本文适合已经有自己的服务商与订阅、正在首次使用 Shadowrocket（小火箭）的用户。按安装准备、连接开关、路由模式、配置规则、订阅维护与故障检查的顺序说明；涉及 Home、Config、Settings 的操作以 iPhone / iPad 界面为例，其他平台的入口布局可能不同。读完可建立一条从配置到实际请求的检查顺序，而不是反复切换不相关的选项。
1. 安装之后，首次连接还需要准备什么？
安装客户端不等于已经具备可连接的服务端。Shadowrocket 是闭源商业应用，用于读取连接参数、建立连接并执行路由规则。首次使用需要准备自己已有的订阅链接或单个连接配置，并确认对应服务仍在有效期内。本文不提供、不销售、不推荐节点或订阅。
获取方式分两档：iPhone / iPad 经 App Store $2.99 一次性付费，开发者为 Shadow Launch Technology Limited，系统要求以 App Store 页面标注为准；Mac（Apple 芯片 / Intel）、Windows、安卓、Linux 版免费。各平台获取说明统一见下载页，客户端费用不包含线路套餐。
-
准备配置
从自己已有的服务商处确认订阅地址、有效期与设备使用限制。地址中的 token 属于凭据，不要贴到公开讨论区。
-
导入订阅
Home → 右上角“+”→ Type → Subscribe，在 URL 填入自己的订阅地址，确认后保存。
-
选择连接
回到 Home，确认订阅已加载出条目，再选中一个已有节点。只有订阅名称而没有节点列表时，先检查订阅获取结果。
-
允许连接
打开 Home 的连接开关；iPhone / iPad 首次出现添加 VPN 配置的系统提示时，阅读后允许，并完成系统要求的身份验证。
2. Home 开关打不开，或打开后马上关闭，怎么办？
先分清“系统未允许建立连接”和“连接已建立但请求失败”。前者通常表现为开关不能保持开启，后者则可能仍显示 VPN 状态。VPN 标识只能说明系统连接状态，不能证明选中的远端节点可用。
- 没有可选条目：回到 Home 检查导入结果，确认已经选中一个完整配置，而不是只填写了订阅名称。
- 首次授权被取消：重新打开开关并处理系统提示；若设备受组织管理，检查管理策略是否限制 VPN 配置，不要反复删除系统设置。
- 存在连接冲突：先断开其他正在占用系统 VPN 连接的应用，再单独测试 Shadowrocket。
- 开关保持开启：转入节点连通性、Global Routing 和 DNS 检查，不要继续把故障归因于授权。
3. Global Routing 的 Config、Proxy、Direct、Scene 怎么选？
Global Routing 决定当前请求按哪一种路由姿态处理。日常已有有效规则配置时使用 Config；排查某条请求是否受到规则影响时，可短暂切换 Proxy 做对照。切换前先记录原选项，测试结束后恢复。
Config
推荐依据当前启用的 Config 及其规则选择策略。结果可能是 DIRECT、PROXY 或其他已定义策略，并非所有未匹配请求都会自动直连；最终行为取决于兜底规则。
适合：已有有效规则配置的日常使用。
Proxy
将由客户端处理的请求统一按代理姿态转发，不按 Config 中的普通分流规则逐条选择路径。它不会让失效节点恢复，也不代表服务端支持所有流量类型。
适合：临时对照规则分流与代理连接结果。
Direct
将由客户端处理的请求直接连接，不通过所选远端代理。它与关闭连接开关不是同一个操作，客户端仍可能处于运行状态。
适合：核对当前网络的直接访问能力。
Scene
按已配置的场景条件应用对应的路由设置。它依赖事先建立的场景，不是自动检测后替用户挑选最快节点的模式。
适合：已经明确设置不同网络场景的用户。
4. Config 与 Rule 有什么区别，修改哪个才生效？
Config 是配置文件及其管理入口；Rule 是配置内部的一组匹配规则。Home 中保存的节点参数解决“连接到哪里、使用什么协议”，Config 内的规则解决“这个请求应走哪条路径”。订阅导入成功，并不等于同时获得了完整分流配置。
在 Global Routing 选择 Config 时，检查 Config 中实际启用的是哪份文件，再编辑其中的规则。仅修改一份未启用的文件，不会改变当前请求的路径。规则通常按顺序匹配，较具体的例外应放在宽泛规则之前。
[Rule]
DOMAIN-SUFFIX,example.com,DIRECT
IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
GEOIP,CN,DIRECT
FINAL,PROXYDOMAIN-SUFFIX：匹配指定域名后缀；这里的 example.com 仅作语法示例，不是建议直接导入的完整规则集。IP-CIDR：匹配 IP 网段；示例中的no-resolve表示不为了这条 IP 规则额外发起域名解析。GEOIP：依据 IP 地理数据库匹配，不能把国家代码理解为网站内容语言。FINAL：接收此前未匹配的请求；本例走 PROXY，因此不能概括成“其余全部直连”。
5. 订阅链接与单个分享链接，导入时怎么区分？
单个分享链接通常以 ss://、vmess://、vless:// 或 trojan:// 开头，用于描述一条连接；订阅地址通常是 HTTP 或 HTTPS URL，获取后可返回一组连接并支持后续更新。不能只看地址很长，就把它判定为订阅。
按已有配置的来源选择导入方式
