接触 iOS 规则代理的初学者而言，往往难以分清“代理（Proxy）”与“虚拟专用网（VPN）”的区别。理解这一技术分野，必须回顾互联网协议栈的演化历程：

flowchart TD
    subgraph Gen1 ["第一代：应用层协议代理 (1990s)"]
        G1[SOCKS5 / HTTP Proxy<br/>需在每个软件手动配置代理端口<br/>仅支持特定应用，无系统级接管能力]
    end
    
    subgraph Gen2 ["第二代：企业级全局 VPN (2000s)"]
        G2[IPsec / OpenVPN / WireGuard<br/>强制修改系统默认网关 (0.0.0.0/0)<br/>所有流量无差别绕道出海，国内访问极慢]
    end
    
    subgraph Gen3 ["第三代：智能规则代理 (现代 Shadowrocket)"]
        G3[NetworkExtension + 本地分流规则引擎<br/>毫秒级 Trie 前缀树匹配 / GeoIP 智能分流<br/>国内毫秒直连 / 海外走顶级专线]
    end
    
    Gen1 --> Gen2 --> Gen3

1. 第一代：应用层单协议代理（SOCKS4 / SOCKS5 / HTTP Proxy）

在 20 世纪 90 年代，以 RFC 1928（SOCKS5 协议规范）为代表的代理技术主要用于局域网防火墙穿透：

• 运行机理：代理客户端在本地监听一个 TCP 端口（如 127.0.0.1:1080），浏览器或特定应用必须在其网络设置中手动填写该代理服务器地址；
• 核心局限：对不支持手动配置代理的系统内置应用、游戏客户端或后台推送服务完全无能为力，无法实现整机透明代理。

2. 第二代：传统全局 VPN（IPsec / OpenVPN / WireGuard）

进入 2000 年代，跨国企业为了让居家员工安全访问公司内网，广泛部署了传统 VPN 隧道：

• 运行机理：VPN 驱动在操作系统内核创建一块虚拟网卡，并通过修改系统主路由表（Routing Table），将**默认网关（Default Gateway 0.0.0.0/0）**指向该虚拟网卡；
• 致命痛点（全量绕路）：所有网络流量无差别地被强行塞入远端服务器。在移动互联网时代，这意味着当您开启全局 VPN 时，即使打开手机微信、美团或百度，数据也必须先飞越太平洋到美国机房，再从美国绕回国内服务器。不仅延迟高达 300ms 以上，而且极易触发国内大厂的风控安全警告（异地登录拦截）。

3. 第三代：现代智能规则代理（Shadowrocket 体系）

为了彻底解决第二代全局 VPN 的“全量绕路”缺陷，以 Shadowrocket 为代表的第三代规则代理应运而生：

• 运行机理：基于苹果官方提供的 NetworkExtension 原生框架，在用户态接管系统层所有原始 IP 数据包；
• 智能分流引擎：数据包进入客户端后，小火箭并不盲目转发，而是通过本地内置的 Trie 字典树 与 GeoIP 数据库，对数据包的目标域名和 IP 进行纳秒级规则匹配；
• 双向协同优势：国内域名与大陆 IP 流量直接调用原生物理网卡直发（0 延迟、0 代理流量消耗）；境外国外受限请求则封装入现代加密隧道直达海外优质落地机房，实现了性能与体验的完美平衡。

Shadowrocket 底层工作机理深度拆解

结论先行：Shadowrocket 不是一个简单的流量转发器，而是一个集成了虚拟网卡驱动、轻量协议栈、本地 DNS 劫持防护与多层规则引擎的精密系统级网络中枢。

为了让读者透彻掌握其工作方式，以下展示一个数据包在 iPhone 内部穿透 Shadowrocket 的完整生命周期：

sequenceDiagram
    autonumber
    actor User as 用户应用 (Safari / 微信)
    participant Kernel as iOS 内核 (BSD Socket)
    participant UTUN as utun 虚拟网卡 (NetworkExtension)
    participant Engine as 小火箭 lwIP 协议栈 & 规则引擎
    participant Direct as 本地物理网卡 (5G/Wi-Fi 直连)
    participant ProxyServer as 境外专线服务器 (如光速云 IEPL)
    
