在配置Shadowrocket分流观看Netflix或HBO时，核心操作是创建独立的Media策略组并将经过实际播放测试确认解锁的节点纳入其中，同时将Netflix的netflix.com、nflxvideo.net、nflxext.net、nflxso.net以及HBO的hbomax.com、hbo.com、warnerbros.com等核心域名以DOMAIN-SUFFIX规则形式全部指向该策略组，并确保这些规则在配置文件中位于GEOIP国内直连规则和任何泛匹配规则之前，避免视频数据请求因规则顺序错误被误判为直连而绕开代理通道。配置完成后用全局代理模式逐一测试候选节点的实际播放能力，确认能正常加载视频后再将其正式锁定至Media组中，并在Shadowrocket设置中开启UDP转发以提升视频流传输的稳定性。播放测试过程中开启连接日志，逐一核对日志中的域名匹配记录，一旦发现未被覆盖的CDN域名立即补充规则，做到所有与流媒体相关的请求统一走Media组。日常维护中定期刷新订阅并保持策略组内至少有两个可用解锁节点，当遇到播放报错时先在全局模式下验证节点解锁状态，若全局可播放则返回规则模式排查域名遗漏或顺序问题，若全局也无法播放则果断更换节点，将故障恢复时间控制在最短范围内。这套配置能够让Netflix和HBO的播放流量稳定锁定在专属代理通道上，避免与国内直连流量产生冲突，同时保持其他网站的访问速度和分流逻辑不受影响。
流媒体分流与普通网页分流的本质差异
普通网页分流仅需覆盖访问域名即可
在常规的代理配置中，用户访问一个网站时仅需将目标网站的域名匹配规则设置为代理策略，即可实现正常访问，因为网页内容通常通过单一的TCP连接从同一域名加载。Netflix和HBO这类流媒体平台则完全不同，其登录认证、页面渲染、视频数据传输和字幕加载分别由不同的独立域名和IP段承载，且视频数据通常使用专用的内容分发网络域名进行传输。普通网页的简易分流写法根本无法覆盖这些分布在多个子域名下的请求，导致用户能够打开Netflix的首页，但点击播放时却因视频流直连而无限缓冲或直接报错。
视频数据域名与页面域名的分离式架构设计
Netflix将用户界面资源托管于netflix.com域下，而实际的视频流数据则通过nflxvideo.net、nflxext.net等独立的CDN域名进行分发，这种分离设计旨在让界面加载和视频流传输互不干扰且分别优化。HBO Max同样将页面数据放在hbomax.com，视频流则通过warnerbros.com及一系列动态CDN地址提供。用户在配置分流时必须将这些视频数据域名与页面域名同时纳入代理规则，任何一条关键的CDN域名遗漏都会导致播放请求从本地直连发出，从而被平台直接阻断或被运营商限速降质，最终体现为转圈缓冲或低画质播放。
用户常用节点地理位置与平台区域锁定的矛盾
流媒体平台强制实施严格的地理区域锁定策略，用户的代理节点出口IP必须位于平台授权播放的地区内，否则平台会在登录或播放阶段直接返回地域限制错误码。当用户配置的分流规则未能将所有与平台相关的请求完整指向同一个地区的代理节点时，可能出现页面认证请求走美国节点而视频CDN请求因规则遗漏走直连或走香港节点的分裂状况，平台检测到IP归属地前后不一致便立即终止会话并要求用户切换网络。流媒体分流的本质不只是“把流量发往代理”，而是“把特定平台的所有关联域名稳定地导向同一地理位置的解锁节点”。
覆盖完整播放链路的必要域名清单
Netflix完整代理域名列表与各域名的功能定位
配置Netflix分流需要将netflix.com及其所有子域名、nflxvideo.net、nflxext.net、nflxso.net、nflxsearch.net等域名全部纳入代理规则，其中nflxvideo.net承担视频数据的实际传输承载任务，是确保播放流畅的核心域名；nflxext.net负责图片素材和UI资源的加载，遗漏将导致封面无法显示；nflxso.net用于服务端策略配置的同步，遗漏可能导致播放选项异常。用户应优先采用DOMAIN-SUFFIX规则类型以覆盖各域名的所有子级，并在单个规则中依次写入这些域名后缀，确保任何层级的子域名请求均能被成功匹配。
HBO Max关键域名的匹配与补充规则
HBO Max的域名体系相对集中，主访问域名为hbomax.com，视频流数据主要通过hbo.com和warnerbros.com域名下的特定路径分发，同时平台认证和订阅校验还依赖play.hbomax.com等子域。建议用户添加DOMAIN-SUFFIX规则将hbomax.com、hbo.com、warnerbros.com、max.com等全部指向代理策略，并补充一条DOMAIN-KEYWORD规则匹配含有hbo或max关键词的请求作为防遗漏的兜底。与Netflix不同，HBO Max对部分地区的CDN节点有特殊要求，用户需优先选择标注支持HBO解锁的节点。