已有订阅地址
- 使用 Home → “+”→ Type → Subscribe。
- 将完整地址填入 URL，保留查询参数。
- 保存后检查是否实际生成节点条目。
- 后续通过该订阅更新，不逐条改写来源参数。
已有单个分享链接
- 使用链接导入入口，或扫描自己已有的配置二维码。
- 导入后核对 Type、服务器地址与端口。
- 确认 TLS、传输方式等参数与来源一致。
- 单条导入不自动变成可定期刷新的订阅。
链接是配置载体，也可能包含认证信息；导入前确认来源，排查时只分享已脱敏的字段。
6. 订阅怎么更新，更新失败先检查什么？
更新订阅是重新获取远端配置列表，不是更新客户端程序，也不一定更新当前 Config 的规则文件。在 Home 对订阅执行更新后，应核对节点列表与提示结果；一次成功刷新并不等于每个节点都能连接。
- 回到 Home，对目标订阅执行更新；使用下拉刷新时，留意当前界面实际更新的订阅范围与结果提示。
- 若显示超时，先确认当前网络能否获取订阅地址；地址过期、token 被撤销和网络超时是不同问题。
- 只有在已有可用代理、且该订阅需要经代理获取时，再到 Settings → Subscribe 检查 Update via Proxy，然后重试。
- 更新成功后重新确认选中节点。服务端可能删除旧条目或改变名称，不要只凭原先的位置判断选择结果。
7. 延迟数字很低，为什么网页仍然打不开？
延迟测试只反映特定测试方法、目标与当时网络条件下的结果，不等于下载速度，也不证明所有网站均可访问。比如显示 80 ms，只能作为该次测试的参考；它不能直接换算成文件下载速率，更不能替代实际页面请求。
- 先固定变量：选定同一个节点、同一个网页，记录当前 Global Routing，再做模式对照，不要同时切节点与配置。
- 检查实际命中：在可用的请求记录或日志中核对目标域名、命中规则与最终策略，确认请求没有被送到错误路径。
- 区分解析失败：出现域名解析错误时检查 DNS 设置与解析请求的可达性，不要先把所有规则改成 PROXY。
- 区分单站失败：仅一个站点失败时检查目标站点与认证状态；所有站点失败时再检查节点、网络与路由。
记录“网页地址、错误原文、网络类型、模式、是否可复现”比只记录一个延迟数值更便于定位。完整检查顺序见连接排查手册。
8. Settings → On Demand 是做什么的，为什么关闭后又连接？
On Demand 用于在满足指定条件时请求系统建立连接，属于连接触发逻辑；Global Routing 决定连接建立后如何分流，两者解决的问题不同。启用 On Demand 不代表所有请求都走代理，也不会改变服务端的有效期。
- 进入 Settings → On Demand，先确认是否启用，再核对现有的触发条件。
- 如果出现手动断开后又连接的现象，先暂停 On Demand，再关闭 Home 开关，观察是否仍会重连。
- 如果只在某个 Wi-Fi 或网络切换后出现问题，记录当时网络条件，与现有触发设置逐项对照。
- 手动连接稳定后再恢复自动触发；每次只改一项，分别测试 Wi-Fi 与蜂窝网络。
不要通过同时修改 On Demand、Scene 和 Config 来处理一次断线。先把自动触发与请求路径分开验证，才能知道是哪项设置造成行为变化。
9. Shadowsocks、VMess、VLESS、Trojan 等协议要自己改吗？
协议必须与已有服务端配置一致，不能为了“更快”只修改客户端 Type。Shadowsocks、VMess、VLESS、Trojan、Hysteria2、WireGuard 的认证字段与传输要求不同，同一个地址和端口不代表可以互换协议。
- Shadowsocks：核对加密方法与密码，不能将其他协议的 UUID 直接填入后期待等价连接。
- VMess / VLESS：核对各自的认证参数，以及来源指定的传输方式、路径与 TLS 设置。
- Trojan：核对密码与 TLS 相关字段；连接地址和用于证书验证的名称不一定相同，应按原配置填写。
- Hysteria2：需要相应的 UDP 网络可达性，TCP 网页能打开并不能证明这类连接的底层通路可用。
- WireGuard：依赖密钥、对端与地址等配置，不是只填一个服务器名称即可完成。
10. 换设备、连局域网或准备求助时，还要注意什么？
把可复现的检查记录留下，再处理迁移或局部访问问题。配置同步、服务端设备限制和当前网络的访问权限互不等价；把同一条订阅导入另一台设备，并不自动意味着服务端允许新增并发连接。
换到 Mac，需要重新配置什么？
先从下载页按 Apple 芯片或 Intel 选择对应版本，再导入自己已有的配置。核对服务端允许的设备数量；不要假定 iPhone 的系统 VPN 授权、On Demand 条件和本地文件都会自动迁移到 Mac。
打开连接后，打印机或 NAS 找不到了？
先确认设备仍在同一局域网，再在 Config 检查目标网段是否按预期走 DIRECT。用 NAS 的局域网 IP 测试可区分地址可达性与名称发现问题；IP 访问成功不代表广播发现也一定正常。
求助时应该提供哪些信息？
提供系统平台、Home 开关状态、Global Routing 选项、错误原文和复现步骤。日志应遮住订阅 token、密码、UUID 与密钥；说明问题出现在订阅获取、连接建立还是具体网页请求阶段。
首次排查按“配置有效 → 系统授权 → 节点可达 → 路由命中 → DNS 与目标请求”推进。每次只改一个变量，确认结果后再继续。