Shadowrocket
完整使用手册

获取与安装

先确定设备平台，再选择获取渠道。iPhone / iPad 从 App Store 获取；Mac、Windows、安卓和 Linux 从本站下载页选择安装包，文件通过本站 /dl/shadowrocket/ 路径提供。不要把手机上的购买记录当作电脑端安装步骤，也不要把下载完成等同于配置完成。安装只准备客户端，连接仍需要用户已有的服务器参数或订阅地址。

核对 iPhone / iPad 商店条目

在下载页的商店入口进入产品页，核对名称 Shadowrocket、开发者 Shadow Launch Technology Limited，以及应用 ID 932747118。图标应与本站页头的官方图标一致。核对这些信息比只搜索“小火箭”更准确；名称相近并不说明是同一个应用。iPhone / iPad 的系统要求以 App Store 页面标注为准，安装前检查设备是否满足要求。

iPhone / iPad 版 App Store $2.99 一次性付费，Mac / Windows / 安卓 / Linux 版免费。商店按账号所在店面显示当地货币，付款前以产品页为准。换用另一台 iPhone 或 iPad 时，先确认商店登录的是原购买账号，再到已购项目查找。商店搜索不到时，应先核对账号地区与应用可用性，不要通过反复修改客户端设置处理商店问题。

选择电脑与安卓安装包

Mac 有 Apple 芯片版和 Intel 版，两者都通过下载页获取。打开系统“关于本机”，出现 Apple 芯片名称时选择 Apple 芯片版，出现 Intel 处理器信息时选择 Intel 版。下载后打开磁盘映像，将应用移入 Applications，再从该目录启动。不要长期从磁盘映像内运行，否则以后替换应用、清理下载文件或处理系统权限时容易找错位置。

Windows 选择下载页提供的安装文件，关闭正在运行的旧实例后完成安装。安卓选择对应的 arm64 安装包；如果设备提示不兼容，应检查设备架构与系统条件，而不是反复点击安装。Linux 按发行版选择 deb 或 rpm；AppImage 适合以独立文件方式运行。具体入口集中在全平台下载，本手册不另列可能过期的安装文件名。

理解首次打开的系统拦截

桌面与安卓安装包没有代码签名，首次打开可能出现系统拦截。处理提示前，先确认文件由本站下载页取得、文件类型与设备相符，并阅读系统显示的应用名称。组织管理的电脑可能禁止自行放行，此时应由设备管理员处理。不能为了启动单个应用而关闭整台设备的安全防护，也不要对来源不明的文件执行下面的操作。

Mac 若提示应用“已损坏”，先删除本次下载并从本站重新获取，排除下载中断和包选错。确认应用已放入 Applications、来源正确且仍受隔离属性影响时，才在终端执行下列命令。它会递归清除该应用目录的扩展属性，并不修复真正损坏的文件；不要扩大命令作用范围。操作后重新启动应用，仍失败则保留完整提示继续排查。

xattr -cr /Applications/Shadowrocket.app

Linux 使用 AppImage 时，可通过文件管理器的权限设置授予执行权限，避免手输错文件名。若授权后仍不能启动，应查看发行版需要的运行环境及终端错误，不要把运行环境缺失误判成订阅错误。有关芯片选择和系统提示的更细说明，可继续阅读Mac 与 Windows 安装说明和Linux 安装格式说明。

首次启动与权限

首次启动先确认界面，再处理连接权限。iPhone / iPad 的主要操作围绕 Home、Config、Data 和 Settings 展开：Home 管理服务器并发起连接，Config 管理规则配置，Data 用于查看流量相关记录，Settings 调整客户端行为。不同界面语言与系统布局可能改变文字所在位置，但不要仅凭按钮颜色操作，应结合设置项名称和当前页面判断。

区分客户端配置与系统 VPN 配置

客户端中的服务器、订阅和规则文件属于应用配置；系统弹出的“添加 VPN 配置”属于设备网络权限。两者不是同一份内容。导入服务器不代表系统已经授权，系统已授权也不代表有可用服务器。首次连接时，Shadowrocket 请求建立系统 VPN 配置，允许后才能把需要处理的设备流量交给客户端。出现该提示本身不说明服务器已经连通。