    User->>Kernel: 发起网络请求 (如访问 www.baidu.com)
    Kernel->>UTUN: 路由策略将 IP 数据包引流至 utun 虚拟接口
    UTUN->>Engine: PacketTunnelProvider 读取原始二层/三层报文
    Engine->>Engine: 规则引擎嗅探域名与目标 IP，执行规则匹配
    
    alt 判定为大陆域名/国内 IP
        Engine->>Direct: 剥离代理封装，直接通过物理网卡本地发出 (直连 15ms)
        Direct-->>User: 毫秒级直连响应
    else 判定为海外加速目标 (如 Google / Netflix)
        Engine->>Engine: 采用 VLESS / Trojan 协议进行 TLS 1.3 现代加密
        Engine->>ProxyServer: 通过 IEPL 物理专线隧道发出 (0 丢包 / 25ms)
        ProxyServer-->>User: 高速跨境加速响应
    end

1. utun 虚拟网络接口与数据包接管

当您在小火箭主界面点击顶部的主开关时，iOS 系统的控制中心顶部会出现“VPN”图标。但在系统底层，小火箭调用的是苹果的 NEPacketTunnelProvider 接口：

• iOS 内核动态创建名为 utun3 或 utun4 的点对点虚拟网络通道；
• 系统的 IP 路由表被重定向，整机所有 TCP/UDP 数据报文被完整递交给小火箭进程的内存接收队列；
• 整个过程在 iOS 沙盒机制保护下运行，不会修改系统只读固件，安全可控。

2. 用户态网络协议栈 lwIP 的解包重组

收到的数据是原始的 IP 数据报（Raw IP Packets），小火箭在内存中运行了一套精简的 lwIP（Lightweight IP） 协议栈：

• lwIP 将原始数据包的 IP 头、TCP 握手包头进行逆向解析，提取出源端口、目标端口与应用层负载；
• 如果请求基于域名，小火箭会首先解析其目标主机名（SNI），用于在规则引擎中进行域名规则比对。

3. 本地 Fake-IP 机制与 DNS 防污染

在传统网络请求中，本地 DNS 解析极易遭遇运营商的 DNS 劫持与污染（返回错误的 IP 地址）：

• 小火箭支持 Fake-IP 模式：当客户端查询某个域名的 IP 时，小火箭并不立即向公网发出 DNS 请求，而是在本地从保留内网地址池（如 198.18.0.0/15）中即时分配一个虚拟 IP 并直接返回给应用程序；
• 应用程序随即向该虚拟 IP 建立 TCP 连接；
• 小火箭在收到该连接时，通过本地内存映射表反查出原始域名，将真实的 DNS 解析工作直接委托给远端境外的专线代理服务器去完成；
• 两大技术收益：1. 本地 DNS 查询往返耗时（通常 30–80ms）被直接缩减为 0ms；2. 彻底免除了本地网络环境对域名的 DNS 劫持风险。

工具与网络服务的本质解耦（“播放机 vs 蓝光光盘”模型）

结论先行：Shadowrocket 只是本地的无状态中立软件，本身不包含任何网络信道；网络服务商则是提供物理光纤与跨境落地的通信服务商，两者不可混为一谈。

对于所有初涉小火箭的新手而言，理解“客户端工具”与“网络节点服务”的解耦关系，是避免上当受骗的最重要一课。

flowchart LR
    subgraph ToolModel ["客户端工具 (Shadowrocket)"]
        Tool[小火箭 App] --> Role1[本地中立规则引擎]
        Tool --> Role2[协议加密与解密计算]
        Tool --> Role3[App Store 一次性买断 (约 $2.99)]
    end
    
    subgraph ServiceModel ["网络服务商 (如光速云 IEPL)"]
        Service[机场 / 网络服务商] --> SRole1[租用跨国内网物理光纤]
        SRole1 --> SRole2[维护境外落地住宅/机房 IP]
        SRole2 --> SRole3[周期性月付/季付流量带宽]
    end
    
