Shadowrocket（小火箭）开关打开，只能说明连接功能已启用，不能证明远端服务、域名解析与规则路径全部正常。本文适合已经导入自己服务商配置、但出现整机断网或部分应用打不开的用户。先建立断开连接时的网络基线，再依次检查服务器、Global Routing（全局路由）、DNS 与 Config（配置文件），每次只改变一项设置。
一、先确认断网范围，保留可回退的状态
不要先删除应用或清空配置。这样会丢失服务器参数、当前规则和诊断线索。先记录 Home（首页）中选中的服务器、Global Routing 的当前值，以及 Config 中正在使用的配置文件；涉及凭据的截图仅留在本地。
这条链表示排查范围，不代表所有连接都采用完全相同的内部执行顺序。不同规则可能在匹配时触发解析；服务器域名本身也可能需要先解析。系统 VPN 标记出现，并不等于链条末端已经收到响应。
- 关闭 Shadowrocket 连接。访问一个平时可直接打开的网站，再访问路由器管理页等本地目标，区分互联网故障与局域网故障。
- 若断开后仍不能联网，先处理 Wi-Fi 登录认证、移动数据权限、路由器或运营商连接。此时改规则通常不能恢复基础网络。
- 在基础网络正常后打开连接，用同一个网址复测。记录是所有网站失败，还是仅某个域名、某个应用或视频通话失败。
- 分别在 Wi-Fi 和移动数据下复测。若只在一个网络失败，优先检查该网络对服务器地址、端口或 UDP 的可达性。
二、检查服务器状态：延迟结果不等于网页可用
在 Home 确认实际选中的是准备测试的服务器，再使用 Connectivity Test（连通性测试）观察结果。测试有响应，只能证明对应测试路径在当时得到响应；不能据此认定所有目标、DNS 查询和 UDP 流量都能正常通过。不要仅凭一个延迟数字跳过服务器参数核对。
- 地址与端口：对照自己服务商提供的信息，核对服务器主机名及端口。端口填写远端服务实际监听值，不要把本地代理监听端口当成远端端口。
- 协议与凭据：Shadowsocks、VMess、VLESS、Trojan、Hysteria2、WireGuard 的字段要求不同。保留原协议，核对密码、UUID、密钥或其他认证字段，不要为了试通随意换协议。
- TLS 参数：按原始配置核对服务器名称、证书与设备时间。服务器地址可达不代表 TLS 验证一定通过，不要通过关闭证书验证掩盖错误。
- 服务状态：确认账户有效、用量可用、远端服务正常。如果已有订阅发生更新，先确认更新成功，再重新选择服务器，避免继续测试旧条目。
报错：Connection refused
原因：连接被目标或中间设备明确拒绝，常见于端口未监听或访问策略拒绝。
解法：先核对远端端口和服务状态，再请自己的服务商确认监听与防火墙设置；反复修改 DNS 不能解决已收到的拒绝响应。
报错：Connection timed out
原因：连接在规定时间内未完成，可能涉及地址不可达、丢包、过滤或远端无响应。
解法：保持配置不变，切换网络复测同一服务器，再对照自己已有的另一条可用配置，缩小到网络或服务器范围。
报错：certificate verify failed
原因：TLS 证书验证未通过，可能与证书链、服务器名称或设备时间有关。
解法：开启系统自动日期与时间，核对原始 TLS 参数，并由服务端维护者修复证书问题。
以上是连接工具或底层日志中可能出现的英文报错片段，具体大小写与前缀可能不同。提交反馈时保留原文，分清报错来自浏览器、订阅更新还是代理连接；三者对应的请求路径不一定相同。
三、核对 Global Routing：用短时对照定位分流问题
在 Home 打开 Global Routing，先记住原来的选择。Proxy（代理）、Direct（直连）、Config（按配置）、Scene（场景）表达的是不同路由姿态，不是四种连接协议。服务器参数正确时，路由选择仍可能把请求送到不合适的出口。
| 姿态 | 排查时关注的行为 | 如何使用结果 |
|---|---|---|
| Proxy | 以代理出站为主要路径进行对照。 | 若同一网址在 Proxy 可用、Config 失败，继续检查规则和策略选择。 |
| Direct | 使用直连路径，不以选中代理服务器作为出口。 | 若目标本来需要代理，此姿态下打不开不能证明服务器故障。 |
| Config | 根据当前配置文件的规则决定去向。 | 查看目标命中的是 DIRECT、代理策略还是拒绝动作。 |
| Scene | 按已设置的场景条件决定路由行为。 | 确认当前网络触发了什么场景；不能仅凭选中 Scene 推断最终出口。 |
- 保持同一服务器和同一测试网址，短时切到 Proxy，重新发起请求。
- 再切回 Config，重新加载同一目标。必要时关闭并重开测试应用，避免旧连接继续复用。
- 若只有 Config 失败，检查当前配置的匹配顺序与策略；若两者都失败，继续排查服务器与 DNS，不要直接断言是规则错误。
Proxy 下可用只是定位线索，不是必须长期采用的修复方案。测试结束后恢复原姿态；需要访问局域网设备时，还应复核本地地址的实际出站路径。
