首次使用 Shadowrocket（小火箭）时，先准备用户已有的连接资料，再从 Home 发起连接，并在系统提示中允许添加 VPN 配置。本文按授权、连接开关、路由模式、连接测试与服务器列表依次说明，帮助区分“系统允许连接”“客户端正在运行”和“目标网站能正常访问”这三个不同结果。
首次连接前：核对应用与已有资料
Shadowrocket 是 Apple 平台的付费客户端，主要在 iPhone 与 iPad 上使用，唯一获取入口是 App Store。核对开发者 Shadow Launch Technology Limited 与应用 ID 932747118 后再完成购买。应用采用一次性买断；系统要求、其他 Apple 设备兼容性及通用购买范围，以 App Store 页面标注为准。
客户端购买与连接服务是两件事。本文以用户已有自己的服务商与订阅或单条服务器参数为前提，本站不提供、不销售、不推荐节点或订阅。如果 Home 中的 SERVER 列表为空，允许 VPN 配置也不会自动填入服务器地址、端口或认证资料。
Home 用于观察连接状态、选择服务器和调整当前路由方式；Config 用于管理配置文件及规则；Settings 用于管理应用设置，例如 On Demand。服务器资料与规则配置不能混为一谈：前者描述连接到哪里以及如何认证，后者决定哪些请求使用什么策略。
- 已有订阅：准备完整链接，保留其中的查询参数，不把截图中的截断地址当成完整链接。
- 已有单条参数：核对协议、地址、端口和认证字段，不能只凭名称判断是否填写正确。
- 已有配置文件：确认来源与预期规则，尤其是最终策略；详细入口可查看导入说明。
允许 VPN 配置：系统授权与首次连接步骤
仅打开应用不一定立即出现 VPN 授权窗口。通常在首次发起连接、需要创建系统 VPN 配置时，系统才会请求允许添加配置。允许后，Shadowrocket 的网络扩展可以建立本地流量处理通道。这个授权不是服务器账户认证，也不代表所有请求都会发往远端代理服务器；具体去向仍由 Global Routing 与配置规则决定。
-
检查资料
进入 Home，确认 SERVER 列表已经显示用户导入的服务器。列表为空时，先完成资料导入，不要把系统权限当作服务器配置。
-
选择服务器
在 Home → SERVER 中选择准备使用的条目，检查当前选择标记。名称相似时，通过编辑页面核对地址、端口与协议。
-
检查路由
打开 Home → Global Routing。已有并确认过规则配置时选择 Config；本次只是排查服务器连接时，可临时选择 Proxy，测试结束后恢复原有模式。
-
开启连接
返回 Home，操作 Not Connected 旁的连接开关。系统请求添加 VPN 配置时，核对请求来自 Shadowrocket，再选择允许，并按系统要求完成身份验证。
-
验证访问
回到 Home 确认状态，再使用 Connectivity Test 和实际网页访问交叉检查。测试时先保持同一个网络与服务器，避免同时改动多个设置。
如果首次选择了拒绝，先返回 Home 重新发起连接，查看系统是否再次请求授权。需要检查已有系统配置时，可在 iPhone 或 iPad 的系统设置中进入“通用 → VPN 与设备管理 → VPN”；具体显示名称以设备系统为准。不要为了排查而删除不属于本次使用的配置，尤其是设备管理所要求保留的项目。
允许添加 VPN 配置，只完成了系统权限这一层。服务器资料有效、当前网络可达、规则选择正确以及目标服务可访问，仍需分别验证。
Not Connected：开关状态能说明什么
Not Connected 表示当前未建立客户端连接。开关用于启动或停止流量处理，不负责导入订阅，也不会修复错误的认证参数。开关开启后，应同时查看状态文字，避免只凭开关的位置认定连接已经完成。
即使系统显示 VPN 已连接，也只能说明对应的本地通道处于工作状态，并不能证明某个服务器对所有请求都可用。选择 Direct 时，本地通道可以处于开启状态，但请求按直连方式处理；使用 Config 时，一部分请求可能命中 DIRECT，另一部分才使用代理策略。
| 观察到的情况 | 先检查什么 | 不能直接推断什么 |
|---|---|---|
| 显示 Not Connected | Home 连接开关、系统授权是否完成 | 不能仅凭此认定服务器失效 |
| 开启后很快回到未连接 | 系统是否拒绝授权、是否出现具体错误提示 | 不能仅凭此归因于规则 |
| 状态已连接，但网页失败 | 当前服务器、Global Routing、DNS 与目标请求 | 不能据此认定所有流量都已成功代理 |
| 手动关闭后又自动连接 | Settings → On Demand 与系统 VPN 自动连接设置 | 不能只凭现象认定开关失灵 |
排查时记录“哪一步发生变化”比反复切换更有用。例如记录是否出现过系统授权、何时回到未连接、切换网络后是否变化。不要把服务器认证字段、订阅完整链接或带令牌的截图公开分享。
Global Routing：四种模式分别控制什么
入口是 Home → Global Routing。它决定请求采用哪一种路由方式，与“是否已经允许 VPN 配置”属于不同层级。首次使用时先读当前模式，再检查配置；不要把 Proxy 理解为系统授权，也不要把 Direct 理解为关闭连接开关。
Config