    ToolModel -.->|导入订阅链接 (URL)| ServiceModel
    ServiceModel -.->|输出高速物理数据流| ToolModel

规则代理生态与视听娱乐设备的经典类比

正因为这种精细的技术分工：

• 苹果公司允许 Shadowrocket 在海外 App Store 合规上架，因为软件本身是一项中立的网络调试与规则管理工具；
• 用户在购买买断软件后，需要根据自己的预算和对速度的要求，自由选择心仪的第三方网络服务商（如本站实测推荐的 光速云），并将订阅链接一键导入小火箭中，方可构建完整的跨境加速网络闭环。

跨境网络传输介质全景通识：公网、中转与专线

结论先行：决定日常网络体验流畅度的根本瓶颈在于底层物理链路介质；IEPL 内网专线因享有独占物理光纤通道，是综合体验最完美的工业级标杆。

了解不同线路类型的物理特征，能帮助新手在琳琅满目的网络服务宣传中迅速看破真相：

flowchart TD
    Lines[跨境网络线路三大层级] --> L1[第一层级：普通公网直连]
    Lines --> L2[第二层级：国内 BGP 公网中转]
    Lines --> L3[第三层级：双向 IEPL 纯内网物理专线]
    
    L1 --> P1[依靠公共国际海缆 / 晚高峰丢包 30%+ / 极易断流]
    L2 --> P2[国内BGP汇聚 + 海外公网中继 / 白天良好 / 晚高峰有抖动]
    L3 --> P3[全封闭跨境内网光纤 / 晚高峰 0 丢包 / 25ms 恒定延迟]
    
    L3 --> Winner[高端标杆推荐：光速云 (GuangSuYun)]

三大线路技术参数全景横向对照表

这也是为什么我们在全站评测中，始终将 光速云（Rank 1 顶级服务商） 置于首推位置的核心原因。其全线节点均采用真实双向 IEPL 纯内网专线 架构，晚高峰不仅丢包率为 0%，华南到香港延迟更是固定在 25ms 极值，搭配正版 Shadowrocket 可发挥出极致的硬件转发效能（结账使用专属优惠码 AMM 享受折扣）。

新手安全素养、隐私保护与法律合规底线

结论先行：网络工具是一把双刃剑，恪守安全红线、警惕黑产蜜罐陷阱、严格遵纪守法，是技术探索得以持续长青的前提。

在享受顺畅网络的同时，新手用户必须树立严密的网络安全防范意识：

1. 警惕“免费公共节点”的蜜罐（Honeypot）威胁模型

在网络论坛或 Telegram 频道中，常有匿名账号散播所谓“小火箭免费白嫖节点订阅”：

• 黑产运作内幕：搭建服务器需要持续的电力与带宽成本，世上没有免费的午餐。大量免费节点的搭建者是不法黑客或地下流量商；
• 中间人抓包威胁：由于所有流量均汇聚于该免费服务器，黑客可以在服务端开启全量抓包程序（如 tcpdump 或 Wireshark），对未加密的流量进行关键词提取；
• 凭据泄露风险：用户登录各类平台时传输的 Cookie、Session Token、设备软硬件指纹甚至明文账号密码极易被完整截获并转卖变现。因此，坚决抵制任何来历不明的免费节点。

2. 本地根证书信任（MITM）的安全边界

在 Shadowrocket 的【配置】高级设置中，有一项名为【HTTPS 解密】（MITM）的功能：

• 该功能需要用户在 iOS 系统中手动安装并完全信任一个自定义的根证书（Root Certificate Authority）；
• 安全警戒：该功能属于面向专业开发者的抓包与广告重写工具。除非您完全理解其运作原理且该证书是您在手机本地自主生成的，绝对不可安装并信任任何第三方网页直接分发给您的描述文件或根证书！一旦信任了恶意根证书，攻击者便可以在网络中解密您所有的银行与支付通信，造成灾难性后果。

