Shadowrocket 连接不上网怎么办？
简答：先关闭 Shadowrocket，确认 Safari 在当前网络能正常打开网页，再只改一个变量复测：依次检查 VPN 权限、节点、Global Routing、规则与 DNS。完成后应能判断是 iPhone 网络、客户端配置还是服务端连接问题。
定义：Shadowrocket 连接不上网，是指客户端无法建立 VPN 连接，或显示已连接但请求仍无法通过节点、规则或 DNS 正常访问目标网站。
先做一分钟快速修复：按症状对照
本文是第三方使用指南，Shadowrocket 的应用能力与系统权限以App Store 应用页面和 Apple 当前系统界面为准。Shadowrocket 是 iPhone、iPad 等 Apple 设备上的规则代理客户端，本身不提供服务器或订阅配置；App Store 页面也明确说明用户需要自行准备配置。
| 现象 | 先检查 | 下一步 |
|---|---|---|
| 开关打不开、弹回或一直转圈 | iOS VPN 权限、重复 VPN 配置、当前网络 | 重新触发授权；到“设置”>“通用”>“VPN 与设备管理”检查配置 |
| 显示已连接，但所有网站都打不开 | 节点、协议参数、Global Routing | 换一个已知可用节点，并暂时用 Proxy 模式对比 |
| 只有部分网站打不开 | Config、规则顺序、DNS | 暂时切换 Proxy；若恢复，重点检查 Config 中的规则 |
| Wi-Fi 可以，蜂窝数据不行 | 蜂窝数据总开关和 Shadowrocket 的蜂窝权限 | 到“设置”>“蜂窝网络”确认两项都已开启 |
| 所有节点都超时或拒绝 | 订阅状态、流量、服务端维护或当前网络 | 刷新订阅、交叉测试 Wi-Fi 与蜂窝数据；仍失败时联系配置提供方 |
最快顺序：先关掉 Shadowrocket，直接用 Safari 测试同一网络；基础网络正常后，重新打开客户端，只选择一个具体节点，再重新发起一次网页请求。不要一开始同时修改 DNS、规则和协议参数。
开关打不开、弹回或一直转圈：先处理 iOS 权限
- 打开 Shadowrocket，重新点一次连接开关。首次创建系统 VPN 配置时，iOS 会要求用户明确授权；Apple 的 Network Extension 文档说明，应用保存 VPN 配置时需要用户授权。可参考Apple Personal VPN 文档了解系统授权机制。
- 如果授权提示没有出现，打开“设置”>“通用”>“VPN 与设备管理”，检查是否存在旧的 VPN 配置或配置描述文件。不要直接删除公司、学校或 MDM 配置；Apple 说明，删除配置文件会同时删除其关联设置、应用和数据，具体可看Apple 配置描述文件说明。
- 暂时关闭其他 VPN、网络过滤器或按需连接功能，再只保留 Shadowrocket 进行测试。若开关仍立即关闭，记录设备型号、iOS 版本、时间和客户端日志，不要把订阅链接、密码、UUID 或完整日志发到公开场所。
如果 iPhone 的其他网络功能也异常，可考虑系统网络设置问题。重置网络设置会移除已使用的 Wi-Fi 和部分 VPN 设置，执行前应确认自己知道 Wi-Fi 密码及必要的 VPN 配置，避免把重置当成第一步。
显示已连接但无法上网：节点、模式和规则分开测
- 回到 Shadowrocket 的 Home 页面，确认已经选中一个具体节点，而不是空分组、失效分组或未完成导入的条目。客户端能显示 VPN 图标，只代表系统隧道建立，不代表远端节点一定可用。
- 检查 Global Routing。先记下原来的模式，再临时切换为 Proxy 做对比；如果 Proxy 能访问而 Config 不能，问题更可能在当前 Config、规则顺序或策略组。Direct 只用于测试当前网络的直连能力，不代表代理已经关闭。
- 如果使用 Config，打开 Config 页面确认实际启用的是哪一份配置，并检查 Rule。规则通常按顺序匹配，前面的宽泛规则可能先命中，导致后面的目标规则不生效；修改前先保留原配置副本。
- 检查节点详情中的服务器地址、端口号、认证信息、协议、TLS、SNI 或传输参数。不要凭感觉改参数，每次只改一项，然后重新打开一个新网页测试。
Shadowrocket 的 App Store 页面列出了规则匹配、HTTP/HTTPS/TCP 流量记录、IPv6 以及多种 DNS 能力，但这些功能是否适合当前配置，仍取决于节点参数和配置内容，不能仅凭“已连接”判断链路正常。相关能力可核对App Store 功能说明。
只有部分网站打不开：检查 Config、DNS 与网络类型
- 先切 Proxy：如果切换后目标网站恢复，优先检查 Config 中的规则、策略组和最终匹配项；如果仍打不开，继续检查节点或 DNS。
- 再换网络：在相同节点下分别测试 Wi-Fi 和蜂窝数据。Apple 说明，iPhone 可在“设置”>“蜂窝网络”中控制总开关和单个应用的蜂窝数据权限；如果 Shadowrocket 的蜂窝数据权限被关闭，Wi-Fi 正常而蜂窝数据失败是可以预期的，详见Apple 蜂窝数据设置说明。
