Shadowrocket 节点连接失败怎么办？按症状排查
简答：Shadowrocket 节点连接失败，先关闭客户端确认 Wi‑Fi 或蜂窝网络能否直连，再固定一个节点并检查 VPN 授权、订阅状态和 Global Routing。开关弹回通常先查系统 VPN 权限；全部节点超时要查网络、订阅和节点参数；显示已连接但网页打不开，则重点检查 Config、Proxy、Direct 与规则命中。每次只改一项，分别用 Wi‑Fi 和蜂窝网络复测。
定义：Shadowrocket 节点连接失败，是指客户端无法建立到所选服务器的连接，或 VPN 显示已连接但目标请求仍被规则、DNS、网络或节点参数阻断。
先做这一步：按现象判断排查方向
本文是基于公开使用说明和 Apple 支持资料整理的第三方使用指南，不是 Shadowrocket 官方页面。Shadowrocket 的服务器条目、配置文件、Global Routing 和系统 VPN 授权分别负责不同环节，不能把“列表里有节点”“VPN 已连接”和“网页访问成功”当成同一个结果。
| 现象 | 先检查 | 初步判断 | 第一处理 |
|---|---|---|---|
| 开关无法打开或马上弹回 | iOS VPN 授权、其他 VPN、设备管理限制 | 隧道没有正常建立 | 重新触发授权，检查系统 VPN 配置 |
| 所有节点都超时 | 直连网络、订阅更新、服务器地址和端口 | 可能是本地网络、订阅或服务端问题 | 换网络并固定一个节点复测 |
| 显示已连接但网页打不开 | Global Routing、Config、DNS 和规则 | 隧道建立了，但请求可能走了 Direct 或错误策略 | 临时切换 Proxy 对比同一目标 |
| 只有某个 App 失败 | 该 App 的规则、DNS、缓存连接和权限 | 不一定是节点整体失效 | 关闭并重新打开 App，再看规则命中 |
| Wi‑Fi 能用、蜂窝网络不能用 | 蜂窝数据权限、On Demand、运营商网络和配置 | 网络环境或自动连接条件不同 | 关闭 On Demand，分别手动连接复测 |
最快判断顺序：先关闭 Shadowrocket，用当前 Wi‑Fi 或蜂窝网络打开普通网页；然后在 Home 中选择一个具体服务器，确认不是空分组、Direct 模式或未更新的订阅；接着只测试一个目标地址。不要一开始就改 DNS、删除配置或重装应用。
公开说明中，Home 负责连接、服务器选择和测试，Config 负责配置文件，Settings 负责包括 On Demand 在内的应用设置；Shadowrocket 使用说明：Home、Config 与 Global Routing也强调，这些页面和功能需要分开判断。
开关弹回：先恢复 iOS VPN 授权
现象：点击 Home 顶部连接开关后没有保持开启，或者刚显示连接就立即断开。
检查：先确认普通网络正常。再次打开 Shadowrocket，进入 Home，选择一个已有的具体服务器，再手动开启连接。如果 iOS 出现允许添加 VPN 配置的系统提示，只在确认是由本次操作触发时选择允许，然后返回客户端查看状态。不同 iOS 版本的菜单名称可能略有差异，以当前界面为准。
判断：如果从未出现过授权提示，或之前选择过“不允许”，优先怀疑系统 VPN 配置没有完成；如果设备由公司、学校或家长控制管理，配置描述文件也可能限制 VPN。Apple 的设备管理文档说明，部分 VPN 设置可由配置文件下发，用户可能无法修改。
处理：检查 设置 → 通用 → VPN 与设备管理，确认是否存在 Shadowrocket 的 VPN 配置或其他不再使用的 VPN。不要同时删除多个配置；先记录当前名称，再移除明确无用的旧配置，回到 Shadowrocket 重新发起连接。
回滚：如果删除配置后问题扩大，先停止继续修改，重新打开客户端触发授权；仍不能恢复时，可考虑 Apple 提供的 设置 → 通用 → 传输或还原 iPhone → 还原 → 还原网络设置。这会清除 Wi‑Fi 密码、蜂窝网络相关设置和 VPN/APN 设置，执行前应确认自己能重新连接所需网络。Apple 明确建议仅在其他方法无效时使用网络设置还原，参考：Apple 支持：无法连接 Wi‑Fi 时的网络设置还原。
全部节点超时：区分网络、订阅与服务器参数
现象：多个节点都显示超时，或 Connectivity Test 无结果。
检查：关闭 Shadowrocket，分别用当前 Wi‑Fi 和蜂窝网络打开一个普通网页。然后重新打开客户端，只选择一个节点，固定同一个测试目标，不要在测试过程中连续切换多个节点。检查订阅是否能够更新，节点列表是否仍然存在，服务器地址、端口、认证信息、UUID 或密码、传输方式、TLS 和 SNI 等字段是否完整。
