本文速览

本文适用于已经拥有自己的服务商与订阅、准备首次连接 Shadowrocket（小火箭）的 iPhone 或 iPad 用户。操作顺序是确认已有服务器、选择 Global Routing、完成系统授权、运行 Connectivity Test，最后用实际请求复核。开关开启、服务器延迟和网页可用属于不同检查层级，需要分别确认。

1. 连接前：确认 Home 中已有可用服务器

打开 Shadowrocket 后先查看 Home。服务器列表中出现名称，只说明条目已经保存，不能据此判断地址、凭据和服务状态都有效。首次操作应使用自己已持有且仍在有效期内的配置，不要在排查时同时修改协议、端口和规则。

Home 用于选择服务器及控制连接；Config 用于管理规则配置文件；Settings 用于检查应用设置，例如 On Demand。服务器订阅和规则配置不是同一份内容：前者更新连接条目，后者决定请求采用哪种策略。导入其中一种，不等于另一种也已配置完成。

  1. 确认设备在关闭连接时能正常访问当前网络允许的网站。公共 Wi-Fi 如有登录页面，应先完成网络认证。
  2. 在 Home 找到已有服务器，点选准备测试的条目，确认选中标记落在目标条目上，而不是只打开了编辑页面。
  3. 进入该条目的编辑页，核对服务器地址、端口与认证信息。端口必须使用服务商给定的数值；即使使用 TLS，也不能直接假定为 443。
  4. 若条目来自已有订阅，先确认最近一次更新是否成功，再核对目标服务器仍在列表中。订阅更新成功只证明订阅内容取得成功，不证明其中每个服务器都能连接。

2. 选择 Global Routing：先明确测试的请求走向

在 Home 打开 Global Routing，先记录当前选项。Config 依照当前配置中的规则选择策略，并不是固定的“部分代理、其余直连”；最终走向取决于实际命中的规则与策略。首次连接若同时遇到规则和服务器问题，可以临时使用 Proxy 缩小排查范围，验证后再恢复日常设置。

Config

推荐

由当前配置文件中的规则决定请求走向。使用前应确认配置已选用，规则中引用的策略可用，并检查 FINAL 的去向。

适合:已有明确规则配置，验证后作为日常连接设置

Proxy

让进入代理处理范围的请求采用代理路径，用于减少规则分流对测试的干扰。它不能替代系统授权，也不能修复错误的服务器凭据。

适合:首次排查服务器连接，或对照 Config 的结果

Direct

采用直连路径。此时网页能打开，不能作为所选服务器已经可用的证据，也不能据此评价代理连接是否成功。

适合:检查设备本身的网络连通性

Scene

依照已设置的场景条件使用对应设置。判断连接行为时，需要同时检查当前网络是否命中预期场景。

适合:已经配置场景条件，并能确认当前命中结果

判断：Proxy 可用而 Config 不可用，下一步检查规则

保留同一个服务器、同一个网络和同一个测试目标，只切换 Global Routing。若结果随模式变化，优先核对 Config 的命中策略，不要立即重填全部服务器参数。

3. 打开开关：完成添加 VPN 配置授权

回到 Home 打开顶部连接开关。首次建立连接时，系统可能要求允许添加 VPN 配置；这是创建系统网络通道的授权，与订阅认证、服务器密码属于不同环节。允许之后，按系统提示完成设备身份验证，再回到 Shadowrocket 查看连接状态。

  1. 确认当前选中的是准备测试的服务器，然后打开连接开关。
  2. 出现添加 VPN 配置的系统提示时选择允许，并按提示完成身份验证；不要把服务器密码填入设备身份验证界面。
  3. 返回 Home，确认开关保持开启，并检查是否出现错误提示或立即断开的现象。
  4. 如果之前取消过授权，重新打开开关以再次尝试；必要时到系统“设置 → 通用 → VPN 与设备管理”检查 VPN 配置。受管理设备应遵守管理策略，不要自行删除管理配置。

开关保持开启，表示系统通道已建立或正在工作，不等于所有目标请求都能成功。服务器握手、DNS 解析、规则匹配和目标网站响应仍可能分别失败。接下来应运行 Connectivity Test，而不是只观察系统状态栏的 VPN 标识。

4. 运行 Connectivity Test：区分延迟与实际可用性

在 Home 使用 Connectivity Test，等待测试结束后记录结果。解释结果前先确认测试方法：TCP 探测主要观察连接端点是否可达，HTTP 类测试还涉及目标请求与响应；两者覆盖的环节不同。单个延迟数值不是下载速度，也不能证明所有网站、UDP 请求或长连接都可用。