通用CDN和DNS解析域名的辅助覆盖
除上述核心域名外，Netflix和HBO的播放器还会调用部分通用CDN域名如cloudfront.net、akamaized.net用于缓存加速，以及drm.license.global等用于数字版权管理的授权域名。虽然这些域名为多个平台共用且不能全盘代理以免影响国内访问，但用户可以在配置中为这些通用域名添加条件匹配，仅当子域名包含netflix或hbo特征时才触发代理策略。这类精细匹配能够在不破坏国内网站CDN调度的情况下，保障流媒体播放中的许可证校验和字幕文件加载不被直连中断。
在配置文件中创建专用流媒体策略组
独立创建Media策略组隔离流媒体与非流媒体流量
在配置文件的proxy-groups段落中，建议用户创建一个名为Media或Streaming的独立策略组，并将所有支持Netflix和HBO解锁的节点集中放置于该组内，选择手动选择作为组内选择策略以便在节点被平台封禁时快速切换。将该策略组与日常使用的通用策略组区分开来，使得流媒体流量在匹配规则后能精准落地到经过验证的解锁节点，而通用上网流量则继续使用延迟最低的常规节点，两组互不干扰。这种分离设计方便用户在发现某个解锁节点失效后，只调整Media组内的节点而不影响其他应用的网络行为。
策略组内的节点需经实际播放测试验证解锁能力
并非所有代理节点都能解锁Netflix或HBO，许多节点虽然延迟低且带宽大但其出口IP被平台标记为数据中心而直接拦截播放请求。用户在将节点放入Media策略组之前，需先通过全局代理模式逐一对候选节点进行实际的视频播放测试，确认能够正常加载并播放至少30秒视频后再正式加入策略组。播放测试过程中如果遇到“使用了代理”或“不在服务区域”的错误提示，说明该节点不具备解锁能力，不应纳入Media组，以免策略组切换时因选中无效节点而导致访问失败。
在规则列表中为Media策略组建立专用的路径覆盖
配置完策略组后，用户需要在配置文件的规则列表中添加一系列DOMAIN-SUFFIX规则，将前述所有Netflix和HBO域名直接指向Media策略组名称而非通用的PROXY关键字。这种精确到策略组的写法保证了流媒体流量不会因通用规则中的负载均衡逻辑被分配到不支持解锁的节点上，同时确保当Media组内的当前节点出现故障时，用户可以通过手动切换组内其他节点来快速恢复。指向策略组而非直接写PROXY也使得后续的节点更换更为灵活，只需调整策略组内部的节点列表而无需修改任何规则条目。
规则顺序与直连冲突的优先级调整
流媒体代理规则必须放置在国内直连规则之前
在Shadowrocket的规则引擎中，规则按照自上而下的顺序逐条匹配，一旦某个请求命中了GEOIP,CN,DIRECT这类国内IP直连规则，后续所有流媒体域名规则都不会再被评估。许多用户将Netflix域名规则写在配置文件的中部或尾部，而GEOIP,CN规则位于上方，导致Netflix请求在匹配到直连规则后直接走本地网络绕过代理，播放时因IP归属地不符而报错。用户应将所有流媒体域名规则整理并置于配置文件规则列表的最前部，紧跟特例规则之后，确保这些域名在进入任何地理判断逻辑之前就已被明确指向代理通道。
通配符泛匹配规则对流媒体域名的潜在威胁
某些配置文件中存在DOMAIN-SUFFIX,com,PROXY或DOMAIN-SUFFIX,net,PROXY这类过于宽泛的泛匹配规则，虽然意图是代理所有顶级域下的境外流量，但这类规则会错误地将国内网站的com域名也代理出去，且与流媒体规则产生无意义的顺序竞争。用户应删除或禁用这类泛匹配规则，改用更精确的域名后缀和GEOIP组合来实现分流，避免因泛规则提前匹配而打乱流媒体域名的专属路由路径。精简且精准的规则列表比冗长且宽泛的规则列表更可靠且更易维护。
将直连白名单放置在流媒体规则之后确保内网不受影响
为了保证内网设备和管理页面的正常访问，用户应将局域网IP段的直连规则放置在流媒体规则之后而非之前，因为内网地址与流媒体域名不会混淆，放置顺序不影响流媒体匹配。当所有代理规则判断完成后，再将IP-CIDR,192.168.0.0/16,DIRECT、IP-CIDR,10.0.0.0/8,DIRECT等内网规则放置在规则列表的尾部作为兜底直连条件，确保任何未被代理规则匹配且目标为内网地址的请求始终走直连通道。这种顺序安排既满足了流媒体域名的优先代理，又保障了局域网服务的正常连通。
节点解锁能力验证与UDP转发的协同
使用全局代理模式快速测试节点的Netflix可用性
在规则模式出现播放问题时，用户应将全局路由临时切换至代理模式，强制所有流量经由当前选中的节点发出，然后打开Netflix应用尝试播放任意视频。如果全局模式下视频能够正常播放，则说明该节点本身具备解锁能力，问题出在分流规则的覆盖范围或顺序上；如果全局模式下仍提示地域限制或加载失败，则说明该节点已被平台封禁，需要立即从Media策略组中移除并更换其他节点。这一快速验证方法能够在规则排查和节点排查之间建立清晰的界限。
