本文适合已安装 Shadowrocket（小火箭）、准备使用自己已有连接配置的用户。先区分系统 VPN 授权与服务端参数，再依次认识 Home 的连接开关、SERVER、Global Routing 和 Connectivity Test，最后通过手动连接与 On Demand 的对照排查首次连接问题。完成后应能判断故障停在授权、配置、连接还是规则这一层。
首次连接：先准备配置，再处理 VPN 授权
Shadowrocket 是 Apple 平台的付费客户端，以 iPhone、iPad 使用为主，唯一获取入口是 App Store。购买应用后，仍需准备自己已有的订阅或节点参数。本文不提供、不销售、不推荐节点或订阅；系统要求与设备兼容性以 App Store 页面标注为准。
添加 VPN 配置的提示属于系统权限请求，用于允许 Shadowrocket 建立本机网络隧道。它不是远端服务器的登录提示，也不会自动生成可用线路。首次进入应用不一定立即弹出请求；通常在第一次尝试建立连接、需要创建系统 VPN 配置时出现。
-
核对应用
从 App Store 安装后打开 Shadowrocket。需要核对购买入口时，前往正版核验页，确认开发者为 Shadow Launch Technology Limited，应用 ID 为
932747118。 -
准备参数
在 Home 右上角点“+”进入 Add Server，按已有参数选择 Type。手填时逐项核对服务器地址、端口与认证字段；若使用已有订阅，选择 Subscribe 并填写自己的地址。保存后确认 SERVER 中已有可选条目。
-
手动连接
回到 Home，选择准备测试的条目，再打开 Not Connected 对应的连接开关。首次测试先保持手动操作，不急于启用 Settings → On Demand。
-
允许配置
系统出现添加 VPN 配置请求时，核对请求来自 Shadowrocket 后点 Allow。若系统随后要求设备密码或身份验证，按系统提示完成；不要在服务器密码字段中填写设备解锁密码。
-
返回检查
回到 Home 查看连接状态是否改变，再做 Connectivity Test 和实际访问测试。若刚才取消了授权，重新打开连接开关，让应用再次尝试创建配置。
Home、Config、Settings：先分清三个入口
Home 用于日常连接与选择服务器；Config 管理规则配置文件；Settings 提供应用行为与测试相关设置。订阅条目和规则配置承担不同职责：前者主要提供服务器信息，后者决定连接如何匹配规则与执行策略。看到 Home 中出现服务器，并不能据此判断规则文件已经正确启用。
Not Connected：连接状态与操作开关
Not Connected 表示当前没有建立应用的 VPN 连接，不是订阅失效的专用错误提示。打开开关后若状态没有保持，应先确认授权是否完成，再检查所选服务器参数。系统显示 VPN 连接已建立时，也仍可能出现远端连接失败、DNS 解析失败或规则选择不符合预期的情况。
SERVER：选择要使用的服务器条目
SERVER 区域承载服务器列表及订阅分组。首次测试要明确选中哪一个条目，避免修改了 A 条目的端口，却一直用 B 条目连接。订阅更新用于重新获取服务器列表，不等同于打开连接，也不等同于切换 Config 页的规则配置文件。
- 列表为空：先检查是否已经保存单条服务器，或订阅是否成功解析；重复允许 VPN 配置不会填充列表。
- 列表存在但不能连接：核对当前所选条目的地址、端口和协议认证字段，不要只看显示名称。
- 订阅更新后内容改变：重新确认选中条目，并核对参数是否随订阅发生变化。
Global Routing：四种选项分别控制什么
Global Routing 决定流量采用怎样的路由方式。首次排查时，要把“VPN 开关是否开启”与“流量最终走哪里”分开观察：连接开关打开，不代表所有请求都会经过所选代理服务器。下面只比较 Shadowrocket 自身的选项；Config 的推荐前提是已有经过核对的规则配置。
Config
推荐按照当前启用配置中的规则与策略处理连接。匹配结果可能是 DIRECT、某个代理或策略组；未命中的请求由 FINAL 等兜底设置处理，不能简单理解成“其余全部直连”。
适合：已有正确规则配置，需要日常按规则分流。
Proxy
整体采用代理路由，适合临时缩小规则影响范围。它不会修正错误的 UUID、密码、端口或 TLS 参数，也不能证明所有网络请求都一定成功。
适合：对照 Config 测试，判断问题是否与规则选择有关。
Direct
整体采用直接连接。此时即使 VPN 处于连接状态，也不应把访问结果当成所选代理服务器的可用性证明。
适合：建立当前本地网络的直连对照。
Scene
根据已设置的场景条件应用相应路由安排。它依赖事先完成的场景设置，不是一个自动修复连接的按钮；没有明确配置场景时，先使用可解释的手动选项。
适合：已配置场景，需要按指定环境切换路由行为。