如果测试入口是在服务器列表中批量探测，结果还可能包含未选中的服务器。应先找到当前选中条目的结果，再与实际访问现象对照。对 Hysteria2、WireGuard 等依赖 UDP 的连接，单纯 TCP 端口测试也不足以判断协议是否正常工作。

观察结果能够说明什么下一步操作
显示延迟数值该次测试按所选方法完成，不能直接推导带宽或全部业务可用保持连接，打开实际需要使用的网站再验证
Timeout 或超时该次测试在等待期限内没有完成，故障位置尚未确定检查基础网络、测试目标、服务器地址与端口，再重复测试
Connection refused通常表示连接被端点或中间设备明确拒绝核对端口与服务监听状态，不要靠更换规则掩盖问题
出现 TLS 或证书相关错误需要检查握手与证书验证环节核对设备时间、服务器名称及 TLS 参数，不先关闭证书验证
测试通过，实际网页失败测试目标与实际目标可能经过不同规则或遇到不同网络条件检查失败域名对应的规则、DNS 结果和连接记录

建议连续测试三次，记录成功次数与失败提示，而不是只保留最快的一次。例如三次中两次超时，应先调查稳定性；三次均完成但某一个网站持续失败，则应把排查范围缩小到该目标及其规则。这是记录方法，不是对任何服务器的实测结论。

5. 用同一请求复核：区分网络问题与配置问题

测试期间每次只改变一个条件。先固定服务器与 Global Routing，再分别使用 Wi-Fi 和蜂窝网络访问同一个目标；之后固定网络与服务器，再比较 Proxy 和 Config。这样才能知道差异来自接入网络，还是来自规则选择。

复核方案：分别检查 Wi-Fi 与蜂窝网络

Wi-Fi
  • 先完成公共网络认证，确认断开连接时基础网络可用。
  • 记录当前服务器、Global Routing 和 Connectivity Test 结果。
  • 使用固定目标发起实际请求，保留错误提示。
蜂窝网络
  • 确认设备支持蜂窝网络，并已允许应用使用蜂窝数据。
  • 保持同一服务器与同一模式，重复同一测试。
  • 仅在一个网络失败时，优先检查该网络的接入限制。

没有蜂窝网络的 iPad，可在另一处可信 Wi-Fi 下复核；切换网络时不要同时更新订阅或更换协议。

如果只有 Config 下的特定目标失败，在 Config 打开当前配置文件，查看 [Rule]。规则通常按从上到下的顺序匹配，具体域名应放在宽泛规则之前，FINAL 放在最后。下面是语法示例，不是可直接替换现有配置的完整方案：

[Rule]
DOMAIN-SUFFIX,example.com,DIRECT
IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
GEOIP,CN,DIRECT
FINAL,PROXY

DOMAIN-SUFFIX 匹配指定域名及其子域名；IP-CIDR 匹配地址网段，示例中的 no-resolve 表示不为该条 IP 规则额外触发域名解析；GEOIP 按 IP 地理数据库匹配；FINAL 处理前面未命中的请求。示例中的 PROXY 必须对应当前配置可用的代理策略；若规则实际指向其他策略组，仅在 Home 换选服务器不一定改变该组的选择。

6. 首次连接常见问题：按现象逐项处理

开关一打开就关闭，应该先改服务器吗？

先看是否完成系统 VPN 配置授权，以及 Home 是否选中了有效条目。记录断开时的提示，检查已有 VPN 连接是否产生冲突。若系统通道都未能建立，不要先改 DNS 或整份规则。

Connectivity Test 有数值，为什么网页还是打不开？

先确认 Global Routing 没有停在 Direct，再核对当前配置对该域名的策略。测试数值只对应当次测试；若一个网站失败而其他目标正常，应检查该网站的解析、规则和服务状态，而不是认定整条连接失效。

订阅更新成功了，为什么连接仍然超时？

订阅更新和服务器连接使用的目标可能不同。回到 Home 检查选中条目的地址、端口及凭据，确认服务仍有效。Shadowsocks、VMess、VLESS、Trojan、Hysteria2、WireGuard 的字段并不通用，不能只改协议名称就完成转换。

手动关闭后又连上了，是开关失效吗？

到 Settings → On Demand 检查按需连接设置。暂时关闭该设置，再手动断开并观察；如果自动重连停止，说明此前由按需条件触发。完成测试后，按自己的网络需求恢复设置。

仍需进一步排查时，记录设备使用的网络类型、协议名称、Global Routing 选项、测试方法、错误原文及是否只有单个目标失败。分享记录前，应遮蔽订阅完整地址、密码、密钥、UUID 与其他认证信息。整理这些条件后，再查阅疑难解答或配置大全中的对应设置，避免重复进行无关修改。