本文详解 Shadowrocket 证书安装步骤，剖析 TUN 模式与分流规则，解决 HTTPS 拦截失败问题,满足跨境办公需求。
核心前置：为何必须安装证书
在配置 Shadowrocket 证书安装步骤 之前，需明确其技术原理，该工具通过本地构建 HTTPS 代理拦截流量，若未信任根证书，系统将拒绝解密加密数据包，导致 YouTube、Google 等 HTTPS 站点无法加载或频繁报错，仅开启代理开关而不安装证书，相当于只修了路却没装红绿灯,流量无法正确转发。
详细操作流程：iOS 端证书部署
针对 iPhone 与 iPad 用户，请严格遵循以下 Shadowrocket 证书安装步骤,确保环境纯净可用：
-
启动应用并生成证书 打开 Shadowrocket，点击首页右上角的“设置”图标（齿轮状），找到"HTTPS 解密”或“安装证书”选项，点击后，系统会弹出描述文件下载提示，选择“允许”。
-
系统级描述文件安装 进入 iOS“设置” > “已下载的描述文件”，点击刚才生成的 Shadowrocket 证书文件，点击右上角“安装”，输入锁屏密码确认，此时证书仅被下载,尚未被系统信任。
-
启用完全信任（关键步骤） 许多用户在此步遗漏，导致代理无效，进入“设置” > “通用” > “关于本机” > “证书信任设置”，在“针对根证书启用完全信任”列表中，找到 Shadowrocket 对应的证书名,将开关拨至绿色开启状态。
-
验证与模式切换 返回 Shadowrocket 主界面，确保"HTTPS 解密”开关已打开，若需接管游戏或 UDP 流量，建议同时开启"TUN 模式”，这将绕过系统代理限制,实现全流量接管。
进阶配置：TUN 模式与分流规则
完成 Shadowrocket 证书安装步骤 后,理解流量走向至关重要。
- 系统代理 vs TUN 模式：默认的系统代理仅处理 HTTP/HTTPS 流量，无法覆盖 UDP 协议（如 Telegram 语音、部分游戏），开启 TUN 模式后，应用会在本地创建虚拟网卡，强制接管所有进出流量，包括 DNS 请求，彻底防止 DNS 污染。
- 分流规则逻辑：高效的节点利用依赖于精准的分流，YAML 配置中常见规则如下：
rules: - DOMAIN-SUFFIX,google.com,PROXY # 谷歌全家桶走代理 - DOMAIN-KEYWORD,netflix,PROXY # 包含 netflix 字符走代理 - IP-CIDR,192.168.0.0/16,DIRECT # 局域网直连 - GEOIP,CN,DIRECT # 国内 IP 直连 - MATCH,PROXY # 剩余流量全部代理
优先级从上至下，一旦匹配即停止,合理配置可避免国内视频走海外节点导致的卡顿。
对于追求极致稳定的用户，优质的节点订阅是基础，普通免费节点常出现高延迟或 IP 被封禁，而专为 跨境办公需求 设计的专线节点，能提供低延迟、高带宽的连接体验,确保视频会议与学术资源访问流畅无阻。
常见故障排查 (FAQ)
现象：安装证书后，Safari 仍提示“连接不安全”。 原因：未完成“证书信任设置”中的手动开启步骤，或系统时间不准确。 解决方法：检查“关于本机”中的信任开关,并校准系统时间为自动同步。
现象：开启代理后，微信图片无法加载。 原因：微信部分流量走 UDP 协议，普通系统代理模式无法处理。 解决方法：在 Shadowrocket 中开启"TUN 模式”或"Enhanced 模式”，强制接管 UDP 流量。
现象：证书安装按钮灰色不可点。 原因：配置文件未加载或应用权限受限。 解决方法：先导入有效的订阅链接或节点配置,重启应用后再尝试安装。
正确执行 Shadowrocket 证书安装步骤 是实现稳定国际网络加速的基石，配合科学的 TUN 模式设置与精细化的分流规则，可最大化发挥客户端性能，若您当前使用的节点频繁掉线或延迟过高，建议评估订阅源质量，选择针对流媒体与办公场景优化的服务,以保障网络环境的持续可用。
