Shadowrocket（小火箭）的连接开关打开，只能说明本地 VPN 连接已建立，不能证明所选服务器、DNS 与目标网站均可访问。本文面向已经拥有自己的服务商与订阅、能够打开连接但无法正常浏览的用户，按四层检查建立对照；每次只调整一项，并通过同一目标的新请求确认结果。
开始前：把“已连接”与“能访问”分开检查
系统 VPN 状态表示设备已将相应流量交给本地隧道处理。远端服务器是否接受连接、域名能否解析、请求最终走哪个策略，仍是后续环节。重复拨动开关不会修正错误的服务器端口，也不会改变已经写错的规则。
先保存当前 Config 的副本，记录 Home 中所选服务器、Global Routing 的当前值，以及故障发生在 Wi-Fi 还是蜂窝网络。测试期间固定一个自己日常使用、已知可以正常访问的 HTTPS 网站，避免每一步都换目标而失去可比性。
- 暂时关闭 Shadowrocket 连接，检查当前网络能否访问原本可直连的网站。公共 Wi-Fi 若有认证页面，先完成网络认证。
- 若开关会自行重新打开，检查 Settings → On Demand，记录现有设置并暂时关闭 On Demand，避免它干扰手动对照。
- 重新打开连接，对同一目标发起新请求。测试时退出并重新打开目标应用，减少既有连接复用造成的误判。
第一步：确认所选服务器实际可用
在 Home 核对当前选中的服务器，而不是只看订阅分组是否存在。订阅导入成功表示配置数据可以读取，不表示其中每个服务器此刻都在线；订阅更新成功也不能证明账号配额、服务状态和出口访问均正常。
-
核对选中项
进入 Home，确认选中的是本轮要测试的服务器。若使用策略组，还要核对该组实际选择的成员，避免测试对象与记录不一致。
-
核对参数
打开该服务器的编辑页，对照自己的服务商资料检查 Type、地址与 Port。端口必须使用对方提供的值，不能因为网站使用 HTTPS 就一律改成 443。
-
执行测试
使用 Home 中的 Connectivity Test 取得可达性线索，再实际打开目标网页。测试成功只覆盖相应测试方式与目标，不能替代真实业务请求。
-
建立对照
在自己已有的服务器中换一项，保持网络、模式和目标不变。只有某项失败时，优先核查该项参数及服务状态，而不是重写整份 Config。
协议参数必须与服务端一致。例如 Trojan 的密码与 TLS 主机名、VMess 或 VLESS 的身份信息、传输方式和路径都可能影响握手。不要根据一次超时随意替换协议，也不要通过关闭证书验证掩盖主机名或证书错误。
报错：Connection timed out
原因与解法：若连接日志出现此原文，表示相应操作在期限内未完成，不能单独判定是服务器停机还是网络路径阻断。先核对地址与 Port，再用同一配置切换 Wi-Fi／蜂窝网络对照，向自己的服务商确认服务器状态。
报错：Connection refused
原因与解法：若连接日志出现此原文，通常表示目标端口的连接被主动拒绝。先确认日志中的目标是服务器还是网站，再核对对应端口和服务监听状态；反复重连不能修复端口填错。
第二步：用 Global Routing 区分模式与服务器问题
进入 Home → Global Routing，先记录当前值。Proxy、Direct、Config、Scene 的用途不同；其中 Scene 根据已配置的场景条件决定路由行为，不能仅凭选择了 Scene 就推断当前请求必然经过哪条路径。
| 选项 | 检查目的 | 结果如何理解 |
|---|---|---|
Proxy | 临时验证代理路径 | 若目标可访问，说明本次所选代理路径能够完成该请求，继续检查 Config 的分流结果。 |
Direct | 对照直连路径 | 对可直连目标仍失败时，应同时检查本地网络与 DNS，不能只归因于服务器。 |
Config | 按当前配置规则处理 | 仅此模式失败时，重点核查当前 Config、规则顺序、策略组及相关 DNS 设置。 |
Scene | 按场景条件处理 | 核对当前网络命中的场景及其配置；排查时可先切换到明确的 Proxy 或 Config 做对照。 |
切换模式后，重新建立目标应用的连接再测试。已有长连接可能仍体现切换前的状态；只刷新一次页面也可能命中缓存。Direct 对照应选择原本可以直连的目标，不能把某个目标无法直连当作整个本地网络断开的证据。
结论：Proxy 可用时，先保留服务器参数
同一服务器、网络和目标下，Proxy 可访问而 Config 不可访问，就先回到 Config 检查实际命中的策略与 DNS 配置，不要同时修改协议、服务器端口和规则。
第三步：确认 DNS 解析与解析后的连接分别成功
域名解析发生在访问目标的前置环节。服务器地址本身如果也是域名，还需要先解析服务器地址；因此，“DNS 问题”既可能影响目标网站，也可能使代理连接根本无法建立。检查日志时，应先辨认失败的是哪一个域名。
进入 Config，确认当前使用的配置文件，再查看其 DNS 设置与原始文本中的 [General]。常见配置项 dns-server 用于指定解析器；系统 DNS、自定义传统 DNS 与加密 DNS 的访问路径不同，不能只比较地址字符串就认定结果相同。
