首次打开 Shadowrocket:VPN 配置权限与 Home 页 Not Connected、Global Routing 速览

首次启动前：应用购买与连接配置分开准备

Shadowrocket（小火箭）是 Apple 平台的付费客户端，唯一获取入口是 App Store。安装前核对开发者 Shadow Launch Technology Limited、官方图标和应用 ID 932747118。本文以 iPhone、iPad 的操作为主，系统要求及购买适用性以 App Store 页面标注为准。

客户端买断 ≠ 线路套餐。完成购买安装后，Home 中没有服务器条目，不代表安装失败；应用需要用户加入自己已有的连接参数或 Subscribe 订阅。以下步骤均以用户已有自己的服务商与订阅为前提，不涉及服务来源的选择。

这三个页面承担不同任务：Home 用于选择服务器、连接及测试；Config 用于管理包含规则等内容的配置文件；Settings 用于调整应用设置，例如 On Demand。添加一个服务器条目，不等于已经载入一份适合自己的分流配置；选中一个配置文件，也不等于其中引用的代理策略已经具备可用连接。

VPN 配置权限：何时出现，如何完成授权

首次启用连接时，系统可能提示允许 Shadowrocket 添加 VPN 配置。这个授权用于让应用通过系统提供的网络扩展接管相应流量，并非要求填写服务商的账号。仅打开应用浏览 Home，不一定立即触发该提示；通常在第一次实际启用连接时处理。

1. 准备连接

   进入 Home，确认已有自己的服务器条目并选中它。若列表为空，先按下文的 Subscribe 导入步骤准备条目，不要用反复切换开关代替配置。

2. 启用开关

   在 Home 顶部启用连接开关。首次连接如出现添加 VPN 配置的系统提示，核对提示中的应用名称为 Shadowrocket。

3. 完成授权

   在系统提示中选择允许，并按系统要求完成设备身份验证。这里使用的是设备授权流程，不是服务器密码或 Subscribe 中的 token。

4. 返回核对

   返回 Home 检查连接状态，再运行 Connectivity Test。系统已保存 VPN 配置与服务器实际可达，是两件需要分别验证的事。

授权成功后，一般不必每次连接都重新添加 VPN 配置。若系统持续重复询问，应先记录完整提示、查看已有配置是否保存，并核对设备管理限制。不要把系统授权失败与服务器认证失败混为一谈，两者的排查入口不同。

Home 的 Not Connected：状态文字不是故障结论

Not Connected 表示当前连接未建立。首次打开、主动关闭开关、连接启动失败后，都可能看到这个状态；仅凭这一行文字无法判断服务是否过期、密码是否正确，也不能确定 DNS 是否异常。

• 尚未启用：开关关闭且显示 Not Connected，先确认服务器选择和 Global Routing，再决定是否开启。
• 启用后立即断开：检查系统 VPN 配置授权、当前条目参数及其他正在使用的 VPN 配置，保留错误提示供排查。
• 状态保持连接但网页失败：继续检查所选服务器、路由规则、DNS 和目标站点，而不是仅凭连接状态认定网络完全正常。
• 手动关闭后又连接：进入 Settings → On Demand 检查是否启用了自动连接条件；自动恢复连接不一定是开关失灵。

连接状态主要说明本地网络扩展的运行情况，不能替代端到端访问验证。可以先确认同一网络下普通网页能否访问，再启用 Shadowrocket 测试自己实际需要访问的目标。一次只改变一个条件，例如仅切换服务器或仅切换路由姿态，才容易判断变化来自哪里。

Global Routing：先理解四种姿态，再选择用途

Home → Global Routing 决定流量如何选择处理路径。它不是协议选择器，也不会自动补全服务器地址或认证信息。下面比较的是 Shadowrocket 自身的路由姿态；其中对 Config 的推荐，以已经载入并核对过配置文件为前提。

如果同一服务器在 Proxy 下可访问目标，而 Config 下失败，优先检查规则命中和策略映射，而不是马上修改协议参数。反过来，如果两种姿态都失败，应继续确认服务器可达性、认证信息和 DNS。这样的对照只能缩小范围，不能单独证明某一条规则一定有错。

