首次连接需要分别确认服务器已选中、系统允许添加 VPN 配置、连接测试与实际访问均符合预期。本文面向已拥有服务商和订阅的 iPhone、iPad 用户，按 Home → Global Routing → 连接开关 → Connectivity Test 的顺序操作，并区分“开关已打开”“测试有结果”和“目标应用可用”三个不同结论。
一、先准备服务器资料，不把客户端购买当成连接服务
Shadowrocket（小火箭）是 Apple 平台的付费客户端，唯一获取入口为 App Store。安装前可在正版核验页核对官方图标、开发者 Shadow Launch Technology Limited 与应用 ID 932747118。本文以 iPhone、iPad 上的首次连接为主，系统要求以 App Store 页面标注为准。
客户端买断 ≠ 线路套餐。本站不提供、不销售、不推荐节点或订阅。开始前，需要用户已有自己的服务商与可用订阅，或已取得完整的服务器连接参数。仅完成购买和安装，Home 列表不会因此自动获得可连接的服务器。
- 已有订阅：在 Home 右上角“+”进入 Add Server，将 Type 设为 Subscribe，填入自己的订阅地址并保存；待更新完成后检查列表是否出现服务器条目。
- 已有单个服务器：在 Home → “+” → Add Server 中选择服务商指定的 Type，按原始资料填写 Address、Port 以及对应认证字段。
- 核对协议：Shadowsocks、VMess、VLESS、Trojan、Hysteria2、WireGuard 的字段并不相同。不要仅凭服务器名称猜测 Type，也不要将某一种协议的密码填到另一种协议的认证字段。
- 保护凭据：订阅地址、Password、UUID 和密钥可能授予服务访问权限。记录故障时应遮住这些内容，保留协议类型、现象与错误文字即可。
二、从 Home 选定默认服务器，再完成系统授权
导入完成后，先点选 Home 中准备使用的服务器条目。查看信息或编辑参数，与选定默认服务器是两件事；应以列表当前的选中标记为准。若订阅内有多个同名条目，还要核对所属分组，避免测试的是一个条目，实际选中的却是另一个。
选定服务器
进入 Home，点选一个已有服务器，确认选中标记落在该条目上。首次验证期间固定使用这个条目，不同时切换多个候选项。
核对路由
进入 Home → Global Routing，记录当前模式。若要先隔离规则影响，可临时选 Proxy；已有经过核对的配置也可使用 Config，但应知道测试目标将匹配哪条规则。
打开开关
回到 Home，打开顶部连接开关。首次连接时，系统可能请求添加 VPN 配置；确认这是本次操作触发的请求后，选择允许，并按设备提示完成验证。
检查连接状态
授权后回到 Home，查看开关与连接状态是否保持，而不是只看点击时的瞬间变化。若开关立即回落，先处理系统授权或连接错误，不要直接开始调整规则。
执行连通测试
在 Home 使用 Connectivity Test，查看当前测试方式下所选服务器的结果；随后打开实际需要使用的网页或应用，确认真实请求也能完成。
系统授权表示允许建立 VPN 配置，并不表示服务商已经验证成功。设备出现 VPN 状态，也不能单独证明服务器认证、TLS 握手、DNS 解析和目标访问全部正常。应继续完成下文的测试闭环。
三、辨认 Global Routing 的四种模式
Global Routing 决定连接建立后如何处理进入隧道的流量。首次排查时应减少变量：如果还不能判断规则会选中什么策略，先用 Proxy 验证所选服务器，再回到 Config 检查日常分流。这里的推荐仅针对首次连通性排查，不表示所有场景都应长期使用同一模式。
Proxy
推荐让进入隧道的流量按代理模式处理，用于先验证所选服务器，减少 Config 分流规则对判断的影响。它不会替代正确的服务器认证与传输参数。
适合：首次连接排查、临时隔离规则变量。
Config
按当前启用配置的规则决定处理方式。规则可以选择 DIRECT、PROXY 或配置中定义的策略，不能概括为“所有域名都走所选服务器”。
适合：已核对 Config 的日常分流与规则验证。
Direct
使用直连处理。此时网页能打开，只能说明直连路径可能可用，不能据此确认默认服务器已被使用。
适合：对照基础网络表现，区分直连与代理路径。
Scene
按已配置的场景设置处理。结果依赖实际场景与匹配条件，空缺或未核对的场景设置不适合作为首次测试的固定基线。
适合：已有明确场景配置，并能核对当前匹配结果的使用情况。
四、读取 Connectivity Test，不把延迟当成完整结论
在 Home → Connectivity Test 中核对当前测试方式，再查看列表对应条目的测试结果。不同测试方式验证的范围不同：TCP 探测主要反映到服务器地址和端口的连接情况；通过代理进行的测试还会涉及相应协议和测试目标。比较两个结果之前，应保持服务器、测试方式与当前网络一致。
| 可见现象 | 能够说明什么 | 下一步 |
|---|---|---|
| 显示毫秒数值 | 当前测试方式完成了一次测量，不代表所有目标均可访问。 | 保持该服务器选中，再验证实际网页或应用。 |