判断：如果直连网络本身就不能正常访问，先处理 Wi‑Fi、蜂窝网络或路由器问题；如果直连正常但所有节点在两种网络下都超时，可能是订阅内容、节点参数或服务端不可达；如果只有一个节点失败而其他节点可用，优先把问题限定到该节点或该条配置。
需要注意，订阅更新失败和节点连接失败不是一回事：订阅更新失败表示客户端拿不到新的配置内容；节点失败表示已经有服务器条目，但连接测试或实际请求无法完成。不要因为订阅能更新，就判断所有节点都可用；也不要因为一个节点超时，就立刻删除整个订阅。
处理：先重新更新订阅，确认列表有具体服务器；再选择一个不同节点或协议进行单变量对比。如果你手动编辑过服务器地址、端口、认证、TLS/SNI 或传输字段，恢复到订阅原始值后再测。无法核实的服务端状态不要自行下结论，应向服务提供方反馈脱敏后的错误提示、测试网络、节点名称和发生时间。
回滚：保留原配置文件或订阅链接的备份。每次只恢复一个字段，避免同时修改端口、DNS、规则和协议，导致无法知道哪一步改变了结果。
显示已连接但网页打不开：检查 Global Routing 与规则
现象：iPhone 顶部显示 VPN 已连接，Shadowrocket 也显示已连接，但网页或某个 App 仍然无法访问。
检查：在 Home 打开 Global Routing，记录当前模式。Config 按当前启用配置中的规则选择策略，Proxy 用选定代理进行对比，Direct 则建立直连基线。进入底部 Config 页面，确认配置文件确实已启用；文件出现在列表里，不等于它正在被 Global Routing 使用。
判断：如果切换到 Proxy 后同一网页可以打开，而 Config 下失败，问题更接近规则顺序、策略组或目标域名匹配；如果 Proxy 和 Config 都失败，但 Direct 正常，继续查服务器参数或 DNS；如果 Direct 也失败，先查当前 Wi‑Fi、蜂窝网络或目标服务本身。
处理：使用同一节点、同一网页、同一网络，先临时从 Config 切到 Proxy 对比。测试结束后恢复原来的模式。检查目标域名是否命中 DIRECT、PROXY 或 REJECT，并重新打开目标 App，避免旧连接复用。公开设置说明指出，Global Routing 是流量路由模式，不会自动补全服务器地址、认证信息或 DNS。
回滚：不要为了验证规则而长期停留在 Proxy 或 Direct。记录原来的 Global Routing 和启用配置，测试后恢复；如果只改动了规则文件，恢复备份文件即可，不必删除服务器列表。
参考：Shadowrocket 设置说明：Global Routing、Config、Proxy 与 Direct。
只有某个 App 失败或频繁断开：避免误判节点失效
现象：浏览器可以访问，但某个 App 无法加载；或者切换 Wi‑Fi、蜂窝网络后客户端自动重新连接、频繁断开。
检查：先关闭并重新打开该 App，再用浏览器访问同一服务的网页版本。随后在 Shadowrocket 中记录当前 Global Routing、启用配置和选中节点，检查目标域名对应的规则。进入 Settings → On Demand，查看是否设置了针对 Wi‑Fi、蜂窝网络或域名的自动连接条件。菜单名称可能随当前版本界面变化，以实际显示为准。
判断：如果只有某个 App 失败，而其他 App 和网页正常，不能直接判定节点失效，可能是该 App 使用了不同域名、独立连接方式、缓存连接或被规则单独处理。如果每次切换网络都自动断开或重连，可能与 On Demand 条件有关；如果关闭 On Demand 后手动连接正常，问题更接近自动连接条件而非节点本身。
处理：先暂时关闭或调整 On Demand，手动连接同一节点并复测；检查 Config 中目标域名的规则和策略；必要时只对该域名做一次 Proxy 与 Direct 对比。不要在未确认原因前同时修改 DNS、证书、规则和节点协议。
回滚：恢复原来的 On Demand 条件和规则文件，重新打开目标 App。若仍然只有一个 App 失败，记录 App 名称、系统版本、网络类型和脱敏错误信息，再联系 App 或服务提供方支持。
错误提示对照：timeout、refused、TLS 与认证失败
| 提示或现象 | 优先检查 | 不要先做什么 |
|---|---|---|
| timeout、i/o timeout | 当前网络、服务器地址、端口、节点是否可达；换 Wi‑Fi 与蜂窝网络复测 | 不要先大范围改 DNS 或删除全部节点 |