推荐按当前配置中的规则选择策略。结果取决于具体规则、顺序与 FINAL；并非所有 Config 配置都会自动实现部分直连、部分代理。
适合：已有并核对过规则配置，希望按请求条件分流。
Proxy
对进入客户端处理范围的请求采用全局代理路由，不以常规分流规则选择 DIRECT 或 REJECT。仍需有效服务器资料，且不保证远端服务一定可达。
适合：临时排查代理连接，减少规则分流带来的变量。
Direct
对进入客户端处理范围的请求采用直连路由。它改变请求去向，不等于撤销系统 VPN 权限，也不等于关闭 Home 的连接开关。
适合：对照直连访问结果，判断问题是否与代理路径有关。
Scene
按预先设置的场景条件决定路由行为。应先核对 Scene 的具体设置，不能把它视为无需配置就能自动选出可用服务器的模式。
适合：已经建立并理解场景设置，需要按环境调整路由。
以规则写法为例，下面的片段表示示例域名后缀使用 PROXY，其余请求使用 DIRECT。它只是规则部分的教学示例，不是完整配置，也没有提供服务器资料：
DOMAIN-SUFFIX,example.com,PROXY
FINAL,DIRECT规则通常自上而下匹配，先命中的规则决定该请求使用的策略，FINAL 处理前面未匹配的请求。DOMAIN-SUFFIX 对应域名后缀条件，GEOIP 对应 IP 地理归属条件，IP-CIDR 对应地址网段条件。首次上手不用同时加入多种规则；先确认当前 Config 与预期一致，再逐项增加条件。更多验证步骤可查看规则分流入门。
Connectivity Test 与 SERVER：测试、选择和更新
Home → Connectivity Test 用于诊断连接表现，SERVER 列表用于查看和选择已有服务器。两者作用不同：测试结果帮助判断某条连接在当前条件下的表现，选择标记决定当前使用哪个条目。订阅更新则是重新获取用户已有订阅中的资料，不是连接测试。
- 先确认测试方法。TCP 类测试主要反映连接建立情况；涉及 HTTP 请求的测试还会受到目标地址、TLS 和响应过程影响。比较数值时应使用相同方法和网络。
- 延迟不是速度。结果中的毫秒值反映该次测试耗时，不是下载吞吐量；单次较低数值也不保证持续传输稳定。
- 失败不是唯一诊断。超时或失败可能与服务器地址、端口、网络限制、认证、DNS 或测试目标有关，不能仅凭一项结果确定原因。
- 核对当前选择。测试多个条目以后，再确认 SERVER 中实际选中的服务器。测试过某条服务器，不意味着它已经成为当前选择。
- 更新后复查。更新用户已有订阅后，条目可能改变。确认当前选择仍符合预期，再检查认证资料与配置中的策略引用。
手填服务器时，端口没有适用于所有协议的统一默认值。例如资料写明端口为 443，就应填写 443；不能因为协议使用 TLS 就擅自替换端口。Shadowsocks、VMess、VLESS、Trojan、Hysteria2 与 WireGuard 的认证字段并不相同，不能只更改 Type 而保留另一种协议的字段。
可采用一次只改一个变量的验证方法：保持网络不变，测试当前服务器，再尝试实际网页；随后仅切换到另一个用户已有条目重测。若需要比较 Wi-Fi 与蜂窝网络，也应保持服务器和模式不变。这里给出的是操作方法，不预设测试数值或保证结果。
Connectivity Test 成功，是一项诊断证据，不是所有网站都能访问的证明。实际验证还应包含目标网页，并核对请求是否使用了预期策略。
On Demand 与 Config：避免把自动连接当作规则分流
第一次连接验证完成后，再考虑自动连接。Settings → On Demand 用来管理按条件触发连接的行为；Config 中的规则则在请求处理时决定策略。前者回答“何时启动连接”，后者回答“这条请求走哪里”，两者不能互相替代。
手动验证路径
- 连接开关
- Home → Not Connected 旁的开关
- 路由选择
- Home → Global Routing → Config
- 规则位置
- Config → 当前使用的配置文件
- 测试入口
- Home → Connectivity Test
先完成手动连接与目标访问验证，再调整自动化条件。
On Demand 检查
- 应用入口
- Settings → On Demand
- 主要作用
- 依据已设置的网络条件触发连接行为
- 排查现象
- 手动关闭连接后，网络条件变化又触发连接
- 规则边界
- 不替代 DOMAIN-SUFFIX 或 FINAL 等请求规则
需要完全停止自动重连时，同时核对应用条件与系统 VPN 设置。
不要在首次连接失败时同时改动 On Demand、DNS、协议字段和 Global Routing。这样即使访问恢复，也无法判断哪个设置起了作用。先关闭不需要的自动触发，保留一套可复查的手动测试条件，再按错误提示检查相应层级。
- 服务器列表为空：返回导入步骤，检查用户已有资料是否完整保存。
- 系统授权未完成：返回 Home 发起连接，完成系统允许与身份验证。
- 连接已建立但目标失败：核对 Global Routing、当前服务器及实际请求结果。
- 断开后自动重连：检查 Settings → On Demand，再核对系统 VPN 自动连接设置。
首次上手的完成标准不是“开关变成开启”，而是能够说明当前选择了哪个服务器、使用哪种路由模式，并通过目标访问确认预期结果。保留这套顺序，后续订阅更新或切换网络时就能沿同一路径复查。