[General]
dns-server = system上面只是 DNS 配置片段，不是完整配置文件。若准备以系统 DNS 做一次临时对照，应在备份后的配置副本中修改现有 dns-server 项，不要重复追加多个同名项，也不要覆盖原有规则。系统 DNS 依赖当前网络，不能视为所有目标的通用修复办法。
- 看解析结果：针对刚发起的新请求，检查日志是否出现域名解析失败，或是否已得到 A／AAAA 地址。得到地址只证明解析阶段有结果，不代表该地址可达。
- 看解析器路径：传统 DNS 常用 UDP 或 TCP 53；DoH 通常通过 HTTPS 443。网络能打开普通网页，并不能证明某个自定义 DNS 服务也能访问。
- 看双栈差异：若解析得到 AAAA，但当前网络的 IPv6 路径不通，可能出现部分请求超时。先比较 Wi-Fi 与蜂窝网络的表现，再调整相关设置。
- 排除缓存：保存配置并重新连接，再由目标应用建立新连接。保留前后解析结果，避免把缓存中的旧地址误认为新设置的结果。
第四步：核对当前 Config 与实际规则命中
确认 Home → Global Routing 已回到 Config，再到 Config 核对当前使用的文件。编辑了某个副本，不等于该副本已经成为当前配置。规则通常按顺序判断，较早命中的规则会决定请求策略；排查时要找实际命中项，而不只是搜索文件里有没有目标域名。
[Rule]
DOMAIN-SUFFIX,example.com,PROXY
FINAL,DIRECT这段示例仅说明规则顺序：example.com 及其子域名匹配 DOMAIN-SUFFIX 后交给 PROXY，其余未匹配请求落到 FINAL,DIRECT。这里的 PROXY 必须能对应当前配置可用的代理策略；若实际使用自定义策略组，规则末尾应填写已定义的组名。不要把片段直接替换成完整 Config。
- 核对域名范围：
DOMAIN-SUFFIX,example.com,PROXY不会覆盖另一个完全不同的资源域名。网页主体能打开但图片或登录失败时，查看失败资源的实际主机名。 - 核对提前匹配：检查目标之前是否存在把请求交给
DIRECT或REJECT的规则；把域名规则加在FINAL后面不能实现预期覆盖。 - 核对 IP 规则：
GEOIP与IP-CIDR针对 IP 判断，不能当作域名后缀规则使用。按请求的解析结果和配置中的解析选项核对命中，勿仅凭网站名称推断。 - 核对策略去向：日志显示命中某策略组后，还要检查组内当前成员。命中组名正确，不表示组内所选服务器一定可用。
网页可能同时连接主站、静态资源和身份验证域名。主文档返回而页面一直转圈时，应记录失败的那条请求及其策略，不要立刻将所有流量改为 Proxy 作为长期处理。临时切换模式适合定位差异，最终修正应落在实际需要调整的规则上。
常见追问：如何判断下一步该查哪里
Connectivity Test 有结果，为什么网页还是打不开？
测试只反映它采用的测试方法和目标。回到同一网页发起新请求，分别检查目标域名解析、实际策略与连接错误；尤其要区分服务器可达、协议握手成功和目标网站可访问这三个阶段。
只有 Wi-Fi 不行，蜂窝网络正常，先改什么？
先保持服务器、Global Routing 与 Config 不变，只切换网络复测。完成 Wi-Fi 认证，并检查该网络的 DNS 与 IPv6 表现；若同一服务器只在一张网络失败，应先调查该网络路径，而不是重建订阅。
更新订阅以后还是不能上网，要继续刷新吗？
先在 Home 确认更新后的实际选中项，再对照服务商提供的参数和账号状态。刷新只能取得配置数据，不能恢复已停用的服务，也不会自动修正本地 Config 中不合适的分流规则。
关闭开关后它又打开了，怎么完成对照？
进入 Settings → On Demand，记录后暂时关闭 On Demand，再手动控制连接。完成排查后恢复原设置，并在常用 Wi-Fi 与蜂窝网络下分别检查自动连接行为。
收尾：保存可复现记录，再恢复日常设置
排查完成后，恢复需要的 Global Routing 与 On Demand 设置，确认正在使用的是修正后的 Config。一次成功访问不能保证所有应用都正常；至少复测原先失败的网页、页面中的关键资源，以及另一项日常应用请求。
- 记录条件：网络类型、所选服务器的本地备注、Global Routing 值、当前 Config 名称和测试时间。
- 记录差异：例如“相同目标在 Proxy 成功、Config 超时”，比笼统描述“连不上”更有定位价值。
- 记录错误：保留相关请求的目标域名、命中策略和错误原文；向自己的服务商询问时，只提交必要信息。
- 隐藏敏感信息：对外发送日志前移除订阅 token、密码、UUID、私钥等凭据，不要公开完整订阅链接。
更多配置操作可查阅使用教程；需要逐项理解设置时，可阅读设置详解。客户端购买与用户已有的线路服务分别管理，客户端买断不等于线路套餐。