本文适用于已在 Shadowrocket（小火箭）中导入自己的服务商配置、但遇到节点超时或网页无法加载的用户。按基础网络、测试方式、协议参数、系统时间和规则路径的顺序排查，每次只改变一个条件，区分服务器不可达、认证失败与请求未走预期策略；订阅链接请从你的服务商处获取。
一、区分节点超时、连接失败与网页超时
“超时”只说明某个操作在等待时间内没有完成，并不直接说明密码错误或服务器离线。Home 中的延迟测试、建立代理协议连接、通过代理打开网页，是三个不同的检查动作。VPN 状态已连接，也只代表系统隧道处于连接状态，不能证明远端服务器已通过认证。
先记录失败发生在哪个环节，再决定检查哪一组参数。以下是结果的判读方式，不是对某个节点的实测结论；延迟数值也不能单独作为服务可用性的证明。
| 观察到的现象 | 可以说明什么 | 下一步 |
|---|---|---|
| TCP 测试有数值，网页仍失败 | 测试端口可能可达，但不证明协议认证或 TLS 成功 | 核对 Type、密码、TLS 与 SNI |
| ICMP 测试超时，实际网页可用 | 服务器或路径可能未响应 ICMP | 改用 TCP 或实际请求交叉验证 |
| 所有节点仅在同一 Wi-Fi 超时 | 问题可能与该网络的出口、认证或传输限制有关 | 完成网络认证，再与蜂窝网络对照 |
| 只有一个网站打不开 | 目标站、DNS 或该站命中的规则需要单独检查 | 查看请求记录中的策略和错误 |
二、从 Home 建立可重复的测试条件
不要一开始就删除全部配置。先记下当前选中的节点、Global Routing 的姿态以及正在使用的网络；修改前保留原配置，以便恢复。测试期间固定同一个节点和目标页面，每个条件重复三次，记录成功次数比只看某一次延迟更有参考价值。
-
检查基础网络
在 Home 关闭连接开关，确认 iPhone 的 Wi-Fi 或蜂窝网络可以正常访问已知可用的网站。公共 Wi-Fi 若有登录认证页面，应先完成认证，再进行代理测试。
-
固定测试节点
回到 Home，选中一个自己已有的节点。通过节点编辑入口核对服务器地址与端口，不要同时更新订阅、切换节点和修改 DNS，否则难以判断是哪项变化产生了影响。
-
核对测试方式
进入 Settings → Connectivity Test，核对当前测试方式。使用 TCP 测试时，确认测试针对的是该节点实际端口；再回 Home 执行测试，记录所用方式与结果。
-
验证实际请求
在 Home → Global Routing 临时选择 Proxy，打开连接开关，再访问固定目标页面。测试完恢复原来的姿态。Proxy 用于减少规则分流的影响，但不会修复错误的节点参数。
-
切换网络复测
保持节点和参数不变，分别在 Wi-Fi 与蜂窝网络重复测试。若差异稳定复现，记录网络类型及发生时间；只在一个网络失败时，优先检查该网络，而不是立即修改所有协议字段。
结论：先确认失败是否跨网络复现
同一节点仅在一个网络超时，就先保留配置并检查网络路径；两个网络都失败，再转向端口、认证与服务商侧状态，避免把局部网络问题误当成全部配置失效。
三、按 Type 核对端口、密码、TLS 与 SNI
在 Home 打开相应节点的编辑页，将字段逐项与服务商提供的配置对照。服务器地址、端口和认证字段必须来自同一份配置。端口 443 不等于“一定使用 TLS”，端口 8443 也不等于错误；是否启用 TLS 以及采用什么传输方式，应以服务商的参数为准。
| 协议或字段 | 重点核对 | 常见误判 |
|---|---|---|
| Shadowsocks | 服务器、端口、加密方法和密码 | 仅端口可达就认定密码正确 |
| VMess / VLESS | UUID、服务端要求的传输参数及 TLS 设置 | 复制 UUID 后遗漏 Host、Path 或其他必要参数 |
| Trojan | 密码、TLS 和服务商指定的 SNI | 把连接地址直接填入所有域名字段 |
| Hysteria2 | UDP 路径、认证信息、TLS 及混淆参数（如有） | 用 TCP 端口测试替代 UDP 协议可用性判断 |
| WireGuard | PrivateKey、PublicKey、Endpoint、Address 与路由范围 | 把握手失败归因于 TLS 或 SNI |
TLS 的 SNI 用于在握手时指明服务器名称，证书验证也需要匹配相应身份。连接地址可能是 IP，而 SNI 是服务商指定的域名，两者不一定相同。WebSocket 的 Host 与 Path 又属于不同字段，不能把它们当成 SNI 的替代值。
- 确认密码或 UUID 没有混入首尾空格、换行或全角符号；优先重新复制原始值，不要凭外观逐字猜测。
- 确认订阅更新后正在编辑和测试的是同一个节点，避免把旧节点与新参数混合使用。
- 需要证书验证时，不要把关闭验证当成常规修复。应核对 SNI、证书有效期和系统时间，服务端证书问题由服务商处理。
- WireGuard 与基于 TLS 的协议排查路径不同；不要给不使用 TLS 的协议强行套用 SNI 设置。
四、用错误原文缩小排查范围
若连接记录或日志中出现下列错误片段，可按对应方向继续检查。不同协议与系统可能显示不同措辞，应保留完整原文和发生时间，不能把表面相似的错误都归为“节点超时”。向服务商提交记录前，遮盖订阅凭据、密码、UUID 和私钥。
报错：Connection timed out
