Shadowrocket 第一次打开:允许 VPN 配置权限与 Home 页各区块说明

第一次打开前，需要准备什么？

先核对应用，再准备自己的连接资料。Shadowrocket 是 Apple 平台的付费客户端，唯一获取入口是 App Store；在产品页核对开发者 Shadow Launch Technology Limited、官方图标与应用 ID 932747118。本文以 iPhone、iPad 为主，系统要求与通用购买适用性以 App Store 页面标注为准。

购买客户端并不会自动生成可用的服务器条目。客户端买断 ≠ 线路套餐；如果 Home 的 SERVER 列表为空，应先导入自己已有的资料，而不是反复切换连接开关。本站不提供、不销售、不推荐节点或订阅。

先确认设备自身能够联网，再进行导入与连接。可以暂不启动 Shadowrocket，在浏览器打开平时可直连的网站；如果这一步已经失败，应先检查当前 Wi-Fi 或蜂窝网络，避免把基础网络故障误判为应用设置问题。

VPN 配置权限应该在什么时候允许？

在确认是自己发起的连接操作后，允许系统添加 VPN 配置。授权通常出现在首次启动连接、需要建立系统 VPN 配置时，并不保证刚打开应用就立即弹出；弹窗时机与系统中是否已有配置有关。该授权允许 Shadowrocket 使用系统 VPN 网络通道，不表示服务器认证已经通过。

1. 核对应用

   从 App Store 安装后打开 Shadowrocket，进入 Home。先确认使用的是已核对开发者与应用 ID 的应用。

2. 导入资料

   在 Home 右上角点击「+」进入 Add Server。已有订阅时，在 Type 选择 Subscribe，填入自己的订阅地址并保存；确认内容获取成功后，再查看 SERVER 列表。

3. 选中条目

   在 Home → SERVER 选择准备使用的服务器，再检查 Home → Global Routing。首次连接时不要同时修改多组设置。

4. 允许配置

   打开 Home 顶部连接开关。系统询问是否添加 VPN 配置时选择允许，并按设备提示使用设备密码或生物识别完成确认。

5. 检查访问

   返回 Home 查看连接状态，再用浏览器打开自己需要访问的页面。分别记录连接能否保持、测试是否成功与页面是否加载，避免只看开关位置。

VPN 配置授权不要求填写 Apple 账户密码作为服务器密码。设备解锁验证由系统界面完成；服务器认证字段则来自自己的服务资料，在 Add Server 中填写。两类凭据不能相互替代。

Home 的开关、SERVER 与其他入口分别做什么？

Home 负责选择服务器与启动连接，Config 负责当前配置内容，Settings 负责应用设置。把这三个入口分开理解，可以避免在连接失败时误改整份配置。下面两张卡按“界面位置 → 实际作用”对应查看。

Not Connected 消失或连接开关保持开启，只能说明连接状态发生了变化，不能单独证明远端服务可用。有些协议在发送实际请求时才暴露认证、传输或解析问题，因此必须继续做浏览器访问验证。

SERVER 不是可直接使用的公共资源目录。列表内容来自用户自己的手动添加、分享资料或已有订阅；点击列表中的条目是选择连接对象，编辑条目才会改变其连接参数。排查时先记下当前选中项，避免测试一个条目、实际却连接另一个条目。

Global Routing 初次使用选哪一种？

已有可信且理解其用途的配置时，日常使用可以优先选择 Config；尚未核对配置时，不应把“推荐”理解成无需检查即可生效。入口为 Home → Global Routing，选择后返回 Home 确认当前显示值。以下对比仅针对 Shadowrocket 自身的模式。

Config 的实际效果取决于规则顺序与策略目标。规则一般自上而下匹配，命中后采用对应策略，FINAL 用作前面规则未命中时的兜底。例如下面仅用于理解语法的片段，会让 example.com 及其子域名采用 PROXY，其余请求使用 DIRECT；它不是可直接替代现有配置的完整文件。