四、排查 DNS：分开看解析失败与连接失败
DNS（域名系统）负责把域名解析为地址。域名解析失败时，浏览器可能表现为网页打不开，但原因不一定在远端代理。先检查 Settings → DNS，再检查 Config 中活动配置的 DNS 项，确认实际生效的设置及覆盖关系。不要只修改一个未启用的配置文件。
这些端口是协议常见值，不是要求把服务器端口改成这些数字。使用加密 DNS 时，上游解析服务也必须能够通过当前网络路径访问。如果建立代理需要先解析服务器域名，而解析服务又依赖尚未建立的代理，就可能形成启动依赖问题。
- 先保存原值：记录 DNS 上游地址、解析相关选项和活动配置，避免在多次尝试后无法恢复。
- 再做单项对照：临时恢复原先可用的 DNS 设置，或使用当前网络确实可达的解析服务。不要一次同时更改解析服务、规则与服务器。
- 区分应用缓存：更改后重新连接，并关闭再打开测试应用。浏览器安全 DNS、系统加密 DNS 描述文件与应用缓存都可能影响观察结果。
- 核对 IPv6：若域名获得 IPv6 地址但当前出口没有可用 IPv6 路径，应检查解析与路由是否一致；不要把所有双栈故障都归为服务器离线。
五、检查规则顺序：确认命中项与最终出口
只有在 Global Routing 为 Config 时，当前配置规则才是此轮排查的重点。先到 Config 确认活动文件，再查看失败目标对应的请求记录，记录域名、目标地址、命中规则和实际出站策略。记录中缺少域名时，不要仅凭一个共享 IP 判断网站身份。
[Rule]
DOMAIN-SUFFIX,example.com,PROXY
IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
GEOIP,CN,DIRECT
FINAL,PROXY上面仅演示匹配顺序，不是完整可导入配置。example.com 是示例域名；PROXY 必须与实际可用的策略名称或内置策略对应。192.168.0.0/16 只覆盖一个私有地址段，不代表全部局域网范围。
DOMAIN-SUFFIX匹配指定域名及其子域名。将针对性规则放在可能抢先命中的宽泛规则之前。IP-CIDR按目标 IP 网段匹配；示例中的no-resolve表示不为这条 IP 规则主动触发域名解析，并不等于全局关闭 DNS。GEOIP根据 IP 地理归属数据匹配。它不是域名内容分类器，不能保证某个网站的所有连接都采用相同路径。FINAL是此前规则均未命中时的最终去向，应放在末尾。前面的宽泛规则已经命中时，修改 FINAL 不会改变那条请求。
如果首页能打开但登录、图片或视频失败，分别查看这些请求。一个页面可以访问多个域名，主域名规则正确不代表其他资源也会命中同一策略。只修正有证据的目标，并检查策略组当前选择是否有效，不要先把整份规则改为同一出口。
六、按常见现象继续缩小范围
开关开了，VPN 标记也有，为什么还是全断？
先关闭连接确认基础网络正常，再回到 Home 确认选中服务器。用同一网址比较 Proxy 与 Config；两者都失败时，先核对服务状态、认证和 DNS，不要只看系统 VPN 标记。
网页能开，语音通话或游戏却连不上？
检查失败应用是否依赖 UDP，以及当前协议配置、服务端和所在网络是否允许相应流量。TCP 网页正常不能证明 UDP 正常。保持服务器不变，切换 Wi-Fi 与移动数据对照，并查看对应请求记录。
订阅更新成功，为什么连接仍然超时？
订阅更新只说明配置地址可访问、内容已获取，不代表其中每个服务器都可用。回到 Home 重新确认所选条目，再核对服务商提供的状态。不要把订阅地址填入单个服务器的地址栏。
锁屏后或换 Wi-Fi 后又不能用了？
记录故障发生的网络切换时点，检查 Settings → On Demand 的条件，以及 Global Routing 是否使用 Scene。临时固定网络并采用明确的路由姿态复测，再逐项恢复自动条件。
只有一个应用失败，需要重装 Shadowrocket 吗？
先比较浏览器与该应用访问同一服务的表现，检查该应用的网络权限、独立 DNS 设置和请求记录。若其他应用正常，优先处理该应用相关路径；重装会移除线索，不能替代定位。
七、恢复设置，并整理可复现的反馈
定位后先撤销与原因无关的试验设置。恢复原本需要的 On Demand 条件与路由姿态，保留已验证的单项修正。随后重新连接，在日常使用的网络上测试网页、登录和需要 UDP 的应用，确认修复没有破坏其他连接。
- 记录系统平台、网络类型、故障时间和是否发生网络切换；版本信息从应用实际界面读取，不凭印象填写。
- 提供可复现顺序，例如“断开可访问；打开后 Config 失败；相同服务器下 Proxy 可访问”。说明每一步是否重新建立了连接。
- 附上必要的英文报错、命中规则和出站策略。发送前遮盖订阅 token、密码、UUID、私钥与个人网络信息。
- 服务器不可用或账户状态异常时，联系自己的服务商；配置理解问题可继续查看本站使用手册与常见问题。
本文以用户已经拥有自己的服务商与订阅为前提。本站仅说明客户端配置与故障排查。客户端获取与线路服务是不同事项，客户端买断 ≠ 线路套餐。