Surge iOS 配置指南：从订阅导入到模块化分流，把网络工具箱用明白
Surge 和大多数代理客户端不太一样。小火箭、Streisand 这些工具的目标是“让流量走代理”，而 Surge 的目标是“让你掌控设备上的每一条网络连接”。前者关注连通性，后者关注控制力。
这种定位差异在价格上也能看出来。Surge iOS Pro 售价 $49.99，附赠一年功能更新订阅，续订价格为 $14.99/年。不续订也不影响已解锁功能的终身使用[reference:0]。它不便宜，但如果你需要的是精细到“某条规则匹配某个域名走某个策略组”的控制力，这个价格对应的是一套完整的网络调试工具箱，而不是一个简单的代理开关[reference:1]。
这篇文章不打算从“第一步点哪里”开始讲。Surge 的配置逻辑有其内在结构，先理解它，后面的操作会顺畅很多。
先理解 Surge 在做什么：它不是代理客户端，是网络中间人
Surge 在 iOS 上的工作流程可以拆成四个环节：接管、处理、转发、拦截[reference:2]。
接管是指 Surge 通过 TUN 虚拟网卡或系统代理的方式，把设备上所有应用的网络请求“截”下来。这也是它和普通代理客户端最大的区别——Surge 不需要你逐个应用去设置代理，它直接在系统层面接管流量。
处理是指对截获的请求进行修改，比如 URL 重定向、本地文件映射、JavaScript 脚本处理等。
转发则是根据规则系统，决定这条请求走哪个出口策略。规则按顺序自上而下匹配，命中即停止。最末尾一定是 FINAL 规则兜底[reference:3]。
拦截是 Surge 最独特的能力——它可以记录和分析经过的请求，配合 MITM 证书解密 HTTPS 流量，让你看到每个应用到底在发什么请求。
理解这四个环节之后，下面所有配置操作都会变得有据可循：订阅解决的是“转发到哪”，模块解决的是“怎么处理”，策略组解决的是“转发时选哪条路”。
订阅导入：推荐用“外置策略组”模式
Surge 的订阅导入有三种模式，选择哪种直接影响你后续的配置自由度[reference:4]。
托管配置是最简单的模式。服务商提供一份完整的 Surge 配置文件，导入后所有设置和规则都由服务商预设并负责维护。缺点是用户无法在本地直接修改其中的设置与规则，只能被动接受服务商的配置方案。
关联配置是托管配置的改良版。它以托管配置为基础，创建一个可供编辑的本地副本，部分配置段（如 [Proxy] 和 [Proxy Group]）持续跟踪托管配置的变化，其他段（如通用设置、规则等）则由本地自行控制。这种模式在“自动更新”和“本地修改”之间取得了平衡，适合大多数用户。
外置策略组是 Surge 进阶用户最推荐的方式。它允许你完全自主控制配置文件，利用外部资源实现高度灵活的定制。配置方法是在 [Proxy Group] 段中使用 policy-path 参数引用服务商的订阅链接：
[Proxy Group]
Airport = select, policy-path=https://你的订阅链接/surge.conf
policy-path 对应的 URL 可以是一个纯代理策略列表（每行为一个代理策略声明的文本文件），也可以是一个完整的 Surge 配置文件，Surge 会自动提取其中的 [Proxy] 段内容[reference:5]。
隐速VPN 的 Surge 订阅链接可以在用户中心找到。如果你还没有账户，可以先去套餐页面看看，从轻量套餐或基础套餐起步。具体操作时，在 Safari 浏览器登录个人中心，找到“一键订阅”按钮，选择“导入到 Surge”即可自动跳转并完成配置[reference:6]。如果一键导入没有反应，也可以复制订阅地址，在 Surge 中手动添加。
模块系统：Surge 真正的差异化能力
模块是 Surge 最独特的功能之一。一个模块（.sgmodule 文件）本质上是一组设置的集合，它可以覆盖当前配置文件的部分内容，优先级高于主配置文件[reference:7]。
模块能做什么？它可以修改 General 和 MITM 段落的设置，可以向规则列表顶部插入规则行，可以添加 WireGuard 策略配置，可以启用内置的 MTProto 代理或 Snell 服务器[reference:8]。简单说，模块让你在不修改主配置文件的情况下，叠加各种功能增强。
安装模块的步骤：
第一步，开启必要开关。在 Surge 首页找到 HTTP Rewrite、MITM、Scripting 三个开关并全部打开[reference:9]。
第二步，配置 MITM 证书。点击 MITM 下方的 “Configure CA”，如果服务商提供了托管服务，你可能会看到一张已经生成好的证书；如果没有，点击按钮生成新的证书[reference:10]。
第三步，安装证书到系统。点击 “Install CA Certificate to System”，按照 Surge 的提示操作——它会下载并安装一个配置文件，安装完成后需要进入 iOS 的“设置 > 通用 > 关于本机 > 证书信任设置”，为刚安装的证书开启完全信任[reference:11]。