授权时应确认刚才是从 Shadowrocket 主动发起连接，再按系统要求使用设备密码或生物识别完成确认。这里需要的是设备解锁验证，不是订阅密码，也不是服务器认证字段。若当时取消，返回 Home，在确认服务器条目完整后重新打开连接开关即可再次尝试。连续取消授权又反复切换规则，不会解决权限尚未授予的问题。

允许后，可在系统设置中的 VPN 相关页面查看该配置；具体层级随系统版本变化，可用系统设置搜索查找 VPN。删除系统 VPN 配置通常不等同于删除应用内服务器，但下次连接需要重新授权。不要在不知道用途的情况下删除其他组织或工作应用的网络配置；设备受管理时，配置的增删可能由管理策略控制，普通用户无法自行恢复。

按触发场景授予权限

扫描二维码时，系统可能请求相机权限。只有打算使用 Scan QR Code 时才需要允许；拒绝后仍可通过已有文本链接或手动填写方式导入。重新启用相机权限应到系统设置中找到 Shadowrocket 的权限页，而不是重装应用。扫码前还应检查二维码的来源，识别成功只说明格式可读，并不说明里面的参数适合当前账号或仍然有效。

从剪贴板导入内容时，系统可能询问是否允许粘贴。先确认刚复制的是自己的分享链接或订阅地址，再批准对应操作。剪贴板可能保留上一条复制内容，因此导入后的类型、备注和主机名仍需核对。需要在本地网络访问设备时，还应留意系统的本地网络权限；该权限与建立 VPN 所需的系统授权不同，不应混为同一开关。

首次使用不必为了消除提示而把所有权限全部打开。更合理的顺序是：执行一项明确操作，阅读对应提示，授予完成该操作所需的权限，再验证结果。若功能没有使用需求，可以保留原状。系统通知、相机和网络配置分别承担不同职责；某项权限被拒绝时，应检查受到影响的具体功能，不要笼统地判断整个客户端无法工作。

排除旧连接和管理策略影响

设备上已有其他 VPN 连接或网络扩展时，先停止与本次测试冲突的连接，再启动 Shadowrocket。多个应用争用系统网络通道，可能表现为开关刚打开又关闭、状态来回变化或请求仍走旧连接。排查时一次只保留当前需要的连接，并记录关闭前的状态，测试结束后按原需求恢复。不要用频繁删除全部网络配置代替定位具体冲突。

公共无线网络可能先要求浏览器完成认证。若设备尚未通过认证页面，客户端连接测试和订阅更新都可能失败。先暂时停止连接，确认普通网络能打开认证页面并完成登录，再返回客户端。蜂窝网络与无线网络都应具备基础连通性；没有基础网络时，服务器参数正确也无法建立远端连接，系统 VPN 图标不会替代实际的网络接入。

处理完权限后，暂时保持 On Demand 关闭，先进行一次手动连接。这样可以清楚区分主动点击造成的状态变化和自动触发行为。若系统配置误删、授权提示重复或设置中找不到对应条目，可查阅添加 VPN 配置提示说明。保留错误提示的完整文字，比只描述“连不上”更有助于确定下一步。

添加服务器与订阅

先识别手中内容的类型。单条分享链接描述一个服务器，订阅地址通常返回一组服务器及相关信息，Config 文件则描述路由规则与配置行为。三者用途不同。把规则文件当作服务器订阅，或把一条服务器链接填到不相符的入口，可能出现导入失败、列表为空或配置名称出现却无法连接。导入前先向自己的服务商确认内容类型与适用字段。

使用 Add Server 手动填写

在 Home 进入 Add Server，先选择与已有资料一致的协议类型，再填写地址、端口和认证信息。地址栏通常填写主机名或 IP 地址，不应顺手附加网页路径；端口应是服务端提供的连接端口。备注只用于本地辨认，修改备注不会改变连接目标。填写过程中保留原始资料，便于逐项核对，不要把网页登录密码直接当作服务器密码。

