本文详解小火箭 HTTPS 解密配置流程，涵盖证书安装、TUN 模式切换及分流规则优化，助您稳定实现跨境办公与学术资源访问。
核心原理：为何需要 HTTPS 解密
在使用 Shadowrocket（俗称小火箭）进行国际网络加速时，部分应用出现连接重置或证书报错，往往是因为未正确开启 HTTPS 解密功能，该功能通过中间人（MITM）技术拦截并重新加密 HTTPS 流量，使客户端能够识别并代理加密数据，若配置不当，不仅无法加速，还会导致银行类应用无法登录，掌握小火箭 HTTPS 解密配置教程的关键，在于理解证书信任链与流量接管机制。
安装并信任根证书
配置解密的前提是设备信任客户端生成的根证书。
- 生成证书：打开 Shadowrocket，点击顶部"Config"旁的设置图标，进入"HTTPS Decryption"选项，开启开关，系统会提示下载配置文件或证书。
- 安装描述文件：前往 iOS 设置 -> 已下载的描述文件，点击安装"Shadowrocket Root Certificate"。
- 启用完全信任：这是最关键的一步，进入 设置 -> 通用 -> 关于本机 -> 证书信任设置，找到刚安装的证书，开启完全信任开关。
若跳过第三步,Safari 等浏览器仍会拦截流量，导致解密失败。
切换 TUN 模式与流量接管
仅开启解密不足以覆盖所有应用,需配合 TUN 模式。
- 系统代理模式：仅接管支持 HTTP/HTTPS 代理的应用（如 Safari、Chrome），部分硬编码拒绝代理的 App 在此模式下无法生效。
- TUN 模式：在虚拟网卡层面接管所有 TCP/UDP 流量，包含游戏、P2P 及系统级服务。
在 Shadowrocket 主界面开启"TUN"开关，所有流量均经过内核处理，结合 HTTPS 解密，可实现全应用覆盖，对于有跨境办公需求的用户，TUN 模式能确保会议软件与内部系统无缝连接。
优化分流规则与代理组
合理的规则能避免国内应用因解密导致的速度下降或报错。
代理组类型选择
- Select（手动选择）：适合需要固定 IP 的场景，如账号登录保护。
- URL-Test（自动测速）：自动连接延迟最低的节点，适合日常浏览。
- Fallback（故障转移）：主节点断开时自动切换备用，保障高可用性。
分流规则优先级
规则按顺序匹配,优先级从高到低：
DOMAIN：精确匹配域名（如DOMAIN,google.com）。DOMAIN-SUFFIX：匹配后缀（如DOMAIN-SUFFIX,google.com）。IP-CIDR：匹配 IP 段。GEOIP：基于地理位置数据库（如GEOIP,CN,DIRECT）。
建议在配置文件中将国内流量设为 DIRECT，避免不必要的解密开销，以下是一段典型的 YAML 规则片段：
rules: - DOMAIN-SUFFIX,cn,DIRECT - GEOIP,CN,DIRECT - MATCH,Proxy
常见故障排查 (FAQ)
现象：开启解密后，微信图片无法加载，银行 App 闪退。
原因：证书未完全信任，或规则将国内金融域名误判为需代理。
解决方法：检查“证书信任设置”是否开启；在规则列表顶部添加 DOMAIN-SUFFIX,bank.com,DIRECT 等排除规则。
现象：TUN 模式开启后网速变慢。 原因：设备性能不足或节点延迟过高。 解决方法：切换至 URL-Test 代理组自动优选低延迟节点，或关闭 UDP relay 功能。
节点选择与订阅建议
高效的 HTTPS 解密依赖于高质量的节点支撑，普通中转节点在高负载下易出现丢包，导致解密后的 TLS 握手超时，建议优先选择具备高带宽、低延迟特性的专线节点，特别是在进行 4K 视频流媒体播放或大文件传输时。
判断节点服务商是否靠谱,可观察其是否提供多协议支持（如 Vmess, Vless, Reality）以及订阅链接的更新频率，稳定的订阅源通常采用 Clash YAML 格式，便于直接导入小火箭进行精细化配置，若您的现有订阅在解密模式下表现不佳，可尝试使用 SubConverter 工具将通用链接转换为优化的 Clash 格式，剔除不稳定节点。
对于追求极致稳定性的用户,建议定期评估节点池质量，一套优质的小火箭 HTTPS 解密配置教程，必须搭配可靠的网络资源才能发挥最大效能，通过合理配置证书、TUN 模式及分流规则，结合高速节点，即可构建流畅、安全的国际网络访问环境，满足学术研究与全球化协作需求。
