Shadowrocket VPN已连接但无法上网怎么办？分层排查与恢复步骤
简答：Shadowrocket 显示 VPN 已连接，不等于节点、规则和网页请求都正常。最快的排查顺序是：先关闭 Shadowrocket 确认普通网络，再关闭其他 VPN，固定一个节点，依次对比 Direct、Proxy、Config，最后检查 DNS、规则和订阅状态。本文是第三方使用指南站整理的排障方法，不代表任何品牌官网。
定义：“Shadowrocket VPN已连接但无法上网”是指 iPhone 状态栏出现 VPN 图标或客户端显示已连接，但 Safari、App 或特定网站仍无法完成 DNS 解析、建立连接或加载内容。
先做这张对照表：根据现象判断故障层级
不要一开始就重复更新订阅或修改多个参数。先记录当前 Wi-Fi 或蜂窝网络、选中的节点、Global Routing 模式和打不开的测试目标，然后每次只改变一个条件。
| 现象 | 先做什么 | 结果意味着什么 |
|---|---|---|
| 关闭 Shadowrocket 后也打不开 | 打开 Safari 测试普通网页，切换 Wi-Fi 与蜂窝网络 | 优先排查本地网络、运营商、路由器或系统网络设置 |
| 关闭后能打开，开启后全部打不开 | 固定一个节点，先选 Global Routing → Proxy | 重点检查节点参数、节点可用性、VPN 冲突或代理路由 |
| Proxy 能打开，Config 不能 | 进入 Config，确认当前配置文件和规则顺序 | 可能是规则命中、策略组或 FINAL 兜底方向不正确 |
| 只有部分网站或 App 失败 | 用同一节点切换 Proxy 与 Config，并查看请求或规则记录 | 优先检查域名规则、DNS、应用自身限制或目标站点状态 |
| Wi-Fi 失败但蜂窝网络正常 | 关闭 VPN 后分别测试两种网络，再重新连接 | 问题可能集中在当前 Wi-Fi、路由器、DNS 或网络认证页面 |
Shadowrocket 的 Config、Proxy、Direct 是流量处理模式，不是服务器列表，也不等同于连接开关。切换模式后应对同一个网址发起新请求，避免把缓存页面当作测试结果。相关模式说明。
最短恢复路径：六步确认到底是哪一层出错
- 确认普通网络。打开 Shadowrocket 的连接开关，选择关闭或断开；在 Safari 访问一个平时能打开的普通网页。如果此时仍失败，先重连 Wi-Fi、关闭飞行模式，或切换蜂窝网络。Apple 建议遇到网络异常时检查 VPN 和第三方安全软件，并尝试连接其他网络。Apple 网络连接排查建议。
- 关闭其他网络接管功能。暂时退出其他 VPN、代理、网络过滤器、广告拦截器或安全软件，再重新连接 Shadowrocket。iOS 上同时存在多个 VPN 配置时，可能出现配置冲突；Apple 文档说明系统中的 VPN 配置存在启用和优先级限制。Apple VPN 配置说明。
- 确认 iOS VPN 权限和连接状态。在 Shadowrocket 中重新打开连接开关，确认系统弹出的 VPN 配置授权已经允许，并确认状态栏确实出现 VPN 图标。仅看到应用内显示连接，不足以证明目标网页已经通过节点完成访问。
- 固定一个实际节点。进入 Home，查看当前真正选中的服务器，不要只看订阅分组名称。检查服务器地址、端口、协议、认证信息以及需要时的 TLS、SNI 等字段是否来自原始资料；不要把订阅链接名称当成协议格式证明。
- 做 Proxy 与 Direct 对照。在 Home 打开 Global Routing。先选 Direct，用同一个网址测试本地网络；再选 Proxy，用同一节点和同一个网址测试。Direct 可用于比较直连结果，Proxy 可用于绕过规则做临时对照；测试后恢复原来的模式。Global Routing 模式说明。
- 最后检查 Config。如果 Proxy 能打开而 Config 不能，进入 Config 确认当前配置文件已激活，再检查规则顺序、策略组成员和 FINAL 规则。规则通常按顺序匹配，前面的宽泛规则可能提前截获请求；修改前先导出或复制原配置，改完只测试一个网址。
按错误表现分流：节点、DNS、规则还是系统网络
| 错误表现 | 可能位置 | 处理动作 |
|---|---|---|
| 全部网页超时或连接被拒绝 | 节点地址、端口、协议、认证或当前网络 | 换一个已知配置正确的节点；确认订阅更新成功，必要时切换 Wi-Fi 与蜂窝网络分别测试 |
| 节点延迟有结果，但网页打不开 | 延迟测试与真实网页请求不是同一层验证 | 用 Safari 对固定网址重新发起请求，再看请求日志、规则命中和 DNS 结果 |
| 域名无法解析、页面提示找不到服务器 | DNS、规则中的域名处理或网络本地解析 | 先恢复到原来的 DNS 设置，再一次只修改一个 DNS 选项；修改后重新连接并测试同一域名 |
| Proxy 正常，Config 失败 | 规则顺序、策略组、活动配置文件或 FINAL | 确认 Home 选择 Config，同时 Config 页面选择了预期文件；检查目标域名是否被 DIRECT 或 REJECT 提前匹配 |
| 只有一个 App 失败 | 应用自身网络策略、域名、证书或规则 | 用 Safari 和另一个 App 做对照；不要仅凭一个 App 判断整个节点失效 |
| 连接开关反复弹回或自动重连 | VPN 权限、On Demand、其他 VPN 或系统配置 | 暂时关闭 On Demand，退出其他 VPN，删除明显重复且不再使用的 VPN 配置后重新授权 |