协议类型决定字段含义。Shadowsocks 需要匹配加密方法与密码；VMess、VLESS 常涉及用户标识及传输参数；Trojan 常涉及密码与 TLS；WireGuard 使用密钥、地址和对端信息。参数数量不同是正常情况，不能把一个协议的字段机械搬到另一个协议。若资料没有提供某项高级参数，应先确认是否需要，避免凭经验补写导致握手失败。

导入分享链接或二维码

已有完整分享链接时，优先使用客户端支持的导入方式，减少手工抄写错误。二维码也只是参数的另一种承载形式，扫描后仍应打开条目检查类型、地址与认证字段。若二维码来自截图，注意内容是否被裁切或缩放到难以识别；识别失败应索取原始文本资料，不要把看不清的字符靠猜测补齐。保存后确认条目确实出现在 Home。

链接前缀可帮助识别协议，但不能据此前缀判断所有参数都已齐全。分享链接中的编码、特殊字符和查询参数必须保持完整，聊天软件自动折行不一定代表链接本身包含换行。复制时避免带入句末标点。关于单条链接和订阅地址的区别，可继续阅读分享链接格式说明，再返回本章完成字段核对。

添加与更新已有订阅

从自己的服务商取得完整订阅地址，在 Add Server 中选择 Subscribe，填写地址并保存，再执行更新。地址中的路径与查询参数通常参与身份识别，不能为了缩短链接删去尾部内容。订阅成功后检查分组和服务器条目，而不仅是看是否出现一个订阅名称；名称已保存但内容未拉取时，仍不能算导入完成。首次更新失败不要急于删除原有可用条目。

订阅更新是一次网络请求。地址失效、账号状态变化、基础网络故障或返回内容不符合预期，都可能导致更新失败。若旧条目仍存在，应先保留并记录错误，再区分是地址无法访问、返回登录页面，还是内容格式无法解析。更新也不等于测试连接；成功拿到服务器列表，只说明资料已经获取，条目是否能用仍需在后续章节验证。

手工修改订阅生成的服务器条目时，要考虑下次更新可能覆盖修改。需要长期保留的本地调整，应先记录其目的和原值，再确认是否适合建立独立条目。不要同时导入多份相同订阅并逐项改名，否则更新后难以分辨哪个分组有效。维护时保留一个来源清楚的主分组，旧分组在新分组验证成功后再清理，避免一边排错一边丢失参照。

导入结束后选中一个准备测试的服务器，记下它所属分组与备注，再继续设置 Global Routing。此时只需确认资料完整，不必一次导入所有历史配置。若列表为空，先回到导入类型与订阅更新状态检查；若条目存在但连接失败，再核对协议参数。把“没有拿到资料”和“已有资料但无法连接”分开，能避免在错误的位置反复操作。

Global Routing 三姿态

Global Routing 决定客户端如何处理流量，不是服务器列表的另一种排序。界面中的 Config（配置）、Proxy（代理）和 Direct（直连）分别代表不同的路由姿态。选择前先明确测试目标：是验证服务器连接，还是检查规则分流。服务器相同而姿态不同，访问结果可能不同；因此排错记录里必须同时写明选中的服务器和当时的 Global Routing。

用 Config 执行规则分流

使用 Config 前，到 Config 页面确认当前实际选用的配置文件。导入了多个文件不代表同时生效，编辑某个未选中的文件也不会改变当前连接。先记录文件名称，再查看规则顺序与策略名称。远程配置可能引用其他资源；如果资源获取失败，文件存在也不等于全部规则已经就绪。遇到异常时应检查具体内容，而不是只看文件标题是否熟悉。

规则通常按顺序匹配，先命中的规则决定处理方式。精确目标应放在更宽泛的规则前面，最终兜底应放到最后。若把范围很大的规则提前，后面的精细规则就可能没有机会命中。下面仅展示规则区段的基本结构，不是完整配置，也不含服务器资料；使用前应在副本中确认当前配置的策略命名，不能直接覆盖已有文件。

