如果你已经在 iPhone 或 iPad 上安装了 Shadowrocket，但不知道下一步该点哪里，这篇文章可以直接按顺序操作。
第一次使用只需要完成几件事：准备可用的代理信息或配置、允许 iOS 添加 VPN 配置、把代理添加到 Shadowrocket、选中并测试、打开连接，最后检查出口 IP 是否真的发生变化。
Shadowrocket 本身只是代理客户端，并不会自动提供代理 IP 或节点。真正决定最终出口的是你导入或手动填写的代理资源。
第 1 章：Shadowrocket 是什么？使用前准备什么
一句话理解：Shadowrocket 是 iOS 上的代理客户端，负责接管设备流量，并按照当前配置把请求转发到指定代理服务器。
它本身不提供代理出口，所以只安装应用还不能直接使用。开始前至少需要准备下面几项：
- Shadowrocket：已经安装在 iPhone 或 iPad 上；
- 可用代理信息：例如服务器地址、端口、用户名和密码，或者订阅地址、二维码等；
- 正常的本地网络：Wi-Fi 或蜂窝网络本身可以正常访问互联网；
- 系统 VPN 权限：首次开启时允许 Shadowrocket 添加 VPN 配置。
如果你使用的是 IPWeb 代理，可以从后台获取服务器地址、端口、用户名和密码，再手动添加到 Shadowrocket。需要长期保持固定出口时可以查看 静态住宅IP；需要轮换出口时可以查看 动态住宅IP。
关于 Shadowrocket 的工作原理、规则和配置关系，可以继续看 Shadowrocket 使用全指南。这篇主要解决“第一次到底怎么用”。
第 2 章：Shadowrocket 怎么用？iPhone 第一次使用完整步骤
2.1 第一次开启时允许添加 VPN 配置
Shadowrocket 第一次启用时，iOS 会请求添加 VPN 配置。按照系统提示确认即可，这是应用接管和转发设备流量所需要的系统权限。
如果之前点了“不允许”，后面即使已经添加代理，也可能无法正常建立连接。这种情况可以先检查 iOS 的 VPN 与设备管理相关设置。
2.2 准备代理信息
如果采用手动添加方式，需要提前准备服务器地址、端口，以及代理服务要求的用户名和密码。不同代理协议需要选择对应类型，例如 HTTP、HTTPS 或 SOCKS5。
使用 IPWeb 时，可以在后台找到已经购买或生成的代理信息。配置前先确认代理国家或地区、协议和端口，避免填写完成后才发现资源类型不匹配。
2.3 点击右上角“+”添加代理
打开 Shadowrocket 首页，点击右上角“+”进入添加页面。根据手里的代理协议选择对应类型，再填写地址、端口、用户名和密码。
手动复制参数时，注意用户名和密码大小写，以及前后是否带有多余空格。第一次配置时不要同时修改太多其他选项，这样后续排查会更简单。
2.4 保存后回到首页，选中刚添加的代理
代理已经出现在列表里，不代表它正在生效。保存后回到首页，确认当前真正选中的是刚添加的代理。
如果列表里有多个代理或节点，最好先只测试一个，避免同时切换多个配置后无法判断问题出在哪。
2.5 做一次连通性测试
在首页对当前代理进行连通性或延迟测试。如果能够正常返回延迟，说明 Shadowrocket 至少能够尝试连接到该代理服务器。
需要注意，延迟测试成功并不等于所有网站都一定可以正常打开。它更适合用来判断代理入口是否可达。
2.6 打开 Shadowrocket 连接开关
确认当前代理可达后，再打开 Shadowrocket 首页的连接开关。如果是第一次使用，iOS 可能再次要求确认 VPN 权限。
连接建立后，系统状态和 Shadowrocket 首页都会出现对应的连接状态。此时还不要只看“已连接”三个字，下一步要检查实际出口。
2.7 最后检查出口 IP 是否真的变化