Config 模式下，规则通常自上而下匹配。例如 DOMAIN-SUFFIX,example.com,DIRECT 让对应域名后缀使用 DIRECT；列表末尾的 FINAL,DIRECT 让此前未匹配的连接直连。这里的 example.com 仅用于解释语法，不是要导入的完整配置。检查问题时还应查看 GEOIP、IP-CIDR 等规则是否先于目标规则命中。
Connectivity Test：把测试结果与实际访问对照
Connectivity Test 用于检查连接可达情况，但结果需要结合测试对象和测试方式理解。列表旁的延迟值、一次测试成功、一次网页打开成功，分别只能说明相应条件下的结果。它们不能互相替代，也不能单独证明订阅内所有条目均可使用。
首次测试应固定网络、固定服务器条目和固定目标，每次只改变一个设置。若同时切换 Wi-Fi、服务器和 Global Routing，即使访问恢复，也无法知道是哪一个改动起了作用。
| 可观察现象 | 优先检查 | 下一步操作 |
|---|---|---|
| 打开开关即回到未连接 | VPN 授权、系统限制、配置创建情况 | 确认系统请求已经允许，再返回 Home 重试。 |
| 列表有延迟，但目标网页失败 | 测试方式、Global Routing、DNS 与目标可达性 | 记录测试对象，再用相同网络对照 Proxy 与 Config。 |
| Proxy 可用，Config 失败 | 当前规则文件、命中策略与策略组选择 | 到 Config 核对启用文件，检查目标相关规则及 FINAL。 |
| 更换网络后才出现失败 | 本地网络登录、网络限制、地址可达性 | 先确认该网络可正常联网，再用同一条目重复测试。 |
手填服务器时，端口必须与已有参数一致。例如原始资料明确写 443，就核对应用中是否也是 443；不能因为启用了 TLS，就自行把任何端口改成 443。同样，VMess 的 UUID、VLESS 的 flow、Trojan 的密码与 TLS 参数各有用途，不能把一种协议的字段套到另一种协议上。
On Demand：手动连通后再设置自动触发
Settings → On Demand 管理按条件自动建立 VPN 连接的行为。它和 Global Routing 不是同一层设置：前者处理何时触发连接，后者处理连接中的流量如何路由。初次使用时先完成手动连通验证，可以避免自动触发掩盖开关操作的真实结果。
操作顺序：先手动验证，再引入自动触发
首次手动验证
- 在 Settings → On Demand 暂停自动触发。
- 回 Home，选择一个参数已核对的服务器。
- 手动连接，完成系统授权与访问测试。
- 记录可用的 Global Routing 选项和网络环境。
后续自动连接
- 手动连接稳定后，再进入 Settings → On Demand。
- 核对已有触发条件，再启用所需行为。
- 分别验证切换网络与手动断开的结果。
- 若意外重连，先暂停自动触发再复测。
先证明服务器与路由可用，再判断自动触发是否符合预期；不要用 On Demand 代替连接故障排查。
如果刚关闭开关又重新连接，优先检查 On Demand 是否仍在生效。若设备还使用组织管理的网络策略，也应核对相关限制。不要为消除一次自动重连就删除所有系统 VPN 配置；先明确是哪项设置在触发连接，再处理对应项目。
首次使用常见问题
刚才点了不允许，必须重新安装吗？
先回 Home 重新打开连接开关，按再次出现的系统提示允许添加 VPN 配置。若没有出现请求或仍无法创建，查看系统“设置 → 通用 → VPN 与设备管理”中的现有配置与管理限制；不需要先以重新安装作为常规处理步骤。
允许 VPN 后，为什么 SERVER 还是空的？
VPN 权限不负责提供服务器。回 Home，通过右上角“+”添加已有参数，或导入自己的订阅。确认保存成功、订阅已返回可解析的条目后，再选择服务器并连接。
显示已连接，为什么感觉没有经过代理？
先打开 Home → Global Routing，确认不是 Direct。若使用 Config，检查目标是否命中 DIRECT 或某个直连策略；可临时切到 Proxy，用同一目标做对照，测试后恢复原本需要的模式。
关闭开关后又自动连上，该查哪里？
先到 Settings → On Demand 暂停自动触发，再回 Home 断开并观察。如果这样不再重连，问题属于触发条件，而不是连接开关失效；重新启用前应逐项核对条件。
求助时可以直接发订阅地址和截图吗？
先隐藏订阅 token、UUID、密码、私钥和二维码中的认证内容。保留协议类型、端口、Global Routing 选项、授权是否成功、测试现象及网络类型即可。分享原始订阅地址可能泄露访问权限。
完成首次设置的判断标准不是“出现了 VPN 标志”，而是系统授权完成、所选条目明确、路由方式可解释，并且目标访问结果与预期一致。以后修改规则、更新订阅或启用 On Demand，也按这几层分别复核，便于准确定位变化来源。