Shadowrocket 连接后无法上网怎么办？
简答：先关闭 Shadowrocket，确认 iPhone 或 iPad 在当前 Wi-Fi、蜂窝数据下能否直接上网；如果直连正常，再回到 Shadowrocket 依次测试 Proxy、Config 和 Direct，并只修改一个变量。全部网站打不开通常先查节点、VPN 冲突或系统网络，只有部分网站打不开则优先查规则、DNS 或协议兼容性。
定义：Shadowrocket 连接后无法上网，是指应用显示已建立连接或系统出现 VPN 图标，但网页、App 或特定网络请求仍无法完成。
先试这一步：用同一网络做三次对照
本文适用于 iPhone、iPad 上的 Shadowrocket，菜单名称可能因系统或应用版本略有差异；不覆盖 Windows、Android 或其他客户端。本站与“蜂窝加速器-真专线线路”无隶属关系，也不是其官方。Shadowrocket 是独立的规则代理工具，本身不包含代理服务或服务器资源，App Store 页面也明确说明用户需要自行提供配置。
App Store 的 Shadowrocket 页面列出了规则匹配、DNS、Wi-Fi 与蜂窝网络等功能。排查时不要把“连接开关已打开”或“延迟测试有结果”直接当成网页、HTTPS 或 UDP 一定可用。
| 测试 | 操作 | 结果判断 |
|---|---|---|
| 1. 直连基线 | 关闭 Shadowrocket，使用当前 Wi-Fi 或蜂窝数据打开同一个网页 | 直连也打不开：先修复本地网络，不要先改 DNS 或节点 |
| 2. Proxy 对照 | 重新打开 Shadowrocket，选择一个已知配置中的节点，临时使用 Proxy 模式测试同一网页 | Proxy 成功：优先检查 Config、规则或分流策略 |
| 3. Config 对照 | 切回 Config，确认启用的是预期配置文件，再打开同一个网页 | Proxy 成功而 Config 失败：查看规则命中、策略名称和最终规则 |
| 4. 网络切换 | 在同一节点下分别用 Wi-Fi 与蜂窝数据复测 | 仅一个网络失败：重点检查该网络、DNS、企业网关或 UDP 可达性 |
| 5. 恢复原状 | 记录原来的模式、配置文件和节点，再撤销临时改动 | 避免把排查过程中的临时设置当成最终配置 |
按故障现象分流，不要同时改多个设置
全部网站和 App 都打不开
- 关闭 Shadowrocket，确认手机本身可以打开普通网页。
- 进入系统的“设置”检查是否还有其他 VPN、网络加速器、安全软件或残留描述文件。Apple 建议在出现网络连接问题时检查 VPN 和第三方安全软件，因为它们可能拦截网络连接；可参考 Apple 关于 VPN 和第三方安全软件导致网络问题的说明。
- 只保留 Shadowrocket 作为当前测试对象，重启设备后重新连接。
- 如果仍然全部打不开，切换另一个已存在的节点或配置进行对照。若所有节点都失败，优先核对订阅是否需要更新、节点地址是否仍有效、账号认证是否完整；具体服务状态未核实，应以服务提供方页面为准。
只有部分网站打不开
- 将 Global Routing 临时切换到 Proxy，使用同一个节点和同一个网址测试。
- 如果 Proxy 能打开而 Config 不能，进入 Config 检查当前启用的配置文件、规则顺序以及命中的策略。规则中常见的策略含义是通过代理、直连或拒绝，但具体字段和配置格式应以当前配置内容为准。
- 如果 Proxy 和 Config 都失败，再检查节点协议参数、DNS 和目标网站本身，不要直接删除全部配置。
只有某一个 App 异常
先确认浏览器访问普通网页是否正常，再比较该 App 使用 Wi-Fi 和蜂窝数据的表现。部分 App 可能使用独立的域名、证书校验、UDP 或系统网络接口，因此浏览器能打开不代表该 App 的全部请求都可用。不要把单个 App 的失败直接判定为节点整体不可用。
Shadowrocket 中 Global Routing 怎么判断
排查时要区分“全局路由模式”“当前配置文件”“选中的节点”三件事。Proxy 模式用于进行统一的代理路径对照测试；Config 模式按当前配置中的规则决定请求走代理、直连或其他策略；Direct 模式用于观察当前本地网络的直连表现。Proxy、Config、Direct 是流量处理方式，不是节点名称，也不会自动补全服务器地址、端口或认证信息。
| 模式 | 适合做什么 | 不要得出的结论 |
|---|---|---|
| Proxy | 暂时绕开复杂分流，验证选中节点能否处理同一目标请求 | Proxy 成功不代表所有规则都正确，也不代表所有 App 或 UDP 都可用 |
| Config | 验证当前配置文件、规则顺序和策略是否符合预期 | 配置文件出现在列表中，不代表它已经被启用 |