第四步，安装模块。点击 “Modules” 按钮，选择 “Install Modules”，粘贴 .sgmodule 文件的 GitHub Raw 链接，确认安装后确保模块左侧出现对勾，表示已启用[reference:12]。
社区里有一些维护得不错的模块仓库，涵盖了 YouTube 去广告、应用内广告过滤等功能。安装模块后，可以在隐速VPN博客查看我们整理的节点选型建议，把不同用途的流量指向最合适的节点。如果你对节点质量有疑问，常见问题页面里也有其他用户的反馈可以参考。
策略组调优：让流量自动找到最优线路
策略组是 Surge 流量调度的核心。一个策略组包含多个策略，对外暴露为一个策略名，规则可以直接引用这个组名。这样你只需要切换策略组的选择，所有引用该组的规则就会自动跟着变[reference:13]。
Surge 的策略组类型各有侧重[reference:14]：
- select：手动选择，适合需要固定出口 IP 的场景
- url-test：自动测速选延迟最低的，适合日常使用
- fallback：按声明顺序选第一个可用的，适合有主备节点的情况
- smart：根据历史连接质量动态选择，Surge 特有的智能调度
一个实用的配置思路是按地区划分线路。先建立一个隐藏的总资源池策略组导入所有节点，然后建立多个子策略组利用正则过滤筛选特定地区：
Airport-All = select, policy-path=https://你的订阅链接/surge.conf, hidden=true
Airport-US = smart, include-other-group=Airport-All, policy-regex-filter=美国
Airport-JP = smart, include-other-group=Airport-All, policy-regex-filter=日本
设成 smart 类型后，Surge 会自动测速并优选最佳线路，且当某条线路故障时，只要组内仍有可用线路，即可实现无感切换[reference:15]。之后在规则中直接引用 Airport-US 或 Airport-JP 指定地区即可。
如果你同时订阅了多个服务商，也可以通过 external-policy-name-prefix 参数为不同服务商的节点添加前缀，再统一按地区调度[reference:16]。如果你对小火箭的代理分组机制也有兴趣，可以参考我们之前写的 Shadowrocket 避坑指南，里面关于分组自动测速的逻辑和 Surge 有相通之处。
进阶玩法：Surge Ponte 和远程管理
Surge 有两个进阶功能值得了解，虽然不一定所有人都用得上，但它们代表了 Surge 和其他代理客户端拉开差距的地方。
Surge Ponte 是在 Surge Mac 和 iOS 设备之间建立私有网络的功能。始终端到端加密，设备信息和加密密钥通过 iCloud 同步，数据不经过任何第三方服务器[reference:17]。Surge iOS 只能作为 Ponte 客户端使用，需要配合 Surge Mac 作为服务端。典型用例是通过 Ponte 从 iOS 设备访问 Mac 上的文件共享服务，或者在家庭网络中作为跳板访问内网 NAS 等设备[reference:18]。
远程管理允许你从一台设备管理另一台设备上运行的 Surge。Surge 提供三种方式：外部控制器（功能最完整）、HTTP API（供脚本和自动化工具使用）、Web Dashboard（浏览器控制面板）[reference:19]。如果你在 Mac 上运行 Surge 作为网关，外出时可以通过 iPhone 远程切换策略组或查看请求日志。
这两个功能看起来小众，但对于有多设备协同需求或需要远程管理网络的用户来说，是 Surge 不可替代的价值。如果你对安卓端的分流配置也感兴趣，可以看看 Clash for Android 教程，对比理解不同平台的规则逻辑差异。
价格说明与常见问题
Surge iOS Pro 首次购买价格为 $49.99，包含自购买日起一年的功能更新订阅和终身使用权。一年后如果需要解锁新推出的功能，续订价格为 $14.99/年。订阅到期后，已解锁的功能仍然可以终身使用，只是无法获取后续新增的独立功能[reference:20]。
授权默认支持最多 3 台 iOS 设备。通过绑定 iCloud 账户，可以免费扩展至 6 台设备[reference:21]。
几个常见问题：
模块安装了但没生效。 检查模块左侧是否有对勾标记，确认 MITM 证书已在系统设置中开启完全信任，同时确保 Scripting 开关已打开。
订阅更新后策略组为空。 检查 policy-path 链接是否有效，确认订阅格式是 Surge 专用的（不是 Clash 或 V2ray 格式）。
部分网站打开异常。 检查 MITM 段是否拦截了不该拦截的域名，或者尝试临时关闭 MITM 和 Scripting 来缩小排查范围。
如果你在配置过程中遇到其他问题，可以访问常见问题页面，或者直接联系我们，客服会协助排查。Surge 订阅和配置我们会在用户中心提供，Shadowrocket 和 Clash 的订阅也在下载页面有对应的说明。