本文适合刚在 iPhone 或 iPad 上打开 Shadowrocket（小火箭）的用户。先区分系统 VPN 权限、服务器资料与实际连接，再按 Home 页四个区块认识操作顺序。读完可以判断哪些内容需要从你的服务商处获取、何时允许添加 VPN 配置，以及怎样避免把“开关已打开”误当成“目标网站一定可访问”。
首次使用前：客户端、服务器与 VPN 权限是三件事
Shadowrocket 是 Apple 平台的付费客户端，唯一获取入口是 App Store，iPhone 与 iPad 是本文的操作对象。系统要求与通用购买条件以 App Store 页面标注为准。客户端买断 ≠ 线路套餐；购买应用不会自动为 Home 页填入可用服务器。本文以你已有自己的服务商与订阅为前提，订阅请从你的服务商处获取。
首次使用期间，应用需要通过系统授权建立 VPN 配置。弹窗可能在首次尝试打开连接开关时出现，而不是一定在进入 Home 的瞬间出现。它允许系统为 Shadowrocket 建立网络隧道所需的配置记录，不是购买确认，也不会代替服务器参数。
初次排查应分别确认：应用是否来自正确的商店页面、SERVER 中是否已有资料、系统是否允许建立 VPN 配置。三项缺少任何一项，都不能仅凭已安装应用判断连接条件已经齐备。获取与核验步骤见下载指南。
允许添加 VPN 配置：按系统提示完成授权
允许添加 VPN 配置意味着同意由系统为该应用管理相应的 VPN 连接。连接启用后，符合当前路由设置的流量会由应用处理；实际转发到哪里仍取决于服务器、Global Routing 与当前配置。授权本身不等于所有请求都经过远端服务器，也不保证远端服务可用。
-
核对来源
确认应用由 App Store 获取，开发者为 Shadow Launch Technology Limited。首次配置前先准备好从你的服务商处获取的服务器资料或订阅。
-
准备服务器
在 Home → 右上角“+”添加资料。使用订阅时，在 Type 选择 Subscribe，填入订阅地址并保存，确认 SERVER 已出现可选条目。
-
触发连接
回到 Home，选中服务器前的圆点，再打开顶部连接开关。若此前尚未授权，按实际出现的系统提示继续。
-
完成授权
在系统“添加 VPN 配置”的确认弹窗中选择允许，并按系统要求完成设备身份验证。不要把设备解锁密码填写到服务器密码字段。
-
返回核对
回到 Home 观察连接状态，再运行 Connectivity Test。若没有成功，先读当前提示，不要反复删除系统 VPN 配置。
Not Connected：顶部开关控制连接，不负责选择线路
Home 顶部的 Not Connected 表示当前没有建立连接。它是状态文字，旁边的开关用于发起或停止连接；SERVER 中的选择才决定当前使用的服务器。添加了一条资料但没有选中，或者选中后尚未打开开关，都不能视为完成连接。
开关打开后，应等待状态变化，再开始访问网页。系统显示 VPN 状态只说明相应隧道处于启用状态，不表示每个远端目标都能访问。地址、端口、认证信息、DNS 与规则均可能影响后续请求，因此“已连接但打不开网页”需要继续分层检查。
先按开关状态区分排查方向
仍为 Not Connected
- 确认 SERVER 中有条目，且目标条目前的圆点已选中。
- 确认系统授权已完成，读取连接时出现的错误提示。
- 核对服务器地址、端口与认证资料是否完整。
已连接但访问异常
- 先运行 Connectivity Test，区分测试失败与个别网站失败。
- 查看 Global Routing 当前选项，确认请求预期使用的路径。
- 检查当前网络能否正常联网，再核对 DNS 与配置规则。
先判断隧道是否建立，再判断请求是否成功；两类问题不要用同一个状态标志代替诊断。
首次手动验证期间，还应检查 Settings → On Demand 是否已经启用。On Demand 可以按设定条件触发连接；若关闭开关后又自动连接，应先检查这些条件，而不是立即判定开关失效。为减少变量，可先关闭 On Demand 完成手动测试，再按实际需求配置。
Global Routing：先理解 Config、Proxy、Direct 与 Scene
Global Routing 决定应用如何处理进入隧道的请求，不是服务器列表，也不负责提供服务器。首次使用时尤其要分清 Config 与 Proxy：前者依照当前配置决定策略，后者用于让相关请求采用代理路径。不能因为界面选了某个名称，就假定已经有正确的规则或可用服务器。
Config
