Shadowrocket 首次打开设置:VPN 配置权限与 Home 页各区块说明

本文速览

本文适合刚安装 Shadowrocket（小火箭）、尚未完成首次连接的用户。先分清系统 VPN 授权与服务器配置，再认识 Home、Config、Settings 的职责。读完后，可以按顺序完成授权、导入已有订阅、选定服务器和验证连接，并判断问题发生在哪一层。

VPN 配置权限：允许添加什么

Shadowrocket 使用 Apple 平台的网络扩展能力处理流量。初次设置过程中，系统会请求允许添加 VPN 配置；这个提示也可能在第一次打开连接开关时出现，而不是一进入 Home 就出现。点击允许后，按系统提示完成设备认证。提示的出现时机和呈现方式以设备实际显示为准。

这项授权允许客户端建立本机 VPN 连接。它不是订阅导入，也不会自动生成服务器地址、端口或凭据。系统 VPN 配置、Shadowrocket 的规则配置文件、服务商提供的服务器信息，是三类不同内容。只完成系统授权，仍然不足以访问需要代理的目标。

核对应用

确认应用名为 Shadowrocket，App Store 开发者为 Shadow Launch Technology Limited，应用 ID 为 932747118。需要重新核验时，打开本站下载指南。
进入 Home

打开客户端，查看 SERVER 是否已有条目。空列表表示尚未准备服务器信息，不要把空列表当作系统授权失败。
允许配置

在系统弹出添加 VPN 配置请求时，选择允许，并完成设备要求的认证。若尚未弹出，准备好服务器后再尝试 Home 的连接开关。
确认状态

返回 Home 检查连接状态。授权完成不等于连接成功；仍需选定服务器，并用 Connectivity Test 与实际请求验证。

Home、Config、Settings：三个入口的职责

Home 负责当前连接、路由模式、测试和服务器选择。Config 负责配置文件及其中的规则。Settings 负责客户端设置，包括 On Demand。第一次使用时，先在 Home 完成一次可用的手动连接，再进入其他入口调整行为，便于把连接问题与自动连接问题分开。

3 个入口

Home / Config / Settings：连接、配置文件、客户端设置

4 种模式

Global Routing：Proxy / Direct / Config / Scene

2 层入口

Settings → On Demand：检查按需连接设置

Home 的连接开关用于启动或停止本机连接。Global Routing 决定请求采用什么路由方式。Connectivity Test 提供连接诊断入口。SERVER 列出已导入或手动添加的服务器。四个区块互相配合，但不互相替代：改路由模式不会修复错误的密码，选服务器也不会自动补齐配置文件规则。

检查当前连接：回到 Home，看连接开关和状态反馈，不以应用仍在前台作为连接成立的依据。
检查分流规则：进入 Config，确认实际使用的配置文件，再看规则顺序和策略。
检查自动连接：进入 Settings → On Demand，确认是否启用了按需连接及相关条件。

SERVER 列表：先导入，再选默认服务器

本文以用户已有自己的服务商与订阅为前提。订阅从你的服务商处获取。Shadowrocket 是闭源商业应用，通过 App Store 一次性买断；客户端买断 ≠ 线路套餐。购买应用与准备可用服务器是两件事，SERVER 为空时应先准备自己的连接信息。

导入订阅可从 Home 右上角“+”进入，Type 选择 Subscribe，粘贴自己的订阅链接并保存。再返回 Home 检查是否出现服务器条目，按需要更新订阅。订阅地址通常包含凭据，不要将完整链接放进公开截图或问题描述。手动添加时，Type 应与服务商提供的协议一致。

按已有信息选择导入方式

已有订阅链接

Home → “+” → Type → Subscribe。
粘贴从你的服务商处获取的链接，再保存。
检查订阅更新结果和 SERVER 中的实际条目。
更新后重新确认当前选中的服务器。

已有单台参数

Home → “+” → Type，选择对应协议。
逐项填入服务器地址、端口和认证信息。
按提供的信息核对 TLS 与传输设置。
保存后回到 SERVER，选中该条目。

两种方式都只导入已有信息。导入完成后，还要选定默认服务器并验证连接。

Shadowsocks、VMess、VLESS、Trojan、Hysteria2、WireGuard 的字段与认证方式不同。不要根据名称相似就复制一组参数到另一种 Type。端口必须采用服务商给出的值；例如对方明确提供 443 时才填写 443，不能把它当作所有协议的通用端口。TLS 的服务器名称也不能简单用一个 IP 地址替换。