| 出现 timeout | 在测试等待时间内未取得所需响应，单凭它不能确定故障层。 | 核对地址、端口、当前网络，并在相同条件下重试。 |
| TCP 有结果，实际访问失败 | 端口可连接，但认证、协议握手、DNS 或目标路径仍可能存在问题。 | 检查 Type、认证字段、TLS 与传输参数，再检查路由。 |
| 一个条目失败，其他条目成功 | 差异更集中在该条目或其服务端路径，但仍需保持相同测试条件。 | 单独核对该条目，不要同时修改全部服务器。 |
较小的延迟不是带宽保证，单次成功也不是持续可用保证。测试目标与实际应用使用的域名、连接方式和服务端可能不同。若测试成功但应用失败，应保留失败应用的现象继续定位，而不是反复挑选最小的毫秒数值。
分开验证：测试请求与真实请求
Connectivity Test
- 固定一个服务器和一种测试方式。
- 记录结果为数值、timeout 或其他原文。
- 切换 Wi-Fi 与蜂窝网络时重新测试，不混用两次结果。
实际网页或应用
- 在连接保持的情况下重新发起请求。
- 区分页面加载失败、登录失败与媒体加载失败。
- 在 Config 下核对目标实际匹配的规则和策略。
测试与真实访问都符合预期，才完成本次首次连接验证；二者不一致时，按失败环节继续检查。
五、连接失败时，先查这三处
第一处：系统授权与连接是否保持
如果 Home 开关无法保持打开，先确认首次 VPN 配置请求是否已允许，以及设备是否受到管理策略限制。若设备上还有其他正在使用的 VPN 配置，应先确认当前生效的是本次连接。不要把“系统未允许建立连接”当作服务器延迟问题。
- 返回 Home，重新触发一次连接并阅读完整提示，不连续快速拨动开关。
- 进入系统设置检查 VPN 状态，确认没有切换到其他配置。
- 若连接被自动重新建立，检查 Settings → On Demand 中已有的启用状态与条件；先记录原设置，再决定是否暂时关闭以进行手动测试。
第二处：所选服务器与订阅参数
如果连接状态能够保持，但测试失败，核对当前选中的具体条目。订阅更新可能改变服务器地址或认证参数；用户已有订阅更新后，应检查条目是否仍存在以及选中状态是否正确。更新订阅与切换 Config 文件是两种操作，前者不能自动修复后者的规则问题。
- 核对 Add Server 中的 Type、Address、Port 与服务商原始资料。
- 核对 Password、UUID 或密钥等协议对应字段，不跨协议套用参数。
- 使用 TLS 时核对服务商要求的服务器名称；使用特定传输时核对相应路径和主机字段。
- 不要通过关闭证书验证来掩盖握手错误，也不要在未确认原因时批量改写所有条目。
第三处：Global Routing、规则与 DNS
如果 Proxy 下实际访问成功，切换 Config 后同一目标失败，检查重点应转向当前 Config 的匹配顺序、策略及 DNS 设置。这是缩小范围的线索，不是仅凭一次结果就确定故障来源。以下为规则语法示意，不是要求替换现有配置的完整文件：
[Rule]
DOMAIN-SUFFIX,example.com,PROXY
IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
GEOIP,CN,DIRECT
FINAL,PROXYDOMAIN-SUFFIX,example.com,PROXY匹配 example.com 及其子域名；前面更早命中的规则可能改变最终处理结果。IP-CIDR按 IP 网段匹配；示例中的no-resolve用于避免为这条 IP 规则主动进行域名解析。GEOIP使用 IP 地理归属信息匹配，不能简单等同于域名后缀判断。FINAL是前面规则未命中时的末尾处理方式，应检查它指向的策略是否符合预期。
DNS 解析失败时，代理端口可连接与网页域名不可访问可以同时发生。先记录解析相关错误，核对 Config 中已有的 DNS 设置，不要为了排查一次故障就同时更换 DNS、服务器、规则和协议。每次只改一项，才能判断哪项变化真正影响了结果。
六、完成首次连接后的收尾检查
验证成功后，恢复准备日常使用的 Global Routing 模式，并再次打开同一目标检查。若之前临时使用 Proxy，切回 Config 后仍应确认目标规则与策略。On Demand 控制的是按条件建立连接，不能代替服务器认证，也不能修复错误的分流规则；需要自动连接时，再到 Settings → On Demand 单独核对条件。
- 确认默认项：Home 中保留明确的选中服务器，避免将测试过的条目与当前默认项混淆。
- 确认路由：记录 Global Routing 当前模式；使用 Config 时确认启用的是预期配置。
- 确认实际访问：网页、登录或其他需要的操作分别验证，不用一次测试替代所有业务检查。
- 保留排查记录：记录 Wi-Fi 或蜂窝网络、测试方式、错误原文与改变过的设置，隐藏订阅凭据。
后续若只在某个网络中失败，可用相同服务器和相同测试方式做对照；若只有某个目标失败，则从该目标的规则与解析路径继续检查。更多分层检查方法见问题诊断，界面词与规则关键字可查阅术语表。