Shadowrocket Trojan 节点填写说明:密码、SNI 与 TLS 参数逐项解释

本文速览

本文适合已经持有自己服务商提供的 Trojan 配置、准备在 Shadowrocket（小火箭）中手动核对参数的用户。按连接地址、端口、Password、SNI 与 TLS 验证顺序检查，可以区分连接超时、证书错误和认证失败。下文的 example.com 仅用于说明字段结构，不是可用连接地址；本站不提供、不销售、不推荐节点或订阅。

一、Trojan 连接中，TLS 与密码分别负责什么

Trojan 使用 TLS 保护客户端与服务器之间的通信，并在加密连接内完成协议认证。填写时需要分清两个问题：TLS 要核对所连接服务器的身份，Password 则用于服务器验证连接请求是否获准。密码正确不能弥补证书身份不匹配，关闭证书验证也不能修正错误密码。

一次连接通常先经过域名解析、建立 TCP 连接、TLS 握手，再进入 Trojan 认证与目标访问。前一步失败，后一步就没有机会完成。因此，出现超时时先检查地址与端口；出现明确的证书错误时先检查 SNI、证书及系统时间，而不是反复重填密码。

443

常见 TLS 服务端口，不是所有 Trojan 配置的固定端口

1–65535

可填写的服务端口范围，实际值必须与服务端一致

2 类

分别核对 TLS 服务器身份与 Trojan 密码认证

结论：按失败阶段修改对应字段

端口不可达时先核对 Address 与 Port；证书校验失败时检查 SNI 与系统时间。不要同时更改多个字段，否则一次成功也无法说明原来是哪项出错。

二、从 Home → Add Server 添加 Trojan

手动填写前，先准备原始配置中的服务器地址、端口、密码、证书对应域名，以及服务端明确要求的传输参数。若用户已有订阅导入记录，优先对照该记录核验；不要仅凭节点名称中的地区或协议缩写推断参数。

打开添加页

进入 Home，点右上角“+”打开 Add Server。新建一条便于辨认的测试记录，保留已有配置，以免排查时丢失原始参数。
选择协议

进入 Type，选择 Trojan，再返回 Add Server。协议类型必须与服务端一致，不能把其他协议的密码或标识直接填入 Trojan。
填写入口

按原始配置填写 Address 与 Port。Address 只写主机名或 IP，Port 单独填写数字；不要把整条分享链接粘进 Address。
核对认证

填写 Password 与 SNI，保持 TLS 证书验证启用。若配置还指定了传输方式或其他 TLS 参数，按原始说明逐项核对，不额外猜填。
保存并测试

保存后回到 Home，选择刚创建的记录并连接。先确认该记录能够建立连接，再检查 Global Routing 对实际访问的影响。

Home 主要用于选择连接记录与控制连接，Config 用于管理规则配置，Settings 用于应用设置。修改 Config 中的分流规则并不会自动修复 Home 内记录的错误密码；两处问题应分别验证。

三、Address、Port 与 Password 的填写边界

Address 决定连接入口。域名形式需要先完成 DNS 解析，IP 形式则直接使用该地址建立连接。Port 决定访问该入口上的哪一个服务；即使地址正确，端口填错也可能得到超时、拒绝连接，或连到并非 Trojan 的服务。

字段	填写方式	常见错误
Type	选择 `Trojan`	根据名称猜选协议，而未核对原始配置。
Address	填写主机名，如 `edge.example.com`，或原始配置指定的 IP。	多带 `https://`、路径、空格，或把端口一并粘入。
Port	填写服务端指定的数字，例如 `443`。	把常见端口当默认答案，覆盖原始配置中的其他端口。
Password	逐字复制原始密码，保留大小写和符号。	误用账户登录密码、漏掉末尾字符，或带入换行。
SNI	填写配置指定的 TLS 服务器名称，如 `tls.example.com`。	写成完整 URL、附加端口，或使用与证书无关的域名。

Password 不需要自行转换

Password 是服务端设置的认证秘密，不是随意生成的备注，也不是必须为某种固定格式的标识。手动填写时使用服务商给出的原始密码，不自行计算摘要、不再次编码。若只持有分享链接，应使用应用支持的导入方式读取字段，而不是从链接中截取一段后直接猜填。

复制后检查开头和结尾，尤其是换行、空格与容易混淆的字符。
密码包含特殊符号时，区分链接中的转义表示与实际字段值；不要把两者混为一谈。
不要在截图、反馈文本或公开日志中保留完整密码、订阅令牌等敏感内容。

四、SNI 与证书：入口地址可以不同，身份必须可验证

SNI 是 TLS 的 Server Name Indication 扩展，客户端在握手时用它告知服务器希望访问的名称。一个入口可以承载多个 TLS 站点，服务端据此选择相应证书或处理路径。因此，Address 与 SNI 在某些配置中相同，在另一些配置中可以不同；不能仅因为两栏不一致就擅自改成相同值。

例如，原始配置指定一个 IP 作为 Address，同时指定 tls.example.com 作为 SNI，含义是向该 IP 建立连接，并在 TLS 握手中使用指定名称。这里的域名必须与服务端配置相符，证书也应能通过相应的名称和信任链校验。任意换成一个常见网站域名，不会让证书自动变得有效。

