Shadowrocket（小火箭）首次设置的关键，是先准备用户已有的连接配置，再在首次连接时允许系统添加 VPN 配置。本文按 Home 页的实际用途解释连接开关、路由姿态、测试入口与服务器列表，适合已安装应用但尚未完成首次连接的 iPhone / iPad 用户；读完可按顺序验证权限、所选服务器和分流结果，而不是仅凭开关颜色判断是否可用。
一、先分清应用购买、服务配置与 VPN 权限
Shadowrocket 是 Apple 平台的闭源商业应用，唯一获取入口为 App Store，开发者为 Shadow Launch Technology Limited，应用 ID 为 932747118。购买前可进入正版核验页核对产品信息；系统要求、设备兼容性与通用购买范围以 App Store 页面标注为准。
客户端买断 ≠ 线路套餐。下文以用户已有自己的服务商与订阅为前提，只说明如何使用既有配置。安装应用、导入服务器和允许 VPN 配置是三个独立动作：安装提供操作界面，导入提供连接参数，系统授权允许应用建立用于处理流量的网络隧道。
首次设置需要核对的两类配置
应用内连接配置
- 来源为用户已有的订阅或连接参数。
- 包含服务器地址、端口、协议与认证信息。
- 导入后在 Home 的 SERVER 区域检查。
系统 VPN 配置
- 由 iOS 在应用请求建立连接时提示添加。
- 需要用户明确允许，并按系统要求验证。
- 授权本身不会生成服务器或补全认证信息。
先核对应用身份与参数来源，再允许连接；权限成功不等于远端服务已验证成功。
二、首次连接：何时允许添加 VPN 配置
“首次打开就要允许”是常见的简略说法。更准确地说，系统授权提示通常在首次尝试开启连接、且尚未添加对应 VPN 配置时出现，不一定在刚进入应用的一刻弹出。若 Home 仍为空，先完成导入，不必反复点击开关等待权限提示。
-
导入配置
在 Home 右上角点“+”，在 Type 中选择 Subscribe，填写用户已有的订阅地址后保存。示例形式为
https://example.com/sub?token=xxxx，这是假地址，不能用于连接；实际地址及令牌应保密。 -
核对列表
返回 Home，等待导入完成并检查 SERVER 列表。若没有展开出服务器，先检查订阅获取结果；需要更新时使用对应订阅的更新操作，不要把空列表当作系统权限故障。
-
选择服务器
点选一个已有服务器，确认选中标记对应预期条目。订阅分组名称与具体服务器条目不是同一概念，真正参与连接的是当前选中项或当前策略所选目标。
-
开启连接
点击 Home 顶部 Not Connected 一行的开关。出现系统添加 VPN 配置提示后，核对这是本次操作触发的请求，选择允许，并按 iOS 提示完成密码或身份验证。
-
验证访问
返回 Home 查看连接状态，再访问一个需要验证的目标。记录是连接立即断开、长时间等待，还是已连接但目标不可用，这些现象对应不同的排查方向。
三、Home 各区块分别控制什么
Home 是连接操作页，Config 管理规则配置，Settings 管理应用设置。初次使用时先按职责区分它们：在 Home 更换服务器，并不会自动改写 Config 中的规则；修改 Settings 中的自动连接条件，也不等于改变每个域名的分流策略。
连接状态与流量去向
- Not Connected
- 表示当前未建立应用连接；旁边开关用于发起连接或断开。
- Global Routing
- 选择路由姿态，决定按配置规则处理还是采用其他路由方式。
- Config
- 底部页面入口，用于选择和编辑配置文件；与同名路由姿态用途相关，但不是同一个控件。
连接状态回答“隧道是否运行”，路由姿态回答“流量如何处理”。
测试入口与服务器列表
- Connectivity Test
- 按当前测试方式检查服务器可达性或延迟，结果受测试目标与网络环境影响。
- SERVER
- 显示已导入或手动添加的服务器，供查看、选择与管理。
- Subscribe
- 导入时使用的订阅类型，用于从用户已有地址获取配置条目。
测试结果不是连接开关，列表中存在条目也不代表认证已通过。
初始状态出现 Not Connected 并不说明安装失败；它通常只是尚未开启连接。反过来，状态变为已连接，也只能说明本地隧道已经运行，不能单独证明所选服务器、DNS、规则和目标网站都正常。
四、Global Routing 首次应该怎样选择
首次排查要区分“路由姿态选错”与“服务器参数有误”。已有可信且适用的规则配置时，可从 Config 开始；若尚未核对配置内容，应先进入底部 Config 页面确认当前使用的文件。不要把选中 Config 理解成应用会自动替所有网站制定合适规则。
Config
