遇到过一种很容易误判的情况：Shadowrocket 首页显示已经连接，iPhone 顶部也出现了 VPN 图标，可 Safari 还是打不开网页。用户第一反应往往是“节点坏了”，接着开始反复测速、删除订阅、重新安装应用，结果问题反而变得更复杂。
“连不上”其实不是一个故障，而是几种不同状态的统称。先看清楚开关、节点、网页和证书分别卡在哪一层，再决定要不要改配置，效率会高很多。
先对照症状，不要急着重装
| 你看到的情况 | 更可能出问题的位置 | 第一项检查 |
|---|---|---|
| 开关拨不动，或系统不弹 VPN 授权 | iOS 网络扩展权限 | 系统 VPN 配置 |
| 开关已开，但所有网页都打不开 | 基础网络、节点或 DNS | 关闭 Shadowrocket 测试 Safari |
| 只有部分网站打不开 | 规则、策略组或 DNS | 切换 Global 与 Config |
| 所有节点都超时 | 订阅、节点服务或网络 | 更新订阅并查看错误信息 |
| 节点延迟很高 | 线路距离、拥堵或测速方式 | 换节点并做实际访问测试 |
| 提示证书、TLS 或信任错误 | 系统时间、证书链或 MITM 配置 | 检查时间和证书用途 |
| 显示 VPN 已连接但没有网络 | 隧道建立，流量处理失败 | 用 Direct 做对照 |
这张表的重点是把“VPN 图标出现”和“网页真的能打开”分开，相关教程也强调，状态栏出现 VPN 只代表本地隧道建立，仍然需要用浏览器进行实际访问验证。
第一步：确认手机本身有没有网
先关闭 Shadowrocket，再用 Safari 打开一个平时能访问的网站。如果关闭后也打不开，故障与节点无关，应该先检查 Wi-Fi、蜂窝数据、路由器或运营商网络。
如果关闭后能打开，重新打开 Shadowrocket，问题才进入下一层。此时不要立刻切换十几个节点，先记下当前使用的是 Wi-Fi 还是蜂窝数据和首页选中的具体节点，以及 Global Routing 当前是 Config、Proxy 还是 Direct。
我排查时会固定使用同一个网站做对照，否则每次换测试目标，结果很难比较。
小火箭没网：按“直连、全局、规则”做对照
Direct 也打不开
如果 Direct 模式下网页仍然失败，先处理手机网络、DNS 或系统代理残留。此时换节点不会带来变化，因为请求根本没有进入代理链路。
Direct 能打开，Global 打不开
这说明基础网络有问题的可能性较低，重点看节点本身：
- 选中另一条节点。
- 执行一次连通性测试。
- 观察是否全部超时。
- 更新订阅后再试。
如果只有一条节点失败，问题集中在节点参数或服务端。如果全部失败，再检查订阅是否过期、设备是否超限，以及当前网络是否能访问订阅地址。
Global 能打开，Config 打不开
这类情况多半与分流规则有关。规则模式下，请求可能被送到 DIRECT、REJECT，或者交给了没有可用节点的策略组。
进入当前配置文件，使用 Test Rule 查询目标域名，看它最后匹配到哪一条规则。不要只看规则文件的名字，真正决定结果的是命中顺序和策略指向。
如果你还没有安装应用，先参考小火箭下载与账号区域说明，确认使用的是正规版本，再处理节点和网络配置。
shadowrocket无法连接服务器：从错误提示反推原因
Timeout 或 Connection Timeout
这表示客户端在规定时间内没有得到服务器响应，可能是节点离线、端口不可达、网络阻断，也可能是服务端负载过高。
可以先做两次对照：同一网络下换另一条节点；同一节点下切换 Wi-Fi 和蜂窝数据。
如果只在一个网络失败，优先检查该网络的 DNS、防火墙或路由器设置。如果不同网络都失败，服务端或节点配置更值得怀疑。
Connection Refused
服务器主动拒绝连接，常见原因包括端口关闭、服务端程序停止、协议参数不匹配。单纯更换 DNS 解决不了这类错误，应联系订阅提供方确认节点状态。
DNS Resolve Failed
域名没有解析成功，先查看 Shadowrocket 的 DNS 设置，再做 Direct 对照。如果关闭代理后域名也无法解析，问题可能在当前网络 DNS；如果 Direct 正常、代理模式失败，则要查看规则和远程 DNS 设置。
401、403 或订阅更新失败
这类状态码更多与订阅权限有关，可能是地址过期、访问令牌失效或设备数量达到限制。不要把订阅地址公开发到群里，也不要用陌生网站提供的“修复链接”替换原地址。
小火箭延迟高，不等于网页一定打不开
延迟测试测的是客户端到节点之间的响应时间，并不能代表每个网站的加载速度。
延迟高可能来自节点距离当前所在地较远、服务器正在高峰期运行、测试目标与实际访问目标不同、DNS 解析慢、当前 Wi-Fi 丢包，或节点协议与网络环境不匹配。