原因与解法：连接在等待时间内未完成，可能涉及路径丢包、端口过滤或服务器无响应；先固定节点跨网络复测，再向自己的服务商核对服务器与端口状态。
报错：Connection refused
原因与解法：连接被主动拒绝，常见于端口未监听或设备主动拒绝；核对端口是否仍有效，不要靠反复增加等待时间处理。
报错：No route to host
原因与解法：当前路径无法到达目标地址，可能与网络路由或地址族有关；先确认本机网络可用，再比较 Wi-Fi 和蜂窝网络的结果。
报错：certificate has expired
原因与解法：证书按当前设备时间被判定为过期；先校准系统日期和时间，时间正确仍复现时，请服务商检查证书有效期。
错误记录也有先后关系。例如域名解析失败会发生在连接服务器之前，此时调整密码通常没有帮助；TLS 握手失败发生在能够建立底层连接之后，应优先核对 TLS、SNI 和证书，而不是把端口随意改为 443。
五、检查 iPhone 系统时间与自动重连
系统时间明显偏差会影响 TLS 证书有效期判断，也可能影响依赖时间校验的协议认证。网页上的日期显示正常，并不能代替系统设置检查；手动改过日期、长时间离线或刚恢复设备后，尤其应核对这一项。
- 打开 iPhone 系统“设置”→“通用”→“日期与时间”，启用“自动设置”，核对当前日期与时间是否正确。若该选项受设备管理限制，应先确认限制来源。
- 回到 Shadowrocket，在 Home 关闭连接开关，再重新连接并测试，让新连接使用校准后的时间。
- 如果手动断开后又自动连接，进入 Settings → On Demand，记录原设置后临时关闭 On Demand，再做基础网络测试。
- 完成排查后恢复需要的 On Demand 设置。On Demand 控制按条件建立连接，不会修复服务器密码、证书或端口。
六、节点测试正常后，检查分流与订阅
节点可以建立连接但网页仍失败时，检查 Home → Global Routing。Proxy 将可代理请求交给选中的代理路径；Direct 使用直连；Config 按当前配置规则分流；Scene 使用对应场景设置。平时使用 Config 的用户，可先临时用 Proxy 做对照，再恢复 Config 检查命中规则。
在 Config 中核对实际使用的配置，而不是只查看刚导入的文件。规则按顺序匹配，DOMAIN-SUFFIX 匹配域名后缀，IP-CIDR 匹配地址网段，GEOIP 按 IP 地理数据库匹配，FINAL 处理未命中前序规则的请求。前面的 DIRECT 或 REJECT 可能让请求根本没有经过当前节点。
- Proxy 可用、Config 失败：查看失败请求实际命中的规则与策略，重点核对前置 DIRECT、REJECT，以及 FINAL 指向的策略；不要直接删除整份规则。
- 只有域名访问失败：检查 DNS 解析是否报错以及目标域名是否命中预期规则。不要只用 HTTPS 的 IP 地址访问代替域名测试，证书身份可能因此不匹配。
- 节点列表仍是旧内容：回到 Home 更新相应订阅，确认更新成功后重新选择节点。订阅更新成功只证明拿到了配置，不代表每个服务器都可用。
- 订阅更新也失败：先区分链接获取失败与节点连接失败。订阅可能有独立的有效期和访问条件，应从你的服务商处获取有效链接，并确认账户状态。
延迟只有几十毫秒，为什么网页还是打不开？
延迟只描述特定测试的结果，不能证明认证、TLS 和目标网站访问全部成功。先在 Home → Global Routing 临时选择 Proxy 做实际请求测试，再核对节点参数；如果只有 Config 失败，转查规则。
所有节点都超时，要全部重新导入吗？
先不要批量删除。关闭连接确认基础网络可用，检查 Settings → On Demand 是否影响断开状态，再以同一节点切换网络复测。只有确认配置已过期或内容有误时，才更新自己的订阅。
Wi-Fi 可用，蜂窝网络超时怎么办？
保持相同节点、Global Routing 和目标页面，重复三次并记录结果。核对系统是否允许应用使用蜂窝数据；若只有 UDP 协议失败，将网络类型和协议信息提交给自己的服务商确认路径限制。
校准时间后仍提示证书过期怎么办？
重新建立连接后保留完整证书错误，并核对服务商指定的 SNI。系统时间正确而错误持续时，请服务商检查证书与证书链，不要用跳过证书验证代替处理。
七、整理可复现记录，再联系服务商
完成上述检查后，向自己的服务商提交一组可复现信息，比只发送“超时”截图更有帮助。记录应能区分网络故障、参数错误与规则问题，同时避免暴露认证信息。
- 发生时间、时区、iPhone 系统时间是否已自动校准，以及使用 Wi-Fi 还是蜂窝网络。
- 节点的协议类型、端口、测试方式和三次测试的成功次数；不发送密码、完整订阅链接或 PrivateKey。
- Global Routing 的姿态，Proxy 与 Config 是否有不同结果，以及是否只影响某个目标网站。
- 错误原文、失败环节和已尝试的单项修改；说明切换网络后能否复现。
客户端购买与服务商提供的连接服务是两件事。Shadowrocket 是闭源商业应用，通过 App Store 一次性买断获取；客户端买断 ≠ 线路套餐。应用以 iPhone、iPad 为主，Mac、Apple TV、Apple Vision 的兼容性和系统要求以 App Store 页面标注为准。重装客户端通常不能解决远端端口、凭据或证书问题，应先完成定位并保留原配置。