开启UDP转发功能提升视频流传输稳定性
Netflix和HBO的视频传输虽然在表象上依赖TCP连接，但其底层的网络质量探测、自适应码率切换和部分DRM授权通讯依赖UDP数据包。用户在Shadowrocket的设置中开启UDP转发选项后，这些UDP探测包能够与TCP视频数据走同一条代理隧道，避免因UDP直连丢包导致的播放卡顿或分辨率自动降级。需要注意的是，UDP转发需要代理节点协议本身支持该功能，用户应优先选择标注支持UDP转发的节点作为Media组的成员，以保证播放体验的稳定性。
通过连接日志确认流媒体域名已正确命中代理策略
在播放测试的同时，用户应开启Shadowrocket的连接日志并观察流媒体播放过程中的所有域名请求记录，逐一核对每条请求的匹配规则是否为Media策略组而非DIRECT。如果日志中出现某个nflxvideo.net或hbomax.com的请求被标记为DIRECT，说明该域名未被包含在代理规则中或规则顺序不正确，用户需立即补充该域名规则并调整顺序。日志记录是验证分流配置是否完整覆盖播放链路的最直接证据，比仅靠播放结果判断更为可靠且能精准定位遗漏的域名。
节点失效与配置滞后的快速恢复手段
通过策略组内手动切换替代频繁修改配置文件
当Media组中的当前节点被Netflix封禁时，用户无需进入配置文件修改规则或更换策略组名称，只需在Shadowrocket的策略组界面中点击Media策略组，从展开的节点列表中选择另一个已验证解锁的节点即可完成切换。这种操作完全基于界面的点选交互，无需任何文本编辑和配置重载，将恢复时间从数分钟压缩至数秒。用户应在日常使用中保持Media策略组中至少储备三个可用的解锁节点，以便在首选节点失效时能够快速接力。
创建应急降级配置应对全部节点失效
如果Media策略组中的所有节点均失去Netflix解锁能力，用户可临时将全局路由切换至代理模式并选择一个延迟高但仍在解锁名单中的节点，以牺牲速度为代价维持播放可用性。同时，用户应迅速联系节点服务商获取新解锁节点或在其订阅更新中获取新鲜节点，并将新增节点立即加入Media策略组。在极端情况下，用户可准备一份降级配置文件，其中将流媒体规则直接指向一个可靠的备用节点名称，在主力策略组完全失效时一键切换至降级配置。
定期刷新订阅节点并同步更新Media策略组
对于通过订阅方式获取节点的用户，服务商会定期新增解锁节点并下架封禁节点，用户应在每次订阅刷新后检查Media策略组的节点列表，将新出现的标注支持流媒体的节点加入组内，同时移除已失效的旧节点。忽视订阅同步会导致Media组中的可用节点逐渐减少，直到策略组完全空转导致播放全面失效。养成每周手动刷新订阅并调整一次策略组的习惯，能够有效维持流媒体分流的长期可靠性。
常见问题FAQ
为什么配置了Netflix规则后进入应用仍提示“使用了代理”？
这通常是因为用户当前选择的代理节点本身已被Netflix识别并列入黑名单，并非分流规则的配置问题。用户应先切换至全局代理模式测试该节点的解锁状态，如果全局模式下仍然报错则说明节点封禁，需更换节点。如果全局模式能正常播放而规则模式报错，则说明分流规则中遗漏了部分域名或规则顺序不正确，需检查日志补充缺失域名并调整规则顺序。
视频页面能打开但播放时一直转圈缓冲是什么原因？
页面能打开表明页面域名已被正确代理，但播放缓冲说明视频数据的CDN域名未被覆盖或UDP转发未开启。用户应检查配置中是否已包含nflxvideo.net或warnerbros.com等视频流域名规则，并确认Shadowrocket的UDP转发功能处于开启状态。如果规则和UDP转发均无误，则可能是当前节点到视频CDN的带宽不足，尝试切换Media组中带宽更充裕的节点。
HBO Max和Netflix可以用同一个策略组吗？
如果用户的节点同时支持Netflix和HBO Max解锁，则可以使用同一个Media策略组，将两者的域名规则都指向该组即可。但很多节点仅支持其中一种平台的解锁而不支持另一种，此时用户需要创建两个独立的策略组分别放置对应解锁节点，并将Netflix域名指向Media-Netflix组，HBO域名指向Media-HBO组，以避免因混用节点导致某一平台无法播放。
流媒体播放时切换到其他应用会中断是什么原因？
播放过程中切至后台再返回有时会触发平台的DRM重新授权，该授权过程通过特定域名完成，如果该域名未被纳入代理规则，授权请求可能走直连路径被平台拒绝，导致播放会话终止。用户应通过连接日志捕获播放中断瞬间出现的新域名请求，将其补充至流媒体规则列表中，确保所有授权和续期通信均经过代理通道。