| Direct | 对照当前 Wi-Fi 或蜂窝网络的直连结果 | Direct 成功不代表代理节点正常；Direct 也不是彻底关闭系统 VPN 的唯一操作 |
每次只改一个模式，并对同一个网址重新发起请求。记录“模式、节点、网络、时间和结果”，再恢复原模式。Shadowrocket 的 App Store 资料显示其支持规则、DNS、IPv6、Wi-Fi 与蜂窝网络等能力，因此不同层级的失败需要分开验证，不能只看连接开关。
节点、订阅与协议参数：连接成功但请求失败时检查
- 核对选中的节点。确认测试时使用的不是失效、空参数或已经被替换的节点。若订阅刚更新，重新确认服务器地址、端口、协议类型和认证字段是否来自同一条配置。
- 核对 TLS 相关字段。如果节点使用 TLS，检查 Server Name、证书相关选项、传输方式和路径是否与提供方给出的参数一致。不要根据网上其他节点的字段照抄。
- 区分 TCP 与 UDP。网页加载通常不能证明 UDP、视频通话、游戏或其他实时流量一定可用；延迟测试有结果，也不能证明 HTTPS 和特定 App 已经正常。
- 检查系统日期与时间。日期或时区错误可能影响 TLS 握手。进入“设置→通用→日期与时间”，打开“自动设置”；Apple 的操作说明见 更改 iPhone 日期与时间。
- 不要公开敏感信息。分享日志或截图前，遮挡订阅链接、UUID、密码、服务器地址、二维码、完整域名列表和账号信息。
DNS 排查：只把它当作一个变量
DNS 不是万能修复项。先完成直连、Proxy、Config 和网络切换对照，再处理 DNS；否则即使改完后恢复，也无法判断真正原因。
- 记录当前 DNS 或配置文件中的 DNS 设置，不要直接覆盖原文件。
- 只修改一个 DNS 相关选项，重新测试同一个域名。
- 如果域名无法解析、解析到不可达地址或只有部分域名失败，再继续检查 DNS 路由、规则中的域名匹配和 IPv4/IPv6 差异。
- 如果改 DNS 没有变化，恢复原值，转而检查节点协议、规则策略或当前网络。
Shadowrocket 的 App Store 页面列出了本地 DNS 映射及多种加密 DNS 能力，但这不等于某个 DNS 在所有运营商、Wi-Fi、蜂窝网络和节点环境中都更适合。没有可复现对照时，不应把单一 DNS 结果写成完整可用性证明。
最后手段：删除冲突配置或还原网络设置
如果怀疑存在残留 VPN 配置，进入“设置→通用→VPN 与设备管理”查看已安装的描述文件。Apple 说明，删除配置文件会同时删除该配置提供的设置、App 和相关数据，操作前应确认它不是单位、学校或其他必要配置；参考 Apple 关于安装或移除配置描述文件的说明。
网络设置还原应放在最后，因为它会移除此前使用过的 Wi-Fi 网络和部分 VPN 设置，并断开当前网络。Apple 的说明见 还原 iPhone 默认设置。还原后先确认手机直连正常，再重新添加 Shadowrocket 配置，不要一次恢复多个 VPN 或网络工具。
推荐操作顺序：关闭客户端验证直连 → 排除其他 VPN → Proxy 对照 → Config 规则 → 更换网络 → 检查节点参数和 DNS → 最后再移除冲突配置或还原网络设置。
与本文问题相关的站内延伸阅读
如果你已经确认是 iPhone 网络层问题，可继续查看iPhone 使用指南：WireGuard 已连接但无法上网排查；如果问题来自整体连接故障，可参考连接问题排查；需要整理不同设备的网络设置时，可查看设备配置指南。
常见问题
Shadowrocket 显示已连接，为什么还是打不开网页？
连接开关或系统 VPN 图标只说明客户端尝试建立了隧道，不等于节点、DNS、规则和目标网页都可用。先关闭 Shadowrocket 验证直连，再用同一网址分别测试 Proxy 和 Config。
Shadowrocket 的 Proxy、Config、Direct 应该怎么选？
排障时先用 Proxy 做简单代理路径对照，再用 Config 检查规则分流；Direct 用来观察当前本地网络的直连结果。测试结束后恢复原来的模式，不要把模式名称当成节点或服务器。
只有部分网站打不开，需要先改 DNS 吗？
不建议直接改。先确认是规则导致请求走了 Direct、Reject 或错误策略，再检查域名解析和节点参数。DNS 只能解决部分解析问题，不能修复失效节点或错误规则。
要不要直接还原 iPhone 网络设置？
不建议作为第一步。还原网络设置会移除已保存的 Wi-Fi 信息和部分 VPN 设置，应该在确认存在系统网络配置冲突、且已经记录好原配置后再考虑。
分享 Shadowrocket 日志求助安全吗？
不要直接公开完整日志、订阅链接、UUID、密码、二维码、服务器地址或账号信息。先打码，再只保留错误时间、网络类型、模式和非敏感的错误提示。