Shadowrocket 连接后无法上网怎么办？
简答：先关闭 Shadowrocket，确认当前 Wi-Fi 或蜂窝数据本身可以上网；如果本地网络正常，再固定一个节点，依次对照 Proxy、Direct、Config。全部网站打不开优先查节点、权限和 DNS，只有部分网站打不开则重点检查规则、策略组与目标域名。
定义：Shadowrocket 连接后无法上网，通常是系统网络、VPN 权限、节点参数、DNS 解析或 Config 规则其中一层没有正常工作，而不是单凭顶部 VPN 图标就能判断连接完全可用。
先做三组对照：不要一上来反复切换节点
如果 Shadowrocket 顶部显示已连接，但 Safari、邮件或某个 App 没有网络，先不要同时更换节点、DNS、规则和网络。Shadowrocket 是独立的代理客户端，本身不包含代理服务或服务器资源；App Store 页面也说明，用户需要自行提供配置。App Store 产品页
| 测试阶段 | 怎么做 | 观察结果 | 下一步 |
|---|---|---|---|
| 本地网络 | 关闭 Shadowrocket，使用同一 Wi-Fi 或蜂窝数据打开一个平时可访问的网页 | 关闭后也打不开 | 先处理 Wi-Fi、蜂窝数据或酒店/学校登录页，不要改节点 |
| 节点连接 | 重新打开 Shadowrocket，固定当前 SERVER，运行 Connectivity Test，再打开同一个网页 | 测试和网页都失败 | 检查节点地址、端口、协议、认证与当前网络 |
| 路由规则 | 保持节点不变，在 Global Routing 中临时比较 Proxy、Direct、Config | 只有 Config 失败 | 检查配置文件、规则顺序、策略名称、FINAL 和 DNS |
每次对照都要保持目标网页、网络环境和节点不变。完成测试后恢复原来的 Global Routing、Config 和 On Demand 设置，避免把临时排查状态当成长期配置。
第一步：确认 iPhone 的 Wi-Fi 或蜂窝数据正常
- 关闭 Shadowrocket。回到系统桌面，确认顶部没有继续显示 VPN 连接状态，然后打开 Safari 测试一个你平时能访问的网页。
- 分别测试 Wi-Fi 和蜂窝数据。在“设置 → Wi-Fi”确认当前网络有勾选标记；如果 Wi-Fi 失败，可暂时关闭 Wi-Fi 使用蜂窝数据测试。Apple 建议在无法联网时检查 Wi-Fi 状态、飞行模式、路由器和网络设置。Apple：如果 iPhone 或 iPad 无法连接 Wi-Fi
- 处理酒店、机场或学校网络。这类网络可能需要先接受条款或登录账号。关闭 Shadowrocket 后重新加入 Wi-Fi，等待系统出现登录页面；Apple 将这类网络称为 captive network。Apple：在 iPhone 或 iPad 上使用需要登录的 Wi-Fi
- 暂停其他 VPN 或安全软件。如果设备上还有其他 VPN、过滤器或按需连接功能，先暂时停用，再只保留 Shadowrocket 进行测试。Apple 的 Wi-Fi 排障建议也要求在相关情况下检查 VPN 和安全软件影响。
预期结果是：Shadowrocket 关闭时，当前网络可以正常打开测试网页。如果关闭后仍然无法上网，问题不在 Shadowrocket 的节点或规则，先修复当前网络再继续。
第二步：检查 VPN 权限、SERVER 与实际连接
系统顶部出现 VPN 图标，只能说明系统层面存在 VPN 连接状态，不能证明选中的节点、DNS、规则和目标网页都正常。Apple 的 Network Extension 文档说明，应用首次保存 VPN 配置时需要用户明确授权；系统也可能同时存在由设备管理配置的 VPN。Apple Developer：Personal VPN