[Rule]
DOMAIN,example.com,PROXY
DOMAIN-SUFFIX,example.org,DIRECT
IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
GEOIP,CN,DIRECT
FINAL,PROXY

这段示例表示：先处理指定域名，再处理指定域名后缀、本地地址范围和地区匹配，最后把其余目标交给 PROXY。示例域名用于教学，不代表应当对实际业务采用同样策略。PROXY、DIRECT 等关键字需要保持原样；配置若使用自定义策略组，规则末尾应引用确实存在的组名，否则可能产生无法执行的策略指向。

按匹配对象理解规则

DOMAIN 匹配完整域名，DOMAIN-SUFFIX 匹配指定域及其子域，DOMAIN-KEYWORD 按域名中的关键字匹配。关键字范围往往比预期更广，适合之前应考虑误命中。IP-CIDR 与 IP-CIDR6 匹配地址范围，GEOIP 依赖地址归属数据，FINAL 负责前面都未命中的目标。域名规则处理的是主机名，不应把完整网页路径填进 DOMAIN 后面。

域名解析会影响地址类规则判断。一个域名可能解析到多个地址，缓存和网络变化也可能带来不同结果，因此“昨天命中、今天不命中”不一定是规则文本被修改。检查时应结合当前请求的域名、解析结果和实际命中记录。像 USER-AGENT 这样的匹配依赖能取得相应请求信息，不能假定它对所有加密连接都能识别出完整应用行为。

用 Proxy 与 Direct 缩小范围

怀疑 Config 中的规则把请求导向错误路径时，可暂时切到 Proxy，对同一个目标重新测试。如果 Proxy 成功而 Config 失败，优先检查当前配置、命中规则及策略指向；这不是立即重填全部服务器参数的理由。若两种姿态都失败，则继续检查服务器、认证与基础网络。测试结束后恢复原姿态，避免把临时排错状态当作长期设置。

Direct 可用于判断普通直连路径是否工作，但不能保证所有网络都能直接访问所有目标。直连失败也不能单独证明客户端有问题，需要结合基础网络和目标服务的实际可达性。比较时尽量保持设备、目标和时间接近，避免一边切网络一边改姿态。一次只改变一个变量，才能知道结果到底由哪项设置造成。

完成规则调整后，用一个应直连的目标和一个应代理的目标分别验证，并检查实际命中记录。网页能够打开只能说明至少有一条路径可用，不能证明全部分流都符合预期。修改前保存配置副本，修改后只验证本次涉及的目标，确认没有误伤再继续扩大范围。规则关键字的简短定义可在术语表中查阅。

连接与验证

连接验证要分层完成：先确认设备有基础网络，再确认客户端状态，最后确认实际请求采用了预期路径。Home 开关打开、系统出现 VPN 标志、服务器延迟测试有结果，分别说明不同层面的状态，任何一项都不能单独代表全部应用已经可用。测试时选一个自己熟悉且能重复访问的目标，避免同时改变服务器、规则和网络，导致结果无法解释。

先建立一次可重复的手动连接

停止自动触发行为，记下当前网络、所选服务器、Global Routing 和配置文件。打开 Home 的连接开关，等待状态稳定。如果马上断开，先看是否出现权限请求、系统错误或其他网络连接冲突；不要在这一阶段连续切换十几个服务器。客户端尚未进入稳定运行状态时，逐个测服务器的结果通常缺乏可比性，应先解决本地权限或启动问题。

若状态稳定，打开浏览器访问测试目标，再检查需要使用的实际应用。不同应用可能复用旧连接、使用自己的解析方式或保留缓存，因此浏览器成功并不等于所有应用状态相同。对之前已打开的应用，可先结束当前请求再重新打开；对于持续连接的服务，应重新建立连接后观察，避免把切换前的残留连接当作新设置的结果。