在 SERVER 中点选准备使用的条目，检查默认选择的圆点标记是否移到该条目。
分清“选中条目”和“进入编辑”：编辑保存参数不一定代表已将它设为当前默认服务器。
默认服务器用于需要引用当前服务器的代理路径；Config 中的策略组仍可能另行指定服务器或选择方式。
更新订阅后若条目消失或重命名，重新核对默认选择、策略引用与连接结果。

Global Routing：模式与规则的关系

Global Routing 改变流量的处理方式，不改变服务商账户或服务器参数。首次排查时，先记录当前模式。如果在 Proxy 下可用、在 Config 下异常，应优先检查规则命中和策略引用，而不是立即改密码或重新安装应用。

Config

Proxy

将受客户端接管的请求按代理模式处理，用于暂时排除常规分流规则的影响。服务器不可用时，切换到 Proxy 并不能修复连接参数。

适合：检查代理路径、对照 Config 的结果。

Direct

将受客户端接管的请求按直连模式处理。它与停止 VPN 连接不是同一个动作：客户端连接可以仍然开启，但请求采用直连路径。

适合：对照本地网络能否直接访问目标。

Scene

使用已配置的场景条件决定路由行为。选择前应核对场景内容和当前网络，不要把 Scene 当作自动寻找可用服务器的功能。

适合：已经配置场景、需要按环境切换行为。

理解 Config 时，先认识四个常见规则关键字。DOMAIN-SUFFIX 匹配域名后缀；GEOIP 按 IP 地理归属匹配；IP-CIDR 匹配地址段；FINAL 为前面均未命中的请求给出最终策略。规则通常按顺序匹配，因此更具体的条件应放在宽泛条件前面。

[Rule]
DOMAIN-SUFFIX,example.com,DIRECT
IP-CIDR,192.168.0.0/16,DIRECT
GEOIP,CN,DIRECT
FINAL,PROXY

连接开关与 Connectivity Test：怎样确认可用

选定服务器后，在 Home 打开连接开关。若系统要求授权，先完成授权；若立即返回关闭状态，检查系统提示和服务器参数。连接开关保持开启只表明连接处于相应状态，不等于所有目标都能访问。还需要测试目标响应，并发起一次实际请求。

连接前核对

入口: Home → SERVER
当前选择: 默认圆点标记对应预期服务器
路由模式: Home → Global Routing
参数依据: 地址、端口与凭据采用服务商给出的值

先确认连接对象，再打开开关。每次只改一个变量。

连接后验证

入口: Home → Connectivity Test
查看结果: 测试是否返回响应或超时
实际请求: 打开自己需要访问的目标页面
对照条件: 同一服务器、同一网络、记录 Global Routing

测试结果只对应测试条件，不能替代实际业务请求。

SERVER 中的延迟测试与 Connectivity Test 不应混为一谈。延迟结果反映所选测试方法下的响应情况，不是带宽承诺。Connectivity Test 也可能受测试目标、DNS、路由策略和网络状态影响。如果测试成功但某个页面打不开，继续检查该页面的域名、规则命中与访问路径。

开关开启，测试超时：保持服务器不变，检查本地网络，再核对地址、端口、认证与 TLS 等参数。
Proxy 正常，Config 异常：检查 Config 的规则顺序、FINAL 和策略引用是否指向可用路径。
测试正常，目标异常：记录具体目标与现象，检查该请求是否直连、是否命中预期策略，不以一次测试结果推断全部请求。
Wi-Fi 正常，蜂窝异常：在同一服务器与同一路由模式下复测，避免同时换网络和换服务器导致原因无法定位。

Settings → On Demand：手动连接之后再设置

On Demand 用于按设定条件触发连接行为。它解决“何时连接”的问题，不解决服务器是否可用的问题。首次使用时，应先让手动连接、Connectivity Test 和实际请求都得到可解释的结果，再进入 Settings → On Demand 检查条件。

若刚关闭连接，稍后又发现连接恢复，应检查 On Demand 是否启用，以及当前网络是否符合条件。把这种现象直接认定为开关失效，会把正常的按需触发行为误当作故障。修改条件后，在相同网络下再试一次，并记录客户端状态。

在 Home 确认当前服务器与 Global Routing，先完成手动验证。
打开 Settings → On Demand，检查启用状态与已设置的网络条件。
根据实际需要调整条件，首次排查不同时改规则文件或服务器参数。
回到 Home，在预期网络环境中观察连接行为，确认结果符合设置。