SERVER 与 Subscribe：服务器列表如何准备

Home 的 SERVER 区域用于查看和选择服务器条目。列表中的名称只是标识，真正决定连接的是条目内部的 Type、地址、端口及认证参数。选中条目后，仍需开启顶部连接开关；“已选中”与“已连接”是两个状态。

1. 在 Home 右上角点击“+”，在 Type 中选择 Subscribe。
2. 在 URL 中粘贴自己已有的订阅链接，核对是否完整，再保存。说明格式可写作 https://example.com/sub?token=xxxx，这个地址仅用于展示结构，不能作为实际订阅使用。
3. 返回 Home，在订阅分组上执行更新；常见操作为向左滑动分组后选择 Update，具体入口以当前界面为准。
4. 更新完成后确认服务器条目已出现，选择其中一个条目，再检查 Global Routing 并启用连接。

Subscribe 更新是向订阅地址获取条目数据，启用 VPN 则是让流量进入当前连接，两者并不是同一个动作。若更新失败，先核对 URL、当前网络以及服务商提供的订阅状态；若更新成功但连接失败，再检查所选条目的连接参数。不要通过重复添加相同订阅来代替故障定位。

Shadowsocks、VMess、VLESS、Trojan、Hysteria2、WireGuard 是不同协议或连接类型，不能只因为名称熟悉就随意修改 Type。地址、端口、TLS、传输方式和认证字段应与用户已有的服务配置一致。例如端口填写为 443 本身，并不能证明该条目必须启用 TLS，也不能证明服务端确实监听这个端口。

Connectivity Test：先读测试对象，再读结果

Home → Connectivity Test 用于检查连通性。操作时应先确认当前选择的测试方式、测试目标和服务器，再解读结果。不同测试方式覆盖的链路不同：仅检测端口连接，不能等同于完成协议认证；经过代理访问测试地址成功，也不等同于所有目标网站都可访问。

• 显示一个耗时值：说明本次指定测试获得了结果，数值受当前网络和测试目标影响，不代表固定下载速度。
• 出现 Timeout：说明在等待时间内没有完成本次测试。可能涉及当前网络、服务器地址或端口、测试目标响应等因素，不能直接断定账号失效。
• 测试成功但目标网页失败：检查目标域名的规则、DNS、TLS 及网站自身状态，避免把测试地址的成功外推到所有网站。
• 切换网络后结果变化：分别记录 Wi-Fi 与蜂窝网络下的结果，其他参数保持一致，再判断是否属于网络环境差异。

建议记录“网络类型、所选服务器、Global Routing、测试目标、结果或错误文字”五项信息。不要连续改变 DNS、规则和服务器后只记录最后一次结果，否则无法确定哪一个改动有效。需要进一步核对时，可参考问题诊断，按连接、解析和规则三个层次继续检查。

Config 与 On Demand：首次连接后再逐项启用

首次连接应先验证基础通路，再增加自动化条件。Config 中的规则决定请求的策略选择；Settings → On Demand 则用于设置按条件建立连接的行为。路由姿态中的 Scene 与 On Demand 关注点不同：前者涉及场景路由安排，后者涉及何时自动建立连接，不能互相代替。

规则示例中的 DOMAIN-SUFFIX 匹配域名后缀，GEOIP 按目标 IP 的地区判断，IP-CIDR 匹配地址网段，FINAL 承接前面未匹配的请求。域名解析结果可能影响 IP 类规则的判断，因此“选了 Config”不等于已经确认分流正确；应结合具体目标和命中的策略检查。

完成首次使用后，可按下面的验收清单复核。每一项都有明确的观察对象，比单看顶部连接图标更能说明当前设置是否可用。

• 系统已保存 Shadowrocket 的 VPN 配置，Home 开关可以正常启用和关闭。
• SERVER 中有用户自己导入的条目，选中的服务器与预期一致。
• Global Routing 的当前姿态已确认；使用 Config 时，当前配置与代理策略均已核对。
• Connectivity Test 有可解释的结果，实际目标网页也完成了单独验证。
• 如已启用 On Demand，切换网络后的自动连接行为与设置一致。