我会把“测速结果”和“实际体验”分开记录。比如一条节点显示 180ms，但网页打开稳定；另一条显示 80ms，却频繁丢包。后者未必更适合日常使用。
如果所有节点的延迟同时升高，先检查网络环境和时间段。如果只有一个地区的节点变慢，可以更换地区或等待服务端恢复。反复点击测速并不能让节点变快，还会增加耗电和请求次数。
\n
shadowrocket证书信任：先分清 TLS 和 HTTPS 解密
“证书信任”这个词经常被混用，至少要区分两种情况。
节点连接中的 TLS 证书
某些节点协议会使用 TLS。客户端需要验证服务器提供的证书是否与域名、有效期和协议参数匹配。如果系统时间错误，证书尚未生效或已经过期，连接就可能失败。
先在 iPhone 中开启自动设置日期与时间，再确认节点里的服务器域名、SNI 和 TLS 参数与提供方给出的内容一致。不要凭感觉修改证书校验选项。
HTTPS Decryption 或 MITM 根证书
HTTPS 解密属于另一项功能，需要在设备上安装并信任根证书。它可能用于查看和修改特定 HTTPS 请求，也会扩大隐私和安全风险。
如果你只是想连接节点、打开网页或使用规则分流，并不需要开启 HTTPS Decryption。相关帮助资料也提醒，不使用 MITM 时应关闭功能，并从系统设置中删除不再需要的根证书，参考Shadowrocket 证书与网络设置说明。
不要因为某个陌生订阅要求你安装描述文件、信任企业证书或交出 Apple ID，就把它当成“证书修复”，节点配置与账号授权是两件事。
已连接但仍然没网，检查这四项
首页是否真的选中了节点
有些人只打开了开关，却没有选中服务器。列表为空时，VPN 图标并不能证明有可用线路。
路由模式是否选错
Direct 会让所有请求直连；Config 依赖规则文件；Proxy 会把请求交给代理策略。先确认模式，再判断规则是否生效。
规则是否把目标域名送错地方
打开连接日志，查看目标域名最终进入了 DIRECT、PROXY 还是 REJECT。若目标服务需要代理，却被规则送到 DIRECT，网页会像“断网”一样失败。
DNS 是否与当前模式冲突
DNS 解析和流量分流是两个环节。即使节点测试成功，域名解析失败仍然会导致页面打不开。修改 DNS 前先记录原设置，方便出现新问题时恢复。
如果同时遇到 App Store 登录、下载或付款验证提示，可以参考App Store 下载验证排查。那是 Apple 账号或商店服务问题，不能靠更换节点解决。
什么时候应该更新订阅，什么时候应该删掉重建
遇到少数节点失效时，先更新订阅即可。遇到订阅列表变空、全部节点同时消失，或者更新返回授权错误，再检查订阅地址是否过期。
只有原订阅地址已经被服务商作废、类型选错导致客户端一直按单节点解析、配置文件被多次修改，或账号和设备限制已经由服务商重置时，才值得考虑删除后重新添加。
重建前先保存当前配置和错误提示。直接删除所有内容，会让你失去判断问题来源的线索。
我会怎样做最后一次验证
- 关闭 Shadowrocket，确认基础网络能用。
- 打开 Shadowrocket，选中一条节点。
- 用 Global 测试一个允许访问的网页。
- 切回 Config，测试同一网页。
- 用 Test Rule 检查目标域名的命中结果。
- 换一个常用应用，确认不是单一网站缓存。
如果只有某个应用失败，记录它使用的域名和错误提示，再单独修改规则。不要因为一个应用异常，就把所有流量改成全局代理。
FAQ
shadowrocket连不上，第一步要做什么？
先关闭 Shadowrocket，用 Safari 检查手机本身是否有网络。基础网络不通时，换节点和改规则都没有意义。
为什么小火箭显示已连接，但网页仍然打不开？
VPN 图标只说明本地隧道建立。还要检查是否选中节点、路由模式、规则命中结果和 DNS。
小火箭延迟高，换节点就能解决吗？
不一定。延迟还会受到网络环境、服务器负载、线路距离和丢包影响。应结合实际网页访问结果判断。
shadowrocket证书信任提示一定要安装证书吗？
不一定。普通节点连接不等于 HTTPS 解密。除非你明确需要 MITM 功能，否则不要安装来源不明的根证书。
所有节点都显示超时怎么办？
先更新订阅，再用另一种网络测试。如果不同网络下仍全部超时，联系服务商确认节点和订阅状态。
规则模式无法访问，切全局模式却正常，说明什么？
这说明节点可能可用，问题更可能出在规则顺序、策略组或 DNS。使用 Test Rule 查看目标域名的最终走向。
免责声明
本文只介绍 Shadowrocket 的客户端配置和故障排查方法，不提供节点、订阅地址或绕过服务。请确认相关工具和网络服务符合所在地法律法规及服务商条款，不要安装来源不明的证书、描述文件，也不要向第三方提供 Apple ID、验证码或远程控制权限。