Trojan 协议科普:Shadowrocket 添加 Trojan 节点时的参数填写要点

Trojan 的工作方式：TLS 与密码分别负责什么

Shadowrocket（小火箭）是 Apple 平台上的付费客户端。本文讨论的是用户已有配置的填写与验证，不提供、不销售、不推荐节点、订阅或连接服务。客户端购买与连接服务相互独立，购买应用不会自动获得可用的服务器地址和密码。

常规 Trojan 连接先通过 TLS 建立加密通道，再在通道内发送身份验证信息和代理请求。TLS 负责保护传输内容，并通过证书核对服务器身份；Trojan 密码负责让服务端识别获准使用该连接的用户。这两个环节不能互相替代：密码正确不代表证书可以忽略，证书有效也不代表密码一定正确。

Trojan 并不等于“只要填一个域名就能连接”。服务端可以使用不同端口，也可能要求特定传输方式。若已有配置额外给出 WebSocket、Host 或 Path，应完整保留对应设置；不要因为 Type 都是 Trojan，就把这些字段恢复成另一条连接的值。

参数对照：Address、Port、Password 与 SNI

填写前先取得一组完整且彼此对应的参数。不要把甲条连接的地址、乙条连接的密码和另一份配置的 SNI 拼在一起。下表中的域名与端口仅说明字段格式，不是可连接的服务信息。

Address 决定向哪里发起网络连接，Port 决定访问该主机的哪个监听入口。Password 则是服务端提供的协议凭据，不必强行套用 UUID 格式。复制密码后可以核对字符数量和首尾字符，但不要把完整密码贴进公开求助内容。

添加步骤：从 Home 保存一条 Trojan 连接

以下步骤以手动填写为例。若用户已有订阅导入后的条目，优先对照原始参数检查，不必再次手动创建重复条目。订阅管理与单条连接编辑不是同一件事；修改本地条目后，后续订阅更新可能重新生成对应内容。

1. 准备参数

   整理已有配置中的地址、端口、密码、SNI 与传输要求。先确认这些参数属于同一条 Trojan 连接，再开始填写。

2. 选择协议

   打开 Home → 右上角「+」→ Type → Trojan。选定 Type 后，再填写该类型对应的字段，避免保留错误类型下的默认值。

3. 填连接信息

   依次填写 Address、Port、Password。地址栏只放主机信息，端口栏只放数字，密码按原值复制，不自行进行编码或添加引号。

4. 核对 TLS

   检查 TLS 相关设置中的 SNI 与 Allow Insecure。SNI 使用已有配置指定的名称；通常保留证书验证，并核对额外传输字段。

5. 保存并验证

   保存后回到 Home，选中刚添加的条目，再开启连接。首次使用时按系统提示允许添加 VPN 配置，然后用正常网页请求验证，不以开关状态代替连通性检查。

验证前还应检查 Home → Global Routing。Proxy 便于暂时排除 Config 中分流规则的影响；Direct 不用于验证所选 Trojan 的代理转发；Config 会根据当前配置的规则决定请求去向；Scene 则需结合已设置的场景检查。测试结束后恢复日常使用的姿态，避免把一次排查用的设置长期保留下来。

SNI 与证书：连接地址不同不一定是错误

SNI 是 TLS 握手中发送的服务器名称，可用于服务端选择证书或对应的虚拟主机。常规配置通常让 SNI 与证书覆盖的域名相符。Address 与 SNI 经常相同，但二者用途不同，不能仅因它们不同就擅自改成一致。

例如，已有配置可能指定 Address 为某个 IP 地址，同时要求 SNI 使用证书对应的域名。此时客户端向 IP 地址连接，并在 TLS 握手中使用指定名称。反过来，随意填写一个与服务端证书无关的域名，也不会让证书验证自动通过。

• 名称匹配：检查 SNI 是否拼写正确、是否被证书的有效名称覆盖；不要把网页完整 URL 填进此处。
• 有效时间：证书过期、尚未生效或设备日期明显错误，都可能导致验证失败。先核对设备系统时间。
• 信任链：名称正确不代表证书链完整。服务端证书链异常需要由配置维护方核查，改密码无法修复。
• 空值处理：没有提供 SNI 时，先核对原始配置的说明，不要猜测其他域名，也不要假定留空适用于所有连接。

如果同一份配置包含 WebSocket 的 Host 与 TLS 的 SNI，也应分别核对。前者属于 HTTP 请求相关信息，后者属于 TLS 握手，两者可能相同，但不是同一个字段。不要为了“看起来统一”而同时覆盖它们。

Allow Insecure：不要用跳过验证掩盖故障

Allow Insecure 通常用于允许不满足正常证书验证要求的 TLS 连接。开启后，即使流量仍可能经过加密，也不能把它等同于已经可靠确认服务器身份。加密与身份验证是两个要求，缺少后者会削弱对中间人干预的防护。

排查时每次只修改一个字段，并记下原值。若同时更改 SNI、端口、密码与 Allow Insecure，即使随后可以访问，也无法确定真正原因。尤其不要把某条异常连接上的设置复制给所有 Trojan 条目。

• 端口不通：先核对 Address、Port 与当前网络可达性，证书开关不会让未监听的端口开始工作。
• 密码不符：向原始配置核对 Password，放宽 TLS 验证不会改变服务端的身份验证结果。
• 证书不符：核对名称、时间与证书链，保留错误线索供配置维护方定位。

连接失败排查：按故障层次逐项缩小范围

Home 显示连接已开启，只能说明本地连接流程已经启动，不能单独证明远端 Trojan 验证成功，也不能证明当前网页正在通过该条连接。先确认选中了正确条目，再结合错误信息与实际请求判断。下表是排查方向，不是对每一种错误的唯一解释。

在 Config 下，某个网站可能被 DOMAIN-SUFFIX 等域名规则指定为 DIRECT，也可能命中 IP-CIDR、GEOIP 或末尾的 FINAL 策略。因此，“该网站仍走直连”不能直接归因于 Trojan 参数错误。应先核对实际策略，再决定是否调整连接参数；规则问题与协议问题分开处理。

提交排查信息时，说明当前网络、所选 Global Routing 姿态、错误文字以及更改过的字段即可。遮去 Password、订阅链接中的令牌和其他个人连接凭据；截图或复制日志前也应检查这些内容。

常见问题：参数保存后仍需确认什么