· 故障排查 · 约 8 分钟

Shadowrocket 开关已开却上不了网:服务器、Global Routing、DNS 与规则逐项排查

开关显示已连接却打不开网页,按四处依次检查:服务器状态、Global Routing 选项、DNS 设置、规则命中顺序,每一步都给出判断方法和改法。

本文速览

Shadowrocket（小火箭）的开关开启，只能说明本地连接已启动，不能证明远端服务器、DNS 和目标网站全部可用。本文适合已经导入自己配置、但网页加载失败的用户：先建立关闭连接时的网络基线，再依次验证服务器、路由选项、域名解析与规则命中；每次只改一项，记录结果，最后恢复日常分流配置。

一、先确认故障范围，保留原配置

排查前先保存当前配置副本，并记下 Home 中选中的服务器、Global Routing 当前选项，以及 Config 中正在使用的配置。本文以 iPhone / iPad 的 Home、Config、Settings 路径说明操作；其他平台应按对应设置项核对，不把界面位置当作连接成功的依据。以下步骤以用户已有自己的服务商与订阅为前提。

  1. 保存现场

    记录失败网址、发生时间、所用 Wi-Fi 或蜂窝网络，以及浏览器显示的错误。先不要同时刷新订阅、替换 DNS 和重写规则，否则无法判断哪项改动生效。

  2. 暂停自动连接

    进入 Settings → On Demand，记录现有设置并暂时关闭自动触发，再回到 Home 关闭连接。避免测试基础网络时，连接又被条件规则自动开启。

  3. 验证基础网络

    关闭连接后访问一个平时可以直接打开的网站。若仍失败，先处理 Wi-Fi 登录页、路由器或蜂窝数据问题；公共网络应先完成网络认证。

  4. 建立对照

    重新开启连接，分别测试原失败网站和另一个已知可访问的网站。只失败一个域名时，优先查该域名的规则、解析和网站状态，不要直接重装客户端。

若切换到蜂窝网络后恢复，而同一配置在 Wi-Fi 下持续失败，这是一条网络路径相关的线索，不等于协议参数一定正确。后续仍需使用同一服务器、同一目标地址作对照，避免把两个变量一起改变。

二、检查服务器：Connectivity Test 通过不等于网页必定可用

在 Home 确认实际选中的服务器，再运行 Connectivity Test。列表中有服务器不代表它已被选为默认；订阅更新后也要重新核对选择。测试超时应先看服务器地址、端口和认证信息，而不是直接调整分流规则。测试有响应仅说明对应测试路径可用，不能证明每个网站或每种传输都正常。

报错：connection refused

原因：目标连接被明确拒绝，常见于端口未监听或网络设备主动拒绝。解法：对照服务端资料检查 Address 与 Port，再向自己的服务商确认服务是否运行；重复切换 DNS 通常不能修复端口拒绝。

报错：i/o timeout

原因：操作在规定时间内没有完成，可能发生在连接、握手或读取阶段。解法：查看错误附近的目标地址与阶段，换用另一网络重复测试；不要仅凭 timeout 就断定是 DNS 故障。

三、检查 Global Routing：用 Proxy 与 Config 做对照

在 Home → Global Routing 查看当前选项。Direct 会使普通目标请求直接连接；需要通过代理访问的目标在这一姿态下失败，并不能证明服务器不可用。Config 按当前配置分流；Proxy 适合暂时验证代理路径；Scene 则需要结合所选 Scene 的具体设置判断，不能仅凭名称认定实际流量去向。

选项排查时的用途下一步
Proxy暂时让普通目标请求走代理，降低分流规则的干扰。用同一个失败网址重试，仍失败则继续查服务器与解析。
Direct检查目标是否能够直接连接。不要把直接连接失败当作代理服务器失败。
Config按当前配置中的规则决定策略。若只有此选项失败，重点检查规则命中和策略目标。
Scene使用所选 Scene 的设置。核对当前 Scene 内容，排查时先切到明确的对照选项。

结论：Proxy 可用、Config 失败时先查规则

保持同一服务器与同一网络，把 Global Routing 从 Proxy 切回 Config 后重试。若故障随选项稳定复现，先检查目标域名命中的策略，不要立即重新导入整份订阅；DNS 也可能随配置路径产生差异，因此还需核对解析记录。