推荐根据当前启用的配置匹配规则，并执行规则指定的策略。规则可以指定 DIRECT、代理策略或 REJECT；未命中前面规则的请求通常由 FINAL 处理，并非固定直连。
适合：已有可信且适用的配置，需要按规则处理日常请求。
Proxy
让进入应用处理范围的请求采用代理路径，可用于缩小规则因素的影响。它仍依赖可用服务器，不能修复错误的地址、密码或服务端状态。
适合：短时检查代理路径，区分服务器问题与配置规则问题。
Direct
让相关请求直接连接目标，不通过远端代理服务器。它不是“自动挑选最快服务器”，也不应被误认为已启用远端代理。
适合：检查直连表现，或按明确需求暂时使用直接连接。
Scene
按已设置的场景条件应用相应的路由安排。使用前应检查场景条件及其关联设置，不要在尚未理解触发关系时把它当作固定的 Proxy 或 Config。
适合：已经设置场景，希望随使用环境切换路由安排。
例如，DOMAIN-SUFFIX,example.com,DIRECT 表示对匹配域名后缀的请求采用 DIRECT。GEOIP 按 IP 地理归属匹配，IP-CIDR 按地址网段匹配，FINAL 是兜底规则。刚接触 Home 时无需立即编写这些规则，但应知道 Config 的结果来自配置内容，而不是仅由当前服务器决定。配置结构可继续查阅完整手册。
Connectivity Test：测试结果只回答对应的测试问题
Connectivity Test 用来主动检查连接情况。测试成功说明该次测试在对应网络、目标与路径下得到了结果，不等于所有网站、所有协议或所有时间段都可用。测试失败也不能直接证明应用没有获得系统权限，应结合开关状态与错误表现判断。
- 测试前：确认设备自身能联网、SERVER 已选中目标条目、连接状态稳定，并记下 Global Routing 当前选项。
- 测试时：运行 Home → Connectivity Test，观察是正常返回、持续等待还是超时。若测试方式可以选择，应保持同一种方式进行前后比较。
- 测试后：再打开实际需要访问的页面；若只有单个目标失败，优先检查该目标的 DNS、规则与服务状态。
- 切换后：更换 Wi-Fi、蜂窝网络或服务器后重新测试，不把旧结果视为当前网络的结论。
SERVER 条目旁的延迟读数也应按所用测试方式理解。某些测试可能只验证到服务器的连通性，不能替代一次完整网页请求。排查时一次只改一项：例如保持服务器不变，临时检查 Proxy 下的表现；完成后恢复原设置，再决定是否需要调整 Config。这样才能保留可比较的现象。
SERVER：导入、选中与更新是三个独立动作
SERVER 列表保存服务器条目。点击条目前的圆点表示选中当前使用项，进入条目详情则用于查看或修改参数，两者不要混淆。服务器显示名称只是辨认标签；名称看起来正确，不代表地址、端口、协议与认证信息也一定正确。
订阅是批量获取资料的一种方式。通过 Home → 右上角“+”→ Type → Subscribe 填入从你的服务商处获取的订阅地址并保存，待内容获取后检查列表。后续更新只会取得服务商当时返回的内容，不等于自动续期，也不能修复已失效的账户权益。不同协议如 Shadowsocks、VMess、VLESS、Trojan、Hysteria2、WireGuard 的字段要求不同，应以服务商给出的资料逐项对应。
允许 VPN 配置后，为什么列表还是空的？
系统授权只建立 VPN 配置，不会生成服务器。回到 Home → 右上角“+”，按已有资料手动添加，或在 Type 中选择 Subscribe 导入从你的服务商处获取的订阅。保存后确认内容是否成功获取。
有好几条服务器，怎样知道现在用哪条？
检查 SERVER 列表中被选中的圆点，而不是只看最上方的名称。先选定一条再打开顶部开关；切换条目后重新运行 Connectivity Test，避免把上一条的测试结果当成当前结果。
订阅保存了却没有条目，要先改 VPN 权限吗？
先检查订阅地址是否完整、有无多余空格，以及设备当前网络能否访问订阅地址。订阅获取与 VPN 授权是两条不同的检查路径。若地址或账户状态有疑问，应向你的服务商核对，不要反复删除系统配置。
开关关掉又连上，应该查哪里？
先进入 Settings → On Demand 检查是否启用了条件触发。暂时关闭后再进行手动连接测试；如设备还有其他 VPN 配置或组织管理策略，应分别核对其状态，避免同时修改多个来源的设置。
首次操作的完成标准应是：SERVER 有正确资料且选中目标条目、系统授权完成、Home 连接状态正常、Connectivity Test 与实际访问结果符合预期。后续再逐步启用规则或自动连接条件，能减少初次排查时的变量。