Shadowrocket 代理已连接但无法上网怎么办？
简答：Shadowrocket 显示“已连接”，只代表 VPN 隧道或连接开关已启动，不代表节点出口、DNS、规则和目标网站都正常。最快的处理顺序是：先关闭代理确认基础网络，再用同一目标切换 Proxy、Config 和 Direct 对比，最后根据日志判断是节点、DNS、规则还是网络冲突。本文适用于 iPhone、iPad 上的 Shadowrocket；界面名称可能随版本变化。
定义：“代理已连接但无法上网”是指 Shadowrocket 显示连接成功，但网页、应用或特定域名仍无法完成 DNS 解析、代理握手或页面加载。
先看症状：不要一上来删除订阅或重置网络
本文是独立第三方使用指南，不代表翻墙侠官方。Shadowrocket 的 App Store 资料显示，它支持基于规则的流量转发，并可记录 HTTP、HTTPS 和 DNS 请求；因此“连接开关已打开”和“目标网页已经可用”是两个不同结果，排查时必须分开判断。可核对 App Store 产品说明。
| 现象 | 优先怀疑 | 先做的最小测试 | 测试后的分流 |
|---|---|---|---|
| 所有网页和 App 都打不开 | 基础网络、当前节点、VPN 冲突或代理握手 | 关闭 Shadowrocket，用同一 Wi-Fi 或蜂窝网络打开普通网页 | 直连也打不开，先修复网络；直连正常，再查节点和日志 |
| 只有部分网站打不开 | 规则命中、DNS、IPv4/IPv6 或特定域名策略 | 在同一节点下，用 Proxy 临时测试同一域名 | Proxy 能开而 Config 不能开，重点查规则和策略组 |
| 只有一个 App 失败 | 分应用限制、App 自有连接方式、缓存或域名规则 | 浏览器测试同一服务，再切换另一节点 | 浏览器正常而 App 失败，先查 App 和规则，不要立刻换整套配置 |
| 换 Wi-Fi 或蜂窝数据后失败 | 网络限制、UDP 不通、VPN 状态残留或 DNS 变化 | 断开连接，切换另一种网络后重新连接 | 仅一个网络失败，重点查该网络和协议，不要推断节点整体失效 |
先试这一步：记录当前节点、Global Routing 模式和网络类型，然后关闭 Shadowrocket，确认普通网页能否打开；重新开启后只测试一个固定域名，每次只修改一个变量。
第一层：确认 Wi-Fi 或蜂窝数据本身正常
- 打开 iPhone 或 iPad 的“设置”，进入“Wi-Fi”，确认当前网络旁有连接标记；如果使用蜂窝数据，进入“蜂窝网络”确认蜂窝数据已开启。
- 关闭 Shadowrocket 的连接开关，使用同一浏览器访问一个平时能打开的普通网站。不要把代理目标、测速页面和普通网页混在一起判断。
- 如果直连也无法访问，先重连当前 Wi-Fi，或切换到蜂窝数据/另一 Wi-Fi。Apple 建议先检查 Wi-Fi 状态、飞行模式、路由器和其他设备的联网情况；只有前面的方法无效时，才考虑“还原网络设置”。参考 Apple 的 iPhone/iPad Wi-Fi 排查步骤。
如果关闭 Shadowrocket 后网络正常，但开启后所有流量都失败，问题更可能位于当前服务器、代理协议、DNS、路由规则或其他 VPN/安全软件，而不是简单的“没有网络”。
第二层：检查当前服务器和连接日志
- 回到 Shadowrocket 首页，确认当前选中的服务器确实是你要测试的节点，不要只看连接开关或顶部状态。
- 如果配置来自订阅，先记录原配置，再尝试更新订阅；不要在同一轮测试中同时更新订阅、修改 DNS、切换规则和更换多个节点，否则无法判断哪一步产生影响。
- 使用另一个节点进行对照。若只有一个节点失败，优先把它视为单节点配置或可达性问题；若所有节点在同一网络都失败，再检查网络限制、VPN 冲突或订阅整体配置。