推荐根据当前生效配置中的规则决定去向。规则可将不同流量交给 PROXY、DIRECT 或其他已定义策略；未匹配部分通常由 FINAL 兜底，实际行为取决于文件内容。
适合：已有适用规则配置，需要日常按规则分流。
Proxy
让由应用接管的流量统一使用代理路径，便于与 Config 的结果作对照。它不能修复错误的密码、失效的服务器地址或远端服务故障。
适合：临时检查某个目标是否因规则选择而走错路径。
Direct
让由应用接管的流量直接连接，不经所选代理服务器。它是直连路由姿态，不等同于关闭 Home 的连接开关。
适合：对照当前网络的直连表现，区分本地网络与代理路径问题。
Scene
用于按已设定的场景条件切换相应路由行为。需要先核对场景设置与当前条件，不能将它简单理解成 Config 的另一名称。
适合：已经建立并验证场景条件，需要按环境切换行为。
例如，当前配置包含下列规则时，example.com 及其子域名会匹配 PROXY，其他未命中前面规则的流量落到 DIRECT。这只是规则语法示例，不是首次连接必须粘贴的完整配置；使用前还需确认配置中的 PROXY 能指向可用目标。
[Rule]
DOMAIN-SUFFIX,example.com,PROXY
FINAL,DIRECT规则按顺序检查，首条命中决定处理方式。若目标在 Config 下不可用，而切换 Proxy 后可用，应优先检查目标命中的规则与策略，不要立即删除订阅。测试完成后恢复原路由姿态，避免临时设置长期保留。
五、Connectivity Test：延迟数字不能替代访问验证
在 Home 点击 Connectivity Test 后，应把显示结果理解为“特定测试方式在当前网络下的结果”。部分测试侧重服务器端口是否可达，部分测试涉及经代理访问测试目标；两者验证的链路环节不同。测试类型、测试目标和超时设置变化后，数字也可能变化。
| 观察到的现象 | 可以说明什么 | 下一步 |
|---|---|---|
| 有延迟数字，但网页打不开 | 测试完成，不代表目标请求的全部环节正常 | 检查认证、路由规则、DNS 与实际目标访问 |
| 显示 timeout | 本次测试未在规定时间内完成 | 换网络复测，核对地址、端口与测试目标 |
| 连接立即断开 | 隧道启动或连接过程未能持续 | 先检查系统权限及应用中的错误信息 |
| 只有一个网站不可用 | 不能直接判定整个服务器失效 | 对照 Proxy 与 Config，检查目标规则和服务端响应 |
例如，用户已有的参数指定端口为 443，就应核对导入后的端口仍为 443；不能因为测试超时便自行改成 80。端口只是连接参数的一部分，协议、认证方式以及 TLS 等选项同样需要与既有服务配置一致。这里的端口只用于说明核对方法，不是所有服务器的通用值。
- 固定一个服务器、一个网络和一个目标，先得到可重复的结果。
- 每次只改一项，记录更改前后的连接状态与访问现象。
- 比较 Wi-Fi 与蜂窝网络时，保持服务器和路由姿态不变。
- 反馈问题时保留错误文字，但遮蔽订阅令牌、密码与个人连接信息。
六、SERVER 列表与订阅更新：先确认选中了什么
SERVER 列表是连接资源列表，不是购买记录。订阅导入成功后可能包含多个条目，名称只是辨认标签，不能代替协议和参数检查。先展开对应分组，确认具体选中项，再执行测试；切换服务器之后也应重新验证，而不是沿用上一个条目的测试结论。
订阅更新负责重新获取远端提供的条目，并不等于更新应用。若远端内容调整，服务器名称、数量和参数可能变化；更新后需要再次确认选中项是否仍是预期目标。系统 VPN 配置通常无需因为每次订阅更新而重新添加。
- 列表为空：检查是否只保存了订阅地址而尚未成功获取内容，并核对地址是否完整。
- 更新报错：区分获取地址失败、认证失效与内容无法解析，先读错误信息再处理。
- 条目变动：核对当前选中服务器，必要时重新测试；不要假定旧名称仍对应旧参数。
- 规则未变化：服务器订阅更新不必然包含规则配置更新；Config 页面中的文件应单独核对。
七、首次成功后，再设置 On Demand
手动连接尚未验证成功时，建议先保持自动连接条件不变。完成一次可重复的手动连接后，再进入 Settings → On Demand 检查按需连接设置。On Demand 解决的是“何时自动连接或断开”，Global Routing 解决的是“连接后如何处理流量”，两者不是替代关系。
- 在 Home 手动连接，验证所选服务器和当前路由配置可以工作。
- 进入 Settings → On Demand，逐项核对已有条件，再按实际需求设置。
- 切换到对应 Wi-Fi 或蜂窝网络，观察实际连接状态，确认条件是否命中。
- 若手动断开后又自动连接，回查 On Demand 条件及系统 VPN 的按需连接状态。