- 最后看 DNS：若日志显示域名解析失败、部分域名超时或切换网络后表现不同，再检查 Shadowrocket 的 DNS 设置。不要把“能测试延迟”当成“网页一定能打开”，延迟测试和实际 DNS、TLS、规则匹配是不同环节。
- 不要先开启 HTTPS 解密：排障只需访问普通网页时，不需要为了连接问题启用 HTTPS 解密；证书、脚本和规则问题应在确定基础连接正常后单独处理。
若只有一个网站打不开，先用 Safari 直连和 Proxy 各测试一次，并换一个普通网站对比。若多个网站都失败，优先回到节点、模式和 DNS，而不是继续添加规则。
刷新订阅后仍不能连接：确认是否属于服务端问题
- 在 Shadowrocket 中刷新对应订阅或重新导入配置，确认更新时间发生变化，并检查是否真的生成了节点条目。
- 确认订阅是否过期、账户流量是否用尽、配置提供方是否正在维护。以上信息通常无法由客户端单独证明；如果没有服务端公告或账户页面证据，应标记为“未核实”，不要直接判断节点已失效。
- 从刷新后的列表中选择两个不同节点测试。若只有一个节点失败，可能是单节点参数或服务端问题；若全部节点失败，再用另一网络测试，以区分当前 Wi-Fi、蜂窝网络与服务端原因。
- 向配置提供方反馈时，只提供设备型号、iOS 版本、Shadowrocket 版本、发生时间、节点名称和脱敏后的错误类型，不要发送完整订阅链接、密码、UUID、Cookie 或完整日志。
App Store 页面明确说明 Shadowrocket 是独立客户端，不包含代理服务或服务器资源。因此，客户端安装正常并不等于订阅、节点或远端服务一定可用。
在哪里看日志：用错误类型决定下一步
在 Shadowrocket 内打开日志或请求记录相关页面，先清空旧记录，再关闭并重新打开一个目标网页；不同版本的页面名称和位置可能变化，应以当前界面显示为准。记录错误类型即可，不要复制包含身份信息的完整内容。
| 日志关键词 | 通常表示 | 处理动作 |
|---|---|---|
timeout | 连接在规定时间内没有完成 | 换节点、换 Wi-Fi 或蜂窝数据，检查服务器地址和端口号 |
connection refused | 目标端口拒绝连接 | 核对端口号、协议和服务端状态；不要只反复重启客户端 |
no such host | 域名解析失败或域名无效 | 检查域名拼写、DNS 设置和当前网络的 DNS 可用性 |
| TLS、SNI 或证书错误 | 加密握手参数不匹配 | 核对 TLS、SNI、传输方式和设备日期时间 |
| 规则命中但访问失败 | 请求被分配到不合适的策略 | 检查 Config、规则顺序和策略组，先用 Proxy 做对照 |
复测通过的标准是：VPN 开关保持开启；两个不同网站能正常打开；Wi-Fi 与蜂窝数据至少分别完成一次测试；日志不再持续出现同一类错误。若只在单个网站失败，不要把它扩大判断为整个客户端故障。
最后核对：2026-10-26
Shadowrocket 连接不上网时，优先按照“基础网络—VPN 权限—具体节点—Global Routing—Config 规则—DNS—服务端状态”的顺序排查。每轮只改变一个变量，并用新的网页请求复测。无法从客户端确认的订阅过期、流量用尽、维护或节点状态，统一写作“未核实”，以配置提供方的账户页面或公告为准。
如果你需要进一步排查跨设备网络、DNS、MTU 或延迟差异，可继续阅读站内的客户端使用指南和跨境网络速度慢的定位方法。本文与边界云加速的关系仅为站内技术内容与服务入口的区分，边界云加速的服务信息以其官网为准。
常见问题
Shadowrocket 已经显示连接，为什么还是不能上网？
VPN 图标或连接状态只说明系统隧道建立，不代表节点、DNS、规则和目标网站都正常。先在 Home 中确认具体节点，再把 Global Routing 临时切换为 Proxy；如果恢复，重点检查 Config 和规则。
Shadowrocket 开关一打开就自动关闭怎么办？
先重新触发 VPN 授权，再到“设置”>“通用”>“VPN 与设备管理”检查旧配置、其他 VPN 或配置描述文件。不要直接删除公司或学校的管理配置；仍失败时记录日志并测试另一网络。
Shadowrocket 只有蜂窝数据不能用，Wi-Fi 正常怎么办？
到“设置”>“蜂窝网络”确认蜂窝数据总开关已打开，并确认 Shadowrocket 的蜂窝数据权限未被关闭。随后在同一节点下重新发起网页请求，避免用缓存页面判断结果。
Shadowrocket 节点全部超时，是不是客户端坏了？
不能仅凭超时判断客户端故障。先刷新订阅、换两个节点，再分别测试 Wi-Fi 和蜂窝数据；如果全部组合都失败，应向配置提供方核实订阅、账户流量和服务端维护状态。
排查时可以直接改 DNS 或开启 HTTPS 解密吗？
不建议一开始同时改多个设置。先完成基础网络、VPN 权限、节点和 Global Routing 对照；只有日志指向域名解析问题时再单独调整 DNS，HTTPS 解密不应作为普通连接故障的首选修复。