3. 法律合规底线

本站所有技术文章与使用指南，严格秉承中立的计算机科学研究与网络工程探讨态度：

• 读者使用网络代理工具，必须严格遵守所在国家与地区的法律法规；
• 仅可用于正规学术科研论文查阅、全球软件开源协作、跨国合规商务联络以及健康合法的流媒体娱乐体验；
• 严禁将网络代理工具用于任何侵犯知识产权、传播不良有害信息、侵入他人计算机系统或违背公序良俗的非法行为。

常见问题解答

为什么在小火箭里把模式改成“代理”后，国内很多 App 就打不开了？

因为“代理”（Proxy）模式相当于传统的全局 VPN，会强制将所有流量（包括百度、微信、网易云音乐）全部导向境外的代理节点。许多国内应用出于版权合规或反欺诈风控机制，会自动检测并封锁来自境外的非大陆 IP。请务必将全局路由模式切回默认的【配置】（Config）模式。

小火箭里的“直连”、“代理”、“拒绝”三个规则动作分别是什么意思？

1. 直连（DIRECT）：数据包不经过任何代理服务器，直接使用手机当前本地网络发出（适合国内网站）；
2. 代理（PROXY）：数据包通过选中的境外加速节点加密转发发出（适合海外受限服务）；
3. 拒绝（REJECT）：数据包被小火箭在本地直接丢弃中断（通常用于拦截已知的广告跟踪器与恶意弹窗）。

什么是 GEOIP 规则？它在小火箭里是怎么生效的？

GEOIP 规则是指基于 MaxMind 等全球 IP 地理位置数据库进行分流的规则（如 GEOIP, CN, DIRECT）。当您访问某个目标网站且该网站的域名未命中任何先验规则时，小火箭会检查解析出的目标 IP 地址是否属于中国大陆（CN），如果是，则自动匹配直连策略，确保未知国内小众网站也不会误走代理。

为什么连接了节点后，我的手机时间有时会自动跳变？

这是因为部分海外落地节点的系统时区与国内存在时差，若您在 iPhone【设置】→【通用】→【日期与时间】中开启了“自动设置”，系统可能会根据某些基于 IP 定位的网络接口微调时区。关闭该选项保持手动设置“北京时间”即可。

可以在同一台 iPhone 上同时开启小火箭和其他代理软件吗？

不可以。iOS 系统同一时刻只允许一个 App 独占 NetworkExtension 的虚拟网卡通道。开启另一个代理软件时，系统会自动强行断开并接管前一个应用的连接。

什么是 UDP 转发？玩外服游戏必须开启吗？

UDP 是一种无连接的快速传输协议，广泛用于在线即时游戏数据包同步与语音通话（如 Discord）。如果节点不支持 UDP 转发，连接该节点打游戏可能会出现无法加入房间或语音无法连接的问题。优质专线服务商（如光速云）全节点原生支持高速 UDP 转发。

为什么在不同 Wi-Fi 下小火箭的测速延迟相差很大？

因为您的端到端延迟包含“手机到路由器”以及“路由器到本地运营商机房”的物理链路耗时。如果您连接的 Wi-Fi 信号微弱、频段拥挤（如老旧的 2.4GHz Wi-Fi），空口丢包和重传会显著拉高测速延迟；切换至信道纯净的 5GHz Wi-Fi 或 5G 蜂窝网络通常延迟最低。

小火箭支持导入自建的 VPS 节点吗？

完全支持。无论您是自建的 VLESS、Trojan、Shadowsocks 还是 Hysteria2 单独节点，均可直接通过复制节点链接或扫描二维码的方式手动添加进小火箭列表中。

什么是分流规则集（Remote Rule Sets）？

规则集是由开源技术社区维护的高精度分流名单（如针对 Apple 服务直连、针对 Google 走代理、针对广告全量拦截的规则集合）。小火箭支持配置远程规则集 URL，并会周期性自动在后台静默更新，免除用户手动维护数万条域名的繁琐工作。

如何判断当前网络是否发生了 DNS 泄露？

可以访问专业的第三方检测站点（如 dnsleaktest.com）执行 Extended Test。若检测出的所有 DNS 服务器 IP 全部位于节点所在的境外地区（如香港、日本），未出现国内电信或联通的 DNS IP，即证明 DNS 处于完全安全的防护状态。