iOS 的 VPN 通道可以影响流量路由，具体哪些流量进入或排除通道取决于 VPN 配置和路由设置，因此“状态栏有 VPN”与“每个 App 的每个请求都成功”不是同一个判断。Apple VPN 流量路由文档。
DNS 与规则怎么查：先恢复，再验证，不要盲改
- 先保存当前状态。记录当前 DNS、Global Routing、活动配置文件和节点名称；如果配置可导出，先保存副本。
- 只改一个变量。如果当前使用 Config，先暂时切到 Proxy 测试同一网址；如果 Proxy 成功，再回到 Config 查规则，而不是立即更换 DNS。
- 检查活动配置。进入 Config，确认导入的文件不只是存在，而是当前被选中；检查目标域名是否命中了 DIRECT、REJECT 或错误的策略组。
- 重新发起请求。切换模式、DNS 或节点后，关闭并重新打开测试页面，必要时彻底退出 App 后再连接。不要使用已经加载完成的旧页面作为依据。
- 恢复并复测。如果修改没有改善，立即恢复原 DNS 或原配置，分别用 Wi-Fi 和蜂窝网络测试，保留错误提示、时间、节点和模式，便于后续定位。
DNS 只能解决解析层问题，不能修复错误端口、失效认证、节点不可达或规则把请求送到错误策略组。配置页面中的规则和策略需要分别检查，不能只看“配置已导入”。
订阅和节点参数的核验边界
如果节点列表为空、订阅更新失败或更新后全部节点消失，先确认网络本身可用，再检查订阅地址是否完整、返回内容是否被登录页或错误页替代，以及客户端是否支持该内容格式。不要把一条链接直接等同于某种客户端配置格式。
- 订阅更新成功但节点全部超时：优先核对节点实际选中状态、协议和认证参数。
- 订阅更新失败：记录客户端提示，分别用 Wi-Fi 与蜂窝网络重试；不要连续修改多个服务器字段。
- 只有某个节点失败：先用同一订阅中的其他节点做对照，不能据此断定整个服务不可用。
- 无法确认节点地址、端口或协议来源：标记为“未核实”，向提供方索取完整参数或兼容格式说明。
如果同一个节点在 Wi-Fi 和蜂窝网络都失败、Proxy 和 Config 都失败，并且其他节点也无法连接，才更适合把问题整理为“客户端、配置或节点侧综合故障”，再联系配置提供方。
复测清单与回滚方法
完成处理后，按下面顺序复测：
- 关闭 Shadowrocket，确认普通网络可用。
- 关闭其他 VPN、过滤器和自动连接功能。
- 固定同一个节点，选择 Proxy 测试一个固定网址。
- 切换到 Config，确认活动配置和规则命中，再测试同一网址。
- 分别用 Wi-Fi 和蜂窝网络重复一次。
- 恢复原来的 Global Routing、DNS、On Demand 和配置文件。
若回滚后普通网络仍无法连接，可在 iPhone 的“设置”中检查 VPN 与设备管理、网络设置和系统时间；重置网络设置前要注意这会清除已保存的 Wi-Fi 等网络信息。Apple 也建议确认日期、时间、系统版本，并尝试其他网络。Apple 官方网络故障建议。
什么时候可以判断不是 Shadowrocket 本身的问题？
满足以下条件时，问题更可能位于节点资料、目标网站、当前网络或规则内容，而不是单纯的连接开关：
- 关闭客户端后普通网络正常。
- VPN 图标正常出现，且连接开关不会反复弹回。
- Direct、Proxy、Config 的结果有明显差异。
- 至少一个节点可以访问测试目标，另一个节点失败。
- 只有特定域名或单个 App 失败，其他网站正常。
反过来，如果所有节点、所有模式、两种网络环境都失败，应保留错误提示和配置状态，先回滚改动，再核对节点提供方给出的服务器参数；不要用一次 Connectivity Test 或延迟结果替代真实网页访问验证。
常见问题
Shadowrocket 显示 VPN 已连接，为什么 Safari 还是打不开？
VPN 图标只说明系统网络扩展处于连接状态，不代表节点、DNS、规则和目标网页都成功。先关闭 Shadowrocket确认普通网络，再固定节点并用 Proxy 与 Config 对照测试。
Shadowrocket 的 Direct、Proxy、Config 应该选哪个？
Direct 用来比较当前网络的直连结果，Proxy 用来暂时绕过规则测试选中的节点，Config 按活动配置中的规则处理请求。排障时先对照，日常使用时恢复原本需要的模式。
Connectivity Test 或延迟测试成功，为什么网页仍打不开？
延迟或连通性测试不能覆盖网页请求的全部环节。网页还可能受到 DNS、TLS、规则命中、策略组、目标站点或 App 自身网络策略影响，应使用同一网址重新发起真实请求。
只有部分网站打不开，是不是节点失效？
不一定。部分网站失败更应先检查 Config 模式下的域名规则、策略组、FINAL、DNS 和目标站点差异；再用 Proxy 模式测试同一网址，避免仅凭一个网站判断节点整体失效。
Shadowrocket 开关一直自动重连或弹回怎么办？
暂时关闭 On Demand，退出其他 VPN 和网络过滤软件，确认 iOS 已允许 VPN 配置，然后重新打开连接。若仍失败，记录系统提示、网络环境和节点参数，先恢复原配置。
相关阅读
参考资料
- Apple：设备出现网络连接问题时检查 VPN 和第三方安全软件
- Apple Developer：路由 VPN 网络流量
- Apple Developer：VPN 配置启用状态
- Shadowrocket 使用指南：Global Routing、规则与诊断（shadowrocketiphone.com）
- Shadowrocket 使用指南：Config、Proxy、Direct 与规则路由（shadow-official.com）