Shadowrocket 首次打开怎么设置:VPN 配置权限与 Home 页各区块说明

1. 首次设置前：区分客户端与连接配置

安装 Shadowrocket 不会自动生成服务器地址、认证信息或可用线路。客户端负责读取配置、建立连接与处理规则；服务端地址、端口、密码等信息来自用户已有的服务。若 Home 的 SERVER 列表为空，应先导入配置，而不是反复点击连接开关。

本文的界面路径以 iPhone、iPad 为准。iPhone / iPad 在 App Store 一次性付费 $2.99，开发者为 Shadow Launch Technology Limited，系统要求以 App Store 页面标注为准；Mac（Apple 芯片 / Intel）、Windows、安卓、Linux 版免费。按设备获取请进入全平台下载页，其他平台的界面布局不直接套用本文步骤。

还要区分两种“配置”：系统提示添加的 VPN 配置，是允许应用建立网络隧道的系统记录；Config 中的配置文件，则包含规则、DNS 等运行设置。允许前者，不代表后者已准备好，也不代表 SERVER 中已有可用条目。

2. 首次连接：导入、选择与 VPN 权限

第一次启动应用时没有立刻出现 VPN 授权提示，并不一定异常。系统通常会在应用请求创建 VPN 配置时弹出确认，常见触发点是首次开启连接。先完成以下步骤，避免在没有服务器信息时排查权限。

1. 检查网络

   先保持连接关闭，用 Safari 打开一个平时可直接访问的页面。如果此时也无法访问，先处理 Wi-Fi 登录、蜂窝数据或路由器连接问题。

2. 导入配置

   已有订阅时，进入 Home → 右上角“+”→ Type → Subscribe，在 URL 中填写自己的订阅地址并保存。仅有单个服务器参数时，选择对应协议，按原始资料填写地址、端口及认证字段。

3. 选中条目

   回到 Home，确认 SERVER 列表已出现条目，并选中本次准备使用的服务器。订阅分组存在但组内为空时，先检查订阅更新结果，不要把分组名称当成可连接服务器。

4. 确认路由

   打开 Home → Global Routing。已有完整规则配置时选 Config；尚未准备规则且需要临时排查代理连接时，可选 Proxy。不要把 Direct 当成代理连接成功的验证方式。

5. 允许权限

   开启 Home 顶部连接开关。系统询问是否允许添加 VPN 配置时，核对应用来源后允许，并按系统要求完成设备认证。随后返回 Home，观察连接状态，再验证实际访问。

3. Home 各区块：开关、列表与测试分别看什么

Home 是日常连接入口，但不同区块回答的问题不同。Not Connected 表示当前尚未建立连接状态；它不说明订阅是否有效，也不说明某个服务器的密码是否正确。连接状态变化后，仍需通过实际请求确认所需网站或服务能否访问。

SERVER 中的条目名通常来自手动填写或订阅内容。重命名只改变识别用名称，不会改变服务器地址。排查时应核对编辑页中的实际地址和端口，而不是仅凭名称判断连接对象。

Connectivity Test 的结果受测试方法、测试目标和当前网络影响。出现延迟数值，表示对应测试条件下获得了响应，不等于大文件下载稳定；出现超时，也不一定意味着所有协议通信都失败。应把测试结果与实际访问、连接记录一起判断，不要只按最小延迟数值选择条目。

4. Global Routing：Config、Proxy、Direct 与 Scene

Global Routing 决定进入 Shadowrocket 处理范围的请求如何选择路径。它不是系统连接权限，也不是协议类型。同一个 Trojan 或 Hysteria2 条目，在不同路由姿态下可能承担不同请求；更换路由姿态不会自动修正该条目的地址或密码。

首次排查应固定服务器和网络，只改变一个变量。例如同一目标在 Proxy 下可访问、在 Config 下失败，下一步应检查该目标命中的规则及策略，而不是立刻重装应用。如果两种姿态均失败，再检查服务器参数、基础网络与服务端状态。

5. Config 与 Settings：规则文件不等于自动连接

Config 管理配置文件，Settings 管理应用设置。Settings → On Demand 用于配置系统按需连接行为；它解决“何时触发连接”，不解决“某个域名走哪条路径”。首次设置时先完成手动连接验证，再处理自动连接，可以减少故障变量。

以下是最小化规则说明片段，不是包含服务器、认证和 DNS 设置的完整配置。示例将 example.com 及其子域名交给 PROXY，将指定私有地址段和 GEOIP 判定为 CN 的地址交给 DIRECT，剩余请求交给 FINAL。

[Rule]
DOMAIN-SUFFIX,example.com,PROXY
IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
GEOIP,CN,DIRECT
FINAL,PROXY

• DOMAIN-SUFFIX 匹配域名后缀及其子域名，不是检查网页内容是否出现该词。
• IP-CIDR 匹配地址段。示例中的 no-resolve 表示不为这条规则额外触发域名解析。
• GEOIP 根据目标 IP 与本地使用的地理归属数据判断，不是根据域名后缀判断。
• FINAL 处理前面没有命中的请求，应放在规则列表末尾。示例的兜底是 PROXY，而不是 DIRECT。

6. 手动参数与订阅导入：两种准备方式

用户已有的资料可能是一组服务器参数，也可能是一条订阅地址。两者最终都要形成可选择的服务器条目，但后续维护方式不同。订阅地址通常带有访问凭据，截图、求助或复制记录时应隐藏完整地址与认证信息。

协议选项不能只按名称相近来替换。Shadowsocks、VMess、VLESS、Trojan、Hysteria2、WireGuard 的认证和传输结构不同。例如资料写明端口 443，就填写 443；但端口 443 本身不能证明协议是 Trojan，也不能证明一定使用 TCP。Hysteria2 基于 QUIC，使用 UDP，遇到限制 UDP 的网络时应检查网络条件，而不是仅改成同号的 TCP 端口。

7. Not Connected 与“已连接但打不开”的检查顺序

故障排查应从系统状态向应用设置逐层推进。Not Connected、测试超时和目标页面打不开是三个不同现象，不应统一归因于 VPN 权限。以下顺序能保留对照关系，也能避免误删仍然可用的配置。

1. 关闭连接后检查基础网络。 如果 Safari 连平时可直接访问的页面也打不开，先完成 Wi-Fi 门户认证或检查蜂窝数据，不要先更换规则。
2. 检查系统授权是否完成。 首次系统弹窗若被取消，可重新尝试开启连接；若提示配置受限制，检查设备管理要求。不要仅以状态栏是否显示 VPN 字样判断全部结果。
3. 检查 SERVER 的实际选择。 确认不是空列表，且选中的条目是准备验证的对象。导入成功不等于已自动选中正确条目。
4. 固定条目后检查路由。 Config 下失败时，对照 Proxy 的行为；Direct 下能访问普通页面，只能说明直连路径在该目标上可用，不能证明代理正常。
5. 再核对协议与服务端参数。 地址、端口、认证、SNI 或传输方式任一项不匹配，都可能导致隧道状态存在但实际请求失败。
6. 最后检查自动连接。 若手动关闭后再次连接，进入 Settings → On Demand 核对条件，并留意系统中其他 VPN 配置的状态，避免相互干扰。

完成一次正确设置的判断标准，是能够说明当前选中了哪个服务器、Global Routing 使用哪种姿态、启用了哪份 Config，并且实际请求符合预期路径。仅看到连接状态变化或测试出现一个延迟数值，还不足以完成验证。