四、检查 DNS：区分解析失败和连接失败

DNS 负责把域名解析为地址。浏览器提示找不到服务器时，可以怀疑解析问题，但应结合日志确认：是否取得地址、得到的是 IPv4 还是 IPv6、随后是否发起连接。不要用“直接输入网站 IP”作为唯一判断，因为 HTTPS 证书和虚拟主机通常依赖域名，输入 IP 后报错并不能证明 DNS 正常或异常。

53
传统 DNS 常用服务端口，通常使用 UDP，也可使用 TCP。
A / AAAA
分别对应 IPv4 与 IPv6 地址记录，两条路径可能表现不同。
1 项
每轮只修改一个解析相关设置，使用相同域名复测。
  1. 进入 Config，打开当前启用的配置，查看 [General] 中的 dns-server；同时检查是否存在影响同一域名的 [Host] 映射。编辑了未启用的配置，测试结果不会随之改变。
  2. 若使用自定义 DNS，先确认该解析服务在当前网络上可达。把 DNS 改成另一个同样无法到达的地址，不会改善结果；不要同时修改代理服务器与 DNS。
  3. 若配置使用加密 DNS，检查其主机名、证书和访问路径。解析服务本身不可连接时，表现可能是大量不同网站一起失败，而非单一域名失败。
  4. 更改后保存并重新建立连接，再关闭原失败页面重新打开。浏览器、系统与客户端都可能保留缓存，不能只观察旧标签页中的错误文字。

若日志已经得到目标 IP，随后连接超时，应继续检查该地址对应的网络路径、IPv6 可达性与最终策略，而不是继续盲换 DNS。若怀疑 IPv6 路径异常，记录 AAAA 结果和连接地址后做临时对照，验证结束后恢复原设置，不把全局关闭 IPv6 当作通用修复。

五、检查规则顺序：确认命中的第一条策略

在 Config 中核对正在启用的配置，而不是只看文件名。常规分流规则按顺序匹配，前面已经命中的规则会决定策略；放在后面的正确规则可能根本没有机会执行。尤其要查宽泛的 DOMAIN-SUFFIX、覆盖目标地址的 IP-CIDR，以及兜底 FINAL。

[Rule]
DOMAIN-SUFFIX,example.com,PROXY
IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
GEOIP,CN,DIRECT
FINAL,PROXY

这段示例只用于阅读规则结构，不要求覆盖现有配置。example.com 是示例域名；PROXY 与 DIRECT 是策略名。若实际配置使用自定义策略组，应确认组内存在有效服务器，且当前选择不是失效条目。

复测时观察同一域名对应的规则和最终策略。页面还可能请求图片、接口及登录域名，主页面能开但登录失败时，应继续检查失败子请求，而不是只给首页域名添加规则。验证完成后恢复 Config，并删除仅用于诊断的临时规则。

六、常见追问：更新订阅、自动连接与局部失败

订阅更新成功，为什么还是连不上？

更新成功只说明订阅内容已取回。在 Home 重新确认默认服务器，再运行 Connectivity Test；随后对照服务商资料核对账户状态与连接参数。不要把旧条目的可用性自动套用到更新后的条目。

关闭开关后怎么又自动连上了？

进入 Settings → On Demand，检查是否启用了符合当前网络的触发条件。排查期间暂时关闭并记录原设置，完成基础网络对照后再恢复，避免自动重连干扰结果。

网页能打开，视频或通话却失败怎么办？

先确认失败功能是否使用不同域名或 UDP，再查对应请求的策略及服务端支持情况。网页的 TCP 连接成功，不等于 UDP 也可用；Hysteria2 与 WireGuard 依赖 UDP 路径，更应对照网络限制检查。

全部改过一遍还是失败，要重装吗？

先恢复保存的配置副本，再按服务器、Global Routing、DNS、规则的顺序重测。保留失败时间、网络类型、目标域名及脱敏日志，交给自己的服务商核对远端状态；重装无法修复远端端口未监听或凭据失效。

七、恢复日常配置，保存可复现结果

故障消失后，应明确是哪一项修改起作用，再恢复临时改动。若只是切换到 Proxy 后可用，不应把“已修好”作为结论；还要回到 Config 验证需要的分流规则。若更换网络后恢复，则记录原网络上的失败范围，避免下次把网络限制误判成配置损坏。

如需重新获取客户端，请使用下载页选择对应平台。iPhone / iPad 的开发者为 Shadow Launch Technology Limited，系统要求以 App Store 页面标注为准。客户端获取费用与用户已有的线路服务是两回事，客户端买断不等于线路套餐。

免费下载 Shadowrocket