- 打开 Shadowrocket 的连接记录、日志或请求记录，查看是否出现超时、DNS 失败、TLS 握手失败、认证失败或 UDP 相关错误。App Store 资料确认该应用具备 HTTP、HTTPS 和 DNS 请求记录能力，但具体入口名称可能随版本变化，请以设备当前界面为准。查看 App Store 功能说明。
不要公开日志原文。分享排查信息时，应先遮住订阅链接、密码、UUID、服务器地址、用户标识和完整请求参数；只保留错误类型、发生时间、使用的网络类型和脱敏后的目标域名。
第三层：用 Global Routing 区分节点问题和规则问题
Shadowrocket 中的 Global Routing 通常包含 Config、Proxy、Direct 等模式，但不同版本的界面名称和入口可能不同。排查时先记下原模式，再进行临时对照，完成后恢复原设置。
- Proxy 对照：选择 Proxy 后，用同一个浏览器、同一个域名、同一个节点重新发起请求。如果 Proxy 能打开而原来的 Config 不能打开，节点本身未必是主要问题，应转查配置文件、规则顺序或策略组。
- Config 对照：恢复 Config，确认当前启用的是正确配置文件，而不是只把文件导入了但没有选中。检查目标域名命中的规则及其策略是否为代理、直连或拒绝。
- Direct 对照：临时选择 Direct，用来判断当前 Wi-Fi 或蜂窝网络能否直连目标。Direct 是对照测试，不等于关闭 VPN；要完全停止连接，仍需关闭 Shadowrocket 的连接开关。
规则排查应遵循“先确认命中，再修改内容”的顺序。假如同一域名在 Proxy 模式可用、Config 模式不可用，先查匹配规则和策略组，不要直接删除整个配置。修改前导出或复制原配置，改完只测试一个目标，失败就恢复备份。
第四层：DNS、协议和网络切换问题怎么分流
DNS 解析失败、代理服务器握手失败和网页加载失败不是同一个问题。延迟测试有返回，也不能单独证明网页一定能打开；应结合日志和实际页面请求判断。
- 疑似 DNS：日志出现解析失败、找不到域名或不同网络下解析结果明显不一致时，检查 Shadowrocket 的 DNS 设置、配置文件中的 DNS 覆盖和规则是否把解析请求送到了不合适的路径。不要为了“试试看”长期关闭系统安全设置或固定改用某个公共 DNS；先记录原值，单项修改后再测试。
- 疑似 UDP 或协议限制：如果某些依赖 UDP 的协议在 Wi-Fi 可用、蜂窝网络失败，或换网络后才失败，应将其视为网络与协议的交叉问题。先换一个已知配置不同的节点或协议做对照，不要仅凭一次失败断言服务整体不可用。
- 疑似 IPv6：如果只有部分域名失败，且日志显示 IPv6 地址请求异常，可暂时用另一网络复测，并检查配置是否包含 IPv6 相关规则。没有复现记录时，不建议直接关闭设备的 IPv6 或修改大量系统网络参数。
- 疑似 VPN 冲突：检查设备上是否同时运行其他 VPN、网络加速、安全过滤或内容拦截工具。Apple 明确提醒，第三方 VPN 和安全软件可能阻断部分互联网连接；应先停用其他网络工具并重启后复测。参考 Apple 关于 VPN 和第三方安全软件的说明。
第五层：只有某个 App 不能用时怎么处理
- 先用浏览器访问同一服务或同一域名，区分“服务整体不可达”和“单个 App 自身失败”。
- 在 Shadowrocket 中分别用 Proxy、Config 做对照，确认该 App 的域名没有被规则设为 Direct 或 Reject。
- 检查 App 是否使用了与浏览器不同的域名、IPv6、长连接或其他网络方式；不要因为浏览器能打开，就断言 App 一定会走同一条路径。