| connection refused | 端口是否正确、服务端是否监听、订阅字段是否被手动改动 | 不要把它与单纯网页打不开混为一谈 |
| TLS、证书或握手错误 | 系统日期、时间、时区、TLS/SNI、服务器证书和传输方式 | 不要把证书问题直接当成 VMess 时间容差问题 |
| authentication failed、密码或 UUID 错误 | 账号认证字段、UUID、密码、订阅是否过期或被截断 | 不要公开完整订阅链接、密码、UUID、私钥或二维码 |
| 测试成功但网页失败 | Config、规则命中、DNS、目标 App 缓存连接 | 不要仅凭 Connectivity Test 判断所有网站都正常 |
错误提示只能缩小检查范围，不能单独证明责任方。尤其是 Connectivity Test 成功，只能说明该测试路径在当时得到结果；仍应使用同一节点访问实际目标网页或 App。证书错误与协议鉴权错误也要分开记录：前者优先检查时间、TLS 和 SNI，后者优先核对认证字段。
什么时候该换节点、恢复配置或联系服务提供方
- 可以先换节点：只有一个节点超时，而其他节点在同一网络下可以连接；这时先保留原节点，使用另一个节点验证是否为单节点问题。
- 应恢复配置：修改 Global Routing、规则、DNS 或服务器字段后问题才出现，并且恢复备份后恢复正常。
- 应检查本地网络：Shadowrocket 关闭后普通网页也打不开，或者 Wi‑Fi 和蜂窝网络表现明显不同。
- 应联系服务提供方：直连网络正常、VPN 权限正常、订阅可以更新，但多个节点在不同网络下持续出现相同超时或认证失败。
- 反馈前先脱敏：可以提供错误类型、发生时间、使用的网络类型、客户端版本和节点编号；不要发送订阅完整链接、密码、UUID、私钥、二维码或包含账号信息的截图。
完成排查后，最后确认三件事：Home 已选择具体服务器，Global Routing 已恢复到实际需要的模式，Config 中启用的是预期文件。若仍不能判断，停止继续改动，保留当前错误现象和最近一次成功配置，定位会比反复重装更清楚。
常见问题
Shadowrocket 节点连接失败，应该先换节点吗？
不建议一开始就换节点。先关闭 Shadowrocket，确认 Wi‑Fi 或蜂窝网络直连正常；然后固定一个节点，检查 VPN 授权、订阅更新和服务器字段。只有在单个节点失败而其他节点可用时，才适合用换节点做对比。
Shadowrocket 显示已连接，为什么网页还是打不开？
VPN 已连接只说明系统隧道建立，不代表目标请求一定走了正确策略。打开 Home → Global Routing，记录当前模式；如果使用 Config，再到 Config 页面确认配置已启用，并检查目标域名是否被规则分到 Direct、Proxy 或 Reject。可临时切换 Proxy 对比同一网页，测试后恢复原模式。
Shadowrocket 的 Connectivity Test 成功，就代表节点完全正常吗？
不代表。Connectivity Test 与实际网页或 App 请求可能使用不同域名、规则、DNS 或连接复用方式。应使用同一节点、同一网络和同一目标网页复测，并分别记录测试结果与实际访问结果。
Shadowrocket 一直弹出 VPN 授权或开关马上关闭怎么办？
重新进入 Home，选择具体服务器后手动连接，确认 iOS 系统提示确实由 Shadowrocket 触发并完成授权。随后检查设置中的 VPN 配置、其他 VPN 和设备管理限制。若仍失败，不要连续删除配置；记录现象后再考虑还原网络设置。
排查 Shadowrocket 时可以直接改 DNS 或重置网络吗？
可以，但不应作为第一步。DNS 修改适合在已确认服务器可连接、但域名解析或规则匹配异常时进行；网络设置还原适合其他方法无效时使用，因为它会清除 Wi‑Fi 密码、蜂窝网络相关设置和 VPN/APN 设置。操作前先备份并确认能够重新配置网络。
反馈节点连接问题时，哪些信息不能发出去？
不要公开完整订阅链接、密码、UUID、私钥、二维码、账号令牌或包含这些内容的截图。可以提供脱敏后的错误提示、客户端版本、iOS 版本、Wi‑Fi 或蜂窝网络类型、是否所有节点都失败，以及你已经完成的复测步骤。
相关阅读
参考资料
- Shadowrocket 使用说明：Home、Config、Global Routing 与 On Demand（shadowrocketiphone.com）
- Shadowrocket 设置说明：Global Routing、规则与配置文件（shadow-official.com）
- Apple 支持：无法连接 Wi‑Fi 时的网络设置还原
- Apple 平台部署：VPN 设备管理设置概览