正确理解 Connectivity Test

Connectivity Test 用于比较当前测试条件下的连通表现。测试方法、测试地址、网络类型和服务器负载都会影响结果，显示的时间不是长期性能承诺，也不等同于下载速度。比较服务器时，应尽量使用同一种测试方法并在相近时间进行。测试失败可能来自测试目标不可达或服务器不支持对应方式，仍需结合实际访问验证，不能只按一项结果删除条目。

延迟较低但网页打不开时，检查实际请求是否需要不同传输能力、是否存在认证问题，以及路由是否指向了预期服务器。延迟较高但业务能够稳定工作时，也不必仅为数字排序立即更换所有设置。更有用的观察是请求能否完成、是否频繁断开、问题是否只发生在某一网络。记录测试条件比反复点击刷新更能反映变化原因。

按失败位置选择排查分支

若所有服务器都连接失败，先确认基础网络、系统时间和订阅资料是否有效；网络认证未完成、设备时间明显错误或系统权限被撤销，都可能影响连接。若只有一个服务器失败，优先核对该条目的地址、端口、认证和传输参数，并向已有服务的提供方确认状态。不要因为单个条目失败就清空整个订阅分组，其他条目仍是重要对照。

若能连接但域名访问失败，检查解析结果与 DNS 相关设置；若只有个别目标失败，检查规则命中、目标服务状态以及是否使用了特殊连接方式。出现证书错误时，先检查系统时间、TLS 服务器名称和网络是否跳转到认证页面，不应通过关闭证书验证作为常规解决方式。认证错误和证书错误属于不同阶段，应保留原始提示分别处理。

若无线网络可用而蜂窝网络失败，或者反过来，应在保持其他设置不变的情况下重复同一测试。网络可能对 UDP、长连接或特定端口采取不同处理方式，这类差异不能靠改备注解决。先确定问题随网络变化还是随服务器变化，再检查相关协议参数。需要让服务商协助时，提供测试网络类型与错误阶段即可，不必发送完整订阅凭据。

识别“已连接但无法上网”

这个现象应拆成四个问题：本地客户端是否正在运行、远端服务器是否可达、Global Routing 是否正确、DNS 与规则是否符合目标请求。按此顺序检查，能避免在服务器无法认证时反复调整规则，或在规则误判时不断重新安装。详细分支见开关已打开却无法上网的排查说明，常见短问答可查常见问题。

验证完成后，把临时设置恢复为实际使用所需状态，包括 Global Routing、选中的配置文件以及此前暂停的自动连接条件。再做一次完整的断开与重连，确认不是旧连接缓存造成的偶然成功。对于只在长时间使用后出现的问题，记录出现前是否切换网络、锁屏或更新订阅，这些时间线往往比单次测试结果更有价值。

不要把访问某个目标成功解释为匿名性或隐私范围已经得到全面验证。客户端负责按配置处理连接，实际路径还受系统、网络和目标应用影响。本手册的验证目标是确认配置与实际请求一致，而不是根据一个图标作扩大结论。保持测试范围清楚，才方便在后续维护时复现同一问题。

Data 流量与请求记录

Data 的主要用途是观察客户端能够记录到的流量与连接活动，并把这些现象与当前配置联系起来。先阅读页面上的统计范围和单位，再解释数值。设备系统、客户端和服务商可能使用不同的统计口径，不能因为数字不完全相同就判断某一方出错。尤其在排查问题时，应关注测试前后的变化、请求是否出现以及处理路径，而不是只看累计总量。

区分流量、速度与延迟

累计流量描述一段统计范围内的数据量，实时速度描述单位时间的数据变化，延迟描述一次测试往返所花的时间。三者回答的问题不同。流量增加说明有数据经过统计范围，并不能说明某个网页已经加载完毕；瞬时速度低可能只是应用暂时没有请求；延迟测试成功也不保证大文件传输稳定。不要把其中一项替代另外两项作为结论。

上传与下载都可能影响实际使用。打开网页也会发送请求、认证和确认信息，视频播放前也可能有上传活动，因此上传并不自动意味着异常。后台应用、系统同步和重试请求也会持续产生数据。查看统计时先明确当时有哪些应用在运行，必要时暂停其他任务，只进行一次目标操作，使变化更容易归因；不要用一整天的总量解释刚才几秒钟的请求。