- 重新确认权限。在 Shadowrocket 中关闭连接，再重新打开。如果系统再次弹出添加 VPN 配置的授权提示，确认提示确实由本次连接操作触发后按系统要求授权。不要因为反复点开关无效就立即删除应用或全部配置。
- 确认 SERVER 选中了具体条目。订阅分组存在，不等于其中某个节点已经被选中。记录当前选中的节点名称、地址或备注，测试期间不要同时切换多个节点。
- 逐项核对连接参数。检查地址、端口、协议、TLS/证书相关参数、用户名或密码是否来自同一份有效配置。VPN 权限通过，不代表远端服务器认证一定成功。
- 运行 Connectivity Test。记录是有响应、超时，还是直接报错；随后用 Safari 打开同一个目标网页。测试有响应但网页打不开时，不要直接判定网络完全正常，因为测试目标和真实网页请求可能经过不同的 DNS、规则或协议路径。
如果连接开关马上关闭，优先处理系统权限、其他 VPN 冲突和节点参数；如果开关保持开启但网页全部打不开，再继续检查 DNS、路由模式和服务器认证。
第三步：用 Proxy、Direct、Config 定位路由问题
保持同一个节点、同一个网络和同一个网页，只改变 Global Routing。建议按以下顺序测试：
- Direct：用于确认当前网络直接访问目标网页的结果。Direct 能打开，说明本地网络和目标站点基本可达，问题可能出在代理节点或 Config 规则。
- Proxy：用于让请求尽量经过当前选中的代理节点，帮助排除规则匹配因素。如果 Proxy 能打开而 Config 不能，优先检查配置文件，而不是继续换节点。
- Config：用于按配置中的规则、策略组和 DNS 设置处理请求。检查当前启用的 Config 是否确实是你想使用的文件，规则是否从上到下匹配，是否出现过早的 REJECT、错误策略名称或缺少 FINAL。
测试完成后，把 Global Routing 恢复到原来的选项。不要把 Direct 当成代理修复方案，也不要在没有备份的情况下大范围重写规则。Shadowrocket 的 App Store 说明显示，该客户端支持基于域名、域名后缀、关键词、CIDR 和 GeoIP 等条件配置规则，因此一条过早命中的规则就可能让某些域名走错路径。App Store：Shadowrocket 功能说明
按症状继续分流：全部打不开、部分打不开还是只有一个 App 失败
所有网页和 App 都打不开
先关闭 Shadowrocket确认本地网络，再确认当前 SERVER、端口、协议和认证信息。随后运行 Connectivity Test。如果测试也超时，优先检查节点或当前网络；如果测试有响应但浏览器仍失败，检查 DNS 和 Global Routing。不要先删除全部订阅，因为这样会丢失用于对照的原始配置。
只有部分网站打不开
固定节点后，将 Global Routing 临时切到 Proxy 测试同一域名。若 Proxy 可以访问而 Config 不行，查看该域名命中的规则、策略组和 FINAL；若多种模式都失败，再检查目标站点、DNS 解析或节点对该协议的支持。规则问题通常只影响一部分域名，不一定代表整个节点失效。
只有某个 App 失败
先确认 Safari 是否能打开同一服务，再检查该 App 是否使用了独立 DNS、QUIC、IPv6、证书校验或自身的网络限制。不要仅凭浏览器正常就判定所有 App 都会正常。若只有一个 App 失败，应保留节点和路由设置，只记录该 App、网络类型、时间和错误信息，避免同时修改全局设置。
Wi-Fi 失败但蜂窝数据正常
这通常应先看 Wi-Fi 本身、登录认证、路由器或网络策略。重新加入 Wi-Fi，完成 captive network 登录，再关闭并重新打开 Shadowrocket测试。Apple 建议在 Wi-Fi 仍显示无互联网时检查路由器和网络设置；只有在其他方法无效时才考虑重置网络设置，因为这会移除已保存的 Wi-Fi、蜂窝、VPN 和 APN 设置。Apple Wi-Fi 排障说明
常见报错怎么判断：先看错误发生在哪一层