格式：SNI 填主机名，不写 https://、:443 或 /path。
名称：核对证书的 Subject Alternative Name 是否覆盖期望的服务名称；不要只看证书显示的组织名称。
时间：在 iPhone 的“设置 → 通用 → 日期与时间”检查时间是否准确；日期错误可能导致证书被判定尚未生效或已过期。
空值：原始配置未写 SNI 时，先确认服务端期望的名称及应用对空值的处理，不用无关域名试填。

SNI 本身不是密码，也不能单独证明服务器可信。传统 TLS 中的 SNI 通常不具备独立的保密性，不能把填写 SNI 理解成额外一层身份认证。TLS 的身份保证依赖完整的证书验证；如果服务端证书已过期或证书链不完整，应由服务端修复。

五、TLS 与 Allow Insecure：保留验证，不用开关掩盖错误

Trojan 的基础设计依赖 TLS。填写时不要将 TLS 当成提高速度的附加选项，也不要为尝试连接而关闭它。若界面提供 TLS 版本、ALPN 或传输方式等选项，先保留默认值，只有原始配置明确要求时才调整。客户端与服务端必须有共同支持的参数；多填不一定比留默认更兼容。

Allow Insecure 常被理解为“允许不安全”，它涉及放宽服务器证书验证，不是打开某种兼容协议。证书检查被绕过后，即使流量仍经过加密，客户端对服务器身份的确认也会受到削弱。它不能解决地址错误、端口被阻断或密码错误。

Allow Insecure 关闭

Allow Insecure 开启

放宽证书验证会削弱服务器身份校验。若现有配置开启此项，应先确认原因并取得可正常验证的配置，而不是把该状态当作通用修复方法。

适合：识别已有配置的安全状态，不作为日常故障处理方案。

若服务端额外使用 WebSocket 等传输封装，还需核对其对应参数。WebSocket 的 Host、Path 与 TLS 的 SNI 分属不同层，不应机械复制为同一个值。本文的基础字段不能替代服务端对这些额外参数的明确说明。

六、按报错现象排查，不把延迟当作完整验证

延迟测试结果只反映对应测试方式能否得到响应。TCP 层能够建立连接，不等于 Trojan 密码已经通过验证；某次测试显示数值，也不等于目标网站必定能访问。排查时记录测试方式、网络环境、错误文本与发生阶段，再做单项修改。

一直超时，是不是密码错了？

不一定。先回到 Home 打开该记录，逐项核对 Address 与 Port，再分别在 Wi-Fi 和蜂窝网络下测试。若两种网络都无法建立底层连接，优先确认入口可达性与服务状态；不要仅凭 timeout 判断 Password 错误。

提示证书名称不匹配，改哪个字段？

核对 Add Server 内的 SNI 是否与原始配置一致，检查是否误带协议头或端口。随后确认服务端证书覆盖该名称；若证书本身不符，应联系自己的服务商修正，而非开启 Allow Insecure。

延迟有数字，为什么网页打不开？

先确认 Home 选中的是待测记录。再检查 Global Routing：Direct 不用于验证代理链路；可临时选择 Proxy 做对照，测试后恢复原设置。若 Proxy 可用而 Config 不可用，再检查 Config 中的规则及策略选择。

更新订阅后，手动改的参数又变了？

订阅更新可能按远端内容重建记录。重新核对更新后的 Address、Port、SNI 与 Password；需要对照测试时另建一条手动记录，不把临时修改当成长期修复。正确参数应同步修正到用户已有订阅的数据来源。

若底层连接和 TLS 均通过，但随后出现认证失败或立即断开，再检查 Password、服务端账户状态与传输方式是否一致。具体报错受服务端实现影响，不能仅凭“断开”两个字认定密码失效。提交问题时保留错误描述，隐藏密码、订阅链接、完整入口及其他可识别信息。

七、保存前后的最终核对清单

参数核对完成后，先验证一条连接，再回到正常分流配置。Global Routing 的 Proxy、Direct、Config、Scene 是不同路由姿态，不是不同的 Trojan 加密方式；切换姿态不会改变记录中的 SNI 或密码。使用 Scene 时还需核对当前场景的实际设置，避免把场景切换造成的变化误认为协议故障。

入口一致：Address 没有额外前缀与路径，Port 与原始配置逐字一致。
认证一致：Password 未被重新编码，也没有带入空格或换行。
TLS 可验证：SNI 来源明确，证书名称与有效期正常，Allow Insecure 保持关闭。
记录选对：Home 当前选中的是刚测试的记录，而非名称相似的其他记录。
规则恢复：临时测试后恢复 Global Routing；使用 Config 时核对实际命中的策略。
订阅可维护：如参数来自用户已有订阅，确认下一次更新仍能获得正确配置。

Shadowrocket 是 Apple 平台上的闭源商业应用，以 iPhone、iPad 使用为主，唯一获取入口是 App Store，采用一次性买断。客户端买断 ≠ 线路套餐；购买应用不包含连接服务。系统要求及是否通用购买，以 App Store 页面标注为准。准备安装时，先通过正版核验页确认开发者 Shadow Launch Technology Limited、官方图标及应用 ID 932747118。