用小范围测试定位规则

当怀疑目标没有走预期路径时，先记下当前统计状态，再单独访问该目标，并检查可用的连接或请求记录。重点看目标域名、地址、采用策略和错误阶段，不要只看是否出现熟悉的应用名称。一个页面可能同时请求多个域名，主页面成功而图片失败时，应分别检查对应连接。只有找到实际失败的请求，才适合决定是否修改规则。

若记录显示 DIRECT，而预期应交给代理，返回 Config 检查当前文件与规则顺序；若显示代理策略，但实际指向了未准备好的策略组，则检查组内选择。规则已命中不等于远端连接成功，后续仍可能发生解析、握手或认证错误。将“为什么选这条路径”和“这条路径为何失败”分开处理，比一边换服务器一边插入新规则更清楚。

没有看到目标记录时，也不能立即断言该应用完全绕过客户端。可能是旧连接仍在复用、当前记录筛选条件不符、页面缓存没有产生新请求，或记录功能没有覆盖那类信息。先刷新请求或重新启动目标应用，再检查筛选范围。日志里找不到某个内容，只能说明当前观察条件下没有取得该记录，应避免据此扩大判断。

理解客户端与服务商的统计差异

服务商计费口径可能包含协议开销、双向流量、特定倍率或结算周期，客户端统计则反映自己的观察范围。两者起止时间不同、计量单位不同，也会造成差异。需要核对用量时，应先确认各自的周期、重置时间和单位，再比较相同时间段；客户端的数据不能替代服务商账号内的剩余额度，订阅名称中的文字也不应作为实时余额的唯一依据。

直连与代理的流量还可能出现在不同统计范围中。切换 Global Routing 后，总量变化不一定能够直接反映规则是否符合预期，必须结合具体请求记录。应用更新、图片预加载和连接重试都可能让短时间内的数据突然增加。若怀疑异常消耗，先暂停其他任务并记录测试窗口，再逐个应用恢复，不要直接删除配置后失去原始现场。

控制记录范围与信息暴露

记录可能包含访问域名、时间、地址及连接错误，应把它视为具有隐私含义的诊断资料。只在排查所需范围内保留详细信息，结束后恢复日常记录级别。分享截图前检查是否露出完整订阅地址、认证字段、私有服务器地址或个人访问记录；遮住标题不代表正文已经脱敏，二维码和展开的详细条目也要一并检查。

清空统计前先确认是否需要保留对照。重置可以建立新的测试起点，但不会修复服务器、释放远端账号额度或改变规则匹配。操作后记录重置时间，再执行固定步骤，结果才具有解释价值。如果界面没有提供所需细节，就回到更基础的连接验证方法，不应编造不存在的数值或依赖猜测填补记录空白。

完成观察后，把结论写成具体句子，例如“同一网络下，该目标在 Config 中命中 DIRECT，切换 Proxy 后请求成功”。这比“流量不对”更方便复现，也能直接指向下一步检查。Data 应作为证据来源之一，与 Home 状态、当前 Config 和实际访问结果共同使用，而不是孤立地承担全部故障诊断。

Settings 常用项

Settings 调整客户端如何运行，不应被当作所有连接错误的修复按钮。先保留能够工作的基线，再按需要修改单项。界面中出现的选项会随系统和功能条件有所差异，查阅时以当前实际显示为准。某个教程提到的开关没有出现时，不要在不相关页面寻找同名替代项；先判断该功能是否由当前配置文件、系统权限或其他条件控制。

On Demand 按需连接

On Demand 根据设定条件触发系统连接行为。它与 Home 中手动打开开关不同，也不负责替用户选择一定可用的服务器。启用之前应先完成一次稳定的手动连接，确认当前服务器、Global Routing 和 Config 都符合预期。否则自动触发只会把原有错误反复重现，表现为不断连接、断开或在切换网络后再次失败。