| 报错或现象 | 优先判断 | 建议动作 |
|---|---|---|
| connection refused | 目标地址可到达，但端口没有接受连接，或服务端主动拒绝 | 核对地址、端口和协议是否成套；换一个已核实的节点做单变量对照 |
| i/o timeout | 在规定时间内没有完成连接或读写 | 先分别测试 Wi-Fi 与蜂窝数据，再检查节点地址、端口和网络是否限制相关流量 |
| no such host | 主机名解析失败或地址填写不正确 | 检查服务器域名拼写、DNS 设置和配置是否过期；不要只反复切换路由模式 |
| TLS、证书或握手错误 | 加密协商、证书参数、SNI 或协议设置不匹配 | 核对配置来源与协议要求，避免把不属于同一节点的 TLS 参数拼接使用 |
| 开关打开后立即关闭 | 系统 VPN 权限、其他 VPN、设备管理限制或配置启动失败 | 检查系统 VPN 设置、暂停其他 VPN 和 On Demand，再记录系统提示后重试 |
这些报错只能帮助定位方向，不能单独证明节点一定失效。复测时应保留原错误文本、当前网络、选中的 SERVER、Global Routing 和目标网页，且不要在公开群聊、在线解析器或截图中暴露订阅链接、账号、密码和证书内容。
复测、恢复与最后手段
- 关闭 Shadowrocket，确认本地 Wi-Fi 或蜂窝数据能打开测试网页。
- 只启用一个 VPN 客户端，选择一个明确的 SERVER。
- 保持目标网页和网络不变，先运行 Connectivity Test，再实际打开网页。
- 按 Direct、Proxy、Config 只做一次对照，并记录结果。
- 把 Global Routing、Config、DNS 和 On Demand 恢复到排查前的状态。
- 如果仍然失败，再考虑重启设备、重新加入网络或联系配置提供方核对节点信息。
不建议把“删除应用、清空配置、重置网络”作为第一步。Apple 明确提醒，重置网络设置会移除已保存的网络、蜂窝、VPN 和 APN 设置；只有在前面的网络检查无效，并且你已经准备好重新输入相关信息时，才考虑使用。Apple：重置网络设置的影响
本文是面向 Shadowrocket 使用场景的第三方使用指南，不代表该应用或任何配置提供方。应用版本、界面名称和可用选项可能随当前版本变化，实际操作以设备当前界面和官方资料为准。
常见问题
Shadowrocket 显示已连接，为什么 Safari 还是打不开？
VPN 图标只表示系统连接状态，不代表节点认证、DNS、规则和目标网页都正常。先关闭客户端确认本地网络，再固定节点并对照 Proxy、Direct、Config。
Shadowrocket 的 Connectivity Test 有响应，就代表可以正常上网吗？
不代表。Connectivity Test 只反映测试条件下的结果，真实网页还可能受到 DNS、规则、TLS、目标站点或应用网络设置影响，必须再打开实际网页复测。
应该先换节点，还是先改 DNS？
先不要同时修改。先保持节点不变，确认本地网络和连接参数，再用 Proxy 与 Config 对照；只有判断出解析层异常后，才单独调整 DNS。
为什么只有部分网站打不开？
这更像规则、策略组、DNS 分流或目标域名问题。保持节点和网络不变，临时用 Proxy 测试同一域名；如果 Proxy 正常而 Config 失败，就检查该域名命中的规则。
酒店或学校 Wi-Fi 下 Shadowrocket 一开就没网怎么办？
先关闭 Shadowrocket，在系统 Wi-Fi 页面完成登录、接受条款或认证，再重新打开客户端。若 Wi-Fi 本身仍无互联网，先处理网络认证，不要先更换节点。
可以直接删除 Shadowrocket 后重新安装吗？
不建议作为第一步。删除或清空配置可能丢失原始节点、规则和排错线索；应先记录当前设置、暂停其他 VPN，并按本页顺序做最小修改和回滚。