- 退出并重新打开 App，再用另一个节点复测。若只有该 App 和该节点组合失败，保留日志后优先回滚最近改动。
如果设备安装过描述文件或管理配置，也可在“设置”→“通用”→“VPN 与设备管理”中检查是否存在不再使用的配置。删除配置文件会同时删除其关联设置、App 或数据，操作前应确认来源和影响；Apple 提供了查看与移除配置文件的说明。查看 Apple 配置文件管理说明。
最小复测闭环：改动前备份，失败后可回滚
- 记录：写下设备型号、iOS/iPadOS 版本、Wi-Fi 或蜂窝网络、当前节点、Global Routing 模式和错误现象。
- 备份：导出或复制当前配置，保存原 DNS 和规则设置；不要先删除订阅或清空配置。
- 固定目标：每轮只测试同一个域名或同一个 App，分别记录直连、Proxy、Config 的结果。
- 单变量修改：一次只切换节点、路由模式、DNS 或网络中的一项，重新建立连接后再测试。
- 回滚：如果修改后问题扩大，恢复原配置、原路由模式和原 DNS；必要时关闭 Shadowrocket，先保证基础网络可用。
- 最后处理：只有在确认问题属于设备网络配置且前面步骤均无效时，才考虑“还原网络设置”。Apple 说明该操作会移除已保存的 Wi-Fi、蜂窝网络、VPN 和 APN 设置，因此应作为后置措施。查看 Apple 关于还原网络设置的影响。
完成后，如果问题只在某一网络、某一节点或某一个 App 出现，就把结论限定在该组合，不要把单次复测扩大成对整体线路或服务状态的判断。
仍然无法上网时，按这份信息继续定位
- 现象范围：所有网站、部分网站还是单个 App。
- 网络条件：Wi-Fi 名称可脱敏，或说明是蜂窝数据、热点、公司网络。
- 对照结果：关闭代理、Proxy、Config、Direct 分别是否可用。
- 配置变化：最近是否更新订阅、换节点、改 DNS、改规则或安装其他 VPN 工具。
- 日志摘要：只提供超时、DNS、TLS、认证或 UDP 等错误类型，不要贴出完整订阅和服务器信息。
这组信息可以帮助你判断下一步是继续查本地网络、节点配置、DNS、规则，还是设备上的 VPN/描述文件冲突；比直接重装客户端更容易保留证据，也更方便恢复。
常见问题
Shadowrocket 显示已连接，是否代表代理一定能用？
不代表。已连接通常只说明连接开关或 VPN 隧道已启动，仍可能存在节点握手失败、DNS 解析失败、规则走直连或目标网站不可达。应使用同一目标进行实际页面测试，并结合日志判断。
Shadowrocket 代理已连接但所有网站都打不开，先换 DNS 吗？
不建议第一步就改 DNS。先关闭 Shadowrocket，确认 Wi-Fi 或蜂窝数据本身能否上网；如果直连正常，再用另一个节点和 Proxy 模式做对照。只有日志或复测指向解析问题时，才备份原设置后单独调整 DNS。
Proxy、Config、Direct 三种模式怎么用于排查？
Proxy 用来临时对照当前节点和代理路径，Config 用来验证规则和策略组，Direct 用来观察当前网络的直连结果。每次切换后都要对同一个域名重新发起请求，测试结束恢复原来的模式。
只有一个 App 无法连接，浏览器却正常，怎么办？
先确认浏览器访问的是同一服务，再检查规则是否把该 App 的域名设为直连或拒绝；随后换一个节点复测。若只有该 App 失败，不要直接删除整个订阅，先保留日志并回滚最近改动。
什么时候可以还原 iPhone 网络设置？
当基础网络异常、其他设备或网络切换也无法排除问题，且已经尝试重连 Wi-Fi、停用其他 VPN 和重启设备后，才考虑还原网络设置。该操作会删除已保存的 Wi-Fi、蜂窝、VPN 和 APN 设置，执行前应确认密码和工作网络配置可重新获取。