设置触发条件时，先写清希望在哪些网络场景连接、哪些场景暂停，再逐项配置。涉及无线网络名称的条件要核对名称是否完全一致，避免把相似名称视为同一个网络。启用后测试进入和离开条件时的表现，并检查手动断开后是否又被条件触发。需要临时停止自动连接时，应同时检查 On Demand，而不是只反复关闭 Home 开关。

DNS 与解析相关设置

DNS 把域名解析为地址，解析失败可能表现为服务器可连而网站打不开。修改前先判断失败是否只涉及域名：同一目标的地址与域名测试属于不同条件，不能随便拿一个不相关地址作比较。解析也可能被 Config 中的设置影响，因此检查时要区分 Settings 的全局选项与当前配置文件的内容，避免在两个位置同时改动后无法追踪原因。

不要因为听说某个解析地址更快就替换全部 DNS 设置。解析器的可达性、查询路径与缓存都会影响结果，是否适合当前网络必须通过实际请求验证。遇到解析异常时，先记录原值，检查当前网络是否正常、配置是否引用了不可达的解析方式，再做最小修改。修改后重新建立相关连接，必要时刷新可用缓存，但不把清缓存当作每次连接前的固定步骤。

TLS、传输与证书边界

TLS 相关选项影响客户端如何验证和建立加密连接。服务器地址、服务器名称、证书和系统时间之间需要相互一致；使用 IP 连接时，也可能仍需填写资料中指定的服务器名称。发生握手失败应逐项核对，而不是直接忽略证书错误。关闭验证会改变安全边界，不能作为日常维护中的默认方案，也不能证明服务端配置已经正确。

高级传输参数应来自用户已有的服务器资料。Host、路径、UDP 相关能力和协议选项并不是越多开启越好；客户端与服务端不一致时，额外启用也可能导致失败。若业务需要某种传输能力，先确认服务器明确支持，再核对具体字段。浏览器请求成功只验证了部分场景，不能推导实时音视频或其他应用所需能力已经满足。

备份、导入与记录级别

备份前明确包含哪些内容：服务器条目、订阅地址、配置文件和应用设置未必由同一种导出方式全部覆盖。先检查导出内容，再存放到自己控制的位置。订阅地址和密钥属于敏感信息，不能把备份文件当作普通规则示例公开分享。恢复备份时也应考虑设备差异，尤其是网络名称、文件路径和系统权限，不能假定另一台设备可以直接沿用。

导入配置或备份可能合并、替换或新增内容，执行前阅读界面提示并保留现有副本。不要在尚未确认覆盖范围时连续导入多份历史文件。恢复后先检查当前选中的 Config、服务器分组和 Global Routing，再手动测试；看见熟悉的备注只说明某些条目已恢复，不代表系统 VPN 权限、自动连接条件和所有远程资源都已经同步完成。

记录级别较详细时，可能产生更多诊断资料并增加整理成本，因此只保留定位问题所需的范围。测试结束后清理不再需要的敏感记录，但应先保存已经脱敏的错误摘要。与其长期保留大量无法解释的日志，不如记录发生条件和一次可复现过程；这能让后续系统更新或配置变化后的比较更准确。

Settings 调整完成后，应重新检查 On Demand 是否处于预期状态，避免测试时临时启用的条件持续影响日常连接。若某项设置无法理解，保持原值并查阅对应说明，比同时尝试多套参数更可靠。需要快速恢复使用时，可回到使用说明的最短主线，只验证基础连接，再逐项恢复高级行为。

日常维护与问题回溯

日常维护的目标是保留可工作的状态，并让变化可以追踪，而不是定期重装客户端。把应用更新、订阅更新和规则更新分开记录：应用更新替换客户端程序，订阅更新刷新服务器资料，规则更新改变路由判断。三者可能独立发生，某次更新后出现问题时，应先确认究竟改变了哪一层，避免把所有变化笼统归为“更新坏了”。