[Rule]
DOMAIN-SUFFIX,example.com,PROXY
FINAL,DIRECT

On Demand 不属于上述四种分流模式。Settings → On Demand 控制连接何时被触发；Global Routing 控制连接工作时请求怎样处理。第一次排查时先保持手动连接，确认访问正常后再加入自动触发条件。

Connectivity Test 有延迟，是否就能正常上网？

测试成功只证明该测试所覆盖的路径能够响应，不保证所有网站可访问。在 Home 点击 Connectivity Test 后，应结合测试方式看结果：建立 TCP 连接、发送 HTTP 请求等测试检查的层次不同，单个延迟数字不能证明所有协议认证、DNS 解析及目标网站访问都正常。

• 测试超时：先确认设备基础网络可用，再核对所测条目的服务器地址与端口。端口应与自己的服务资料一致，不能因为常见 HTTPS 使用 443 就统一改成 443。
• 测试有结果，网页打不开：确认实际选中的 SERVER 条目与测试对象相同，再核对 Global Routing，以及 Config 中该域名最终采用的策略。
• 部分网页正常：记录具体失败域名与错误现象，区分页面超时、域名解析失败与网站返回错误，避免把不同现象统称为连接失败。
• 切换网络后才失败：在 Wi-Fi 与蜂窝网络分别测试，并检查系统是否允许应用使用蜂窝数据；若启用了 On Demand，同时核对触发条件。

延迟数值不等于传输速度，也不能独立作为选择服务器的依据。比较时应尽量保持相同设备、相同网络、相同测试方式；如果这几个条件已经变化，就不要把两次数字直接视为服务器性能差异。

SERVER 为空，或导入后仍无法连接怎么办？

列表为空时先处理资料导入，不要先排查 VPN 权限。已有订阅的入口是 Home 右上角「+」→ Add Server → Type → Subscribe；使用自己的订阅地址保存并获取内容。订阅更新用于重新获取条目，不是购买应用，也不等同于更新 Config 中的分流规则文件。

1. 确认资料类型。订阅地址与单条分享资料不是同一种内容，应使用对应入口。粘贴前检查是否多出空格、换行或不属于地址的说明文字。
2. 确认获取结果。保存订阅后查看是否出现服务器条目；若出现获取错误，先检查地址有效性、当前网络及原服务账户状态，再执行更新。
3. 确认参数完整。手动添加时，Type 必须与已有资料一致。Shadowsocks、VMess、VLESS、Trojan 等类型所需的认证及传输字段不同，不应只凭端口猜协议。
4. 确认实际选择。订阅更新后重新核对 SERVER 中的当前选中项，再启动连接。条目存在并不代表它已被选中，也不代表服务仍然可用。

订阅地址可能包含访问凭据，服务器详情也可能包含密码或其他认证信息。向他人说明问题时，只保留错误现象、协议类型与不敏感的设置路径；截图或复制文字之前，先遮去完整订阅地址及认证字段。

首次连接完成后，按什么顺序复核？

以“能够解释当前设置，并能重复完成一次访问”为完成标准，不以连接开关亮起为唯一标准。按下面顺序复核，后续换网络或更新订阅时也能沿用同一检查方法。

• 权限：由自己在 Home 发起连接，系统 VPN 配置授权已经完成，没有被设备管理策略阻止。
• 对象：SERVER 有条目，当前选中项明确，连接资料来自自己的已有服务。
• 模式：能在 Home → Global Routing 说清当前是 Config、Proxy、Direct 还是 Scene；使用 Config 时知道启用的是哪份文件。
• 结果：Connectivity Test 与浏览器访问分别验证，至少记录一个正常访问页面及需要进一步排查的具体错误。
• 自动连接：手动使用稳定后，再到 Settings → On Demand 核对条件；若连接停止后又自动启动，先检查这里，而不是立即删除应用。

需要暂停时，可以回到 Home 关闭连接，并观察是否因 On Demand 条件再次启动。删除系统 VPN 配置不是日常断开的必要操作；保留已经核对过的设置，有助于下次按相同路径恢复使用。