安排更新顺序

iPhone / iPad 的应用更新通过 App Store 完成；Mac、Windows、安卓和 Linux 从本站下载页获取对应安装包。电脑更新前退出正在运行的实例，保留重要配置，安装后重新检查系统权限与连接状态。安卓安装时若系统要求允许当前来源安装，应确认此次文件来自本站，结束后可收回该来源权限；不要因更新而扩大其他应用的安装权限。

Mac 更新后仍需核对芯片版本，遇到系统拦截按照第一章处理。Windows 出现 SmartScreen 时，先核对文件来源，再通过“更多信息”查看是否允许“仍要运行”。Linux 使用同一包格式和包管理方式维护更容易追踪；若从一种格式换到另一种，应先确认旧实例是否仍在运行，避免桌面入口启动的是旧文件而不是刚下载的程序。

订阅更新宜在基础网络稳定时执行。更新前记下当前使用的服务器备注，更新后检查该条目是否仍存在、参数是否变化以及当前选择是否转移。订阅内容由已有服务的提供方维护，名称变化不一定代表客户端异常。旧条目消失时，先看更新是否完整及账号资料是否变化，不要立即手工补回无法确认有效性的历史参数。

为规则变更保留回退点

修改规则前复制当前可用配置，以能辨认用途的名称保存，并在本地记录修改原因。一次只处理一个目标或一类明确问题，测试完成后再继续。导入远程配置时，先阅读其中的 DNS、策略组和远程资源引用，不能只看规则数量。配置更多不等于更适合当前需求；不理解的设置可能改变本地网络访问或其他应用的路径。

出现回归问题时，先切回已验证的配置，保持服务器和网络不变，再访问同一目标。如果恢复正常，说明应重点比较新旧规则及解析设置；如果仍失败，则继续检查服务器状态和网络条件。回退是定位变量的手段，不是结论。不要在切回配置的同时更新订阅、切网络和更换服务器，否则无法确定是哪项变化恢复了连接。

换机与重装前的准备

换机前备份自己需要的服务器信息、订阅地址和 Config 文件，并确认备份能实际读取。系统迁移不一定自动恢复 VPN 权限，首次连接仍可能要求重新授权。iPhone / iPad 使用原购买账号在已购项目恢复应用；iPhone / iPad 版 App Store $2.99 一次性付费，Mac / Windows / 安卓 / Linux 版免费，后者重新从本站获取对应安装包即可。

不要只保留包含服务器名称的截图，因为截图通常不足以恢复认证与传输参数。备份也不能替代向自己的服务商保管账号信息。若旧设备丢失，或怀疑订阅地址已经泄露，应通过已有服务的管理入口处理凭据，再更新新设备上的资料；单纯删除本地条目并不会自动撤销远端凭据，也不会使已经泄露的地址失效。

建立最小排查记录

一个有效的问题记录应包含：发生在什么网络、执行了什么操作、原本预期什么结果、实际出现什么提示，以及最近一次明确变更。错误原文比自行概括更重要，尤其是解析、连接、认证和证书问题。若需要截图，先脱敏再保存；不要为了方便让完整订阅地址、分享二维码和密钥进入公共讨论，也不要附上与故障无关的个人访问历史。

1. 回到基础网络，确认设备本身能够正常联网。
2. 检查 Home 当前服务器、Global Routing 和选中的 Config。
3. 对同一目标执行一次可重复请求，结合 Data 查看结果。
4. 只改变一个条件，记录变化后再决定保留还是回退。
5. 问题解决后恢复自动连接与记录级别，保存脱敏结论。

需要进一步查阅时，短问题进入常见问题，规则名与协议字段进入术语表，首次操作返回使用说明。若已经确定是服务器资料或账号状态问题，应联系自己已有服务的提供方核对，而不是继续更改客户端中不相关的设置。手册说明配置方法，不提供线路或订阅。

维护完成的标志不是所有开关都被调整过，而是当前配置用途清楚、连接能够复现、敏感资料妥善保存、临时测试状态已经恢复。以后遇到同类问题，沿这八个阶段从对应位置继续查阅即可，不必从安装重新开始。把每次变更缩小到可以解释的范围，能够减少重复操作，也便于在设备或网络变化后恢复原有使用方式。