打开浏览器访问 IP 查询工具，检查当前公网 IP、国家或地区、ISP 和 ASN 等信息。
如果查询到的出口和刚才配置的代理一致，才说明这次连接真正生效。如果 Shadowrocket 显示已连接，但公网 IP 完全没有变化，就应该继续检查当前选中的代理、路由模式或系统连接状态。
第 3 章：手动添加、订阅和二维码有什么区别
Shadowrocket 可以通过多种方式添加代理。对新手来说，不需要一次把所有方式都学完，先理解它们分别解决什么问题即可。
3.1 手动添加
适合已经拿到服务器地址、端口、用户名和密码的情况。优点是信息清楚，出了问题也容易逐项检查。
3.2 订阅地址
订阅适合需要一次管理多个节点或由服务方持续更新配置的情况。导入后通常可以在列表中看到多个节点，但仍然需要确认当前真正选中了哪一个。
3.3 二维码
二维码主要是把一段配置编码成可以扫描导入的形式。扫描方便，但不代表二维码本身一定安全，来源仍然需要确认。
关于二维码的安全性和具体使用方法，可以继续看 Shadowrocket 节点二维码是什么？安全吗？怎么用？
如果需要进一步理解订阅、配置文件、规则顺序和“改了为什么没生效”，可以看 Shadowrocket 配置详解。
第 4 章：Shadowrocket 连不上或不能用怎么排查
出现问题时不要一次修改所有设置。先根据现象判断问题更可能出在哪一层。
| 出现的问题 | 优先检查 |
|---|---|
| Shadowrocket 显示已连接，但网页打不开 | 当前代理是否真正选中、代理是否可达、路由模式、目标网站是否可访问 |
| 代理一直连不上 | 服务器地址、端口、代理类型、用户名和密码、本地网络 |
| 延迟测试一直超时 | 代理服务器是否在线、端口是否正确、当前网络是否能连接该代理 |
| 已经开启，但出口 IP 没变化 | 当前选中的代理、Shadowrocket 开关、路由模式和系统 VPN 状态 |
| 提示权限相关错误 | iOS 是否已经允许添加 VPN 配置，系统 VPN 设置是否正常 |
| 之前能用，后来突然不能用 | 代理是否过期、认证信息是否变化、当前网络和代理服务器状态 |
排查时最好一次只改一个变量。例如先确认代理信息，再确认本地网络，再检查 Shadowrocket 的选择和路由，不要同时更换代理、规则和 DNS。
第 5 章：Wi-Fi、蜂窝网络和部分 App 异常怎么判断
5.1 Wi-Fi 能用，但蜂窝网络不能用
这通常说明两种网络环境下的连接条件不一致。可以先关闭 Shadowrocket，分别确认 Wi-Fi 和蜂窝网络本身能否正常联网，再重新开启测试。
不同网络下的 DNS、路由和运营商策略可能不同，因此“Wi-Fi 能用、蜂窝网络不能用”不一定是 Shadowrocket 本身出了问题。
5.2 某些 App 能用，某些网页不能用
不同 App 和网页使用的域名、连接方式和缓存机制不同。如果只是部分应用异常，优先检查当前路由规则和目标服务本身，不要直接把所有配置全部重置。
5.3 切换 Wi-Fi 或蜂窝网络后状态不稳定
网络切换时，iOS 底层连接会重新建立。遇到这种情况可以等待几秒后重新测试；如果出口没有按预期恢复，再手动断开并重新开启一次连接。
5.4 速度很慢
速度不仅取决于 Shadowrocket，还会受到代理服务器负载、你与代理之间的网络距离、代理与目标网站之间的路径以及目标网站自身响应速度影响。
如果多个网站都持续很慢，可以分别测试本地网络和代理延迟，确认问题发生在哪一段。
第 6 章：使用时最容易踩的坑
6.1 把“列表里有代理”当成“当前已经生效”
代理存在于列表中，只说明配置已经保存。真正使用前还需要选中、开启连接并检查最终出口。
6.2 出问题时同时修改太多设置
频繁更换代理、规则、DNS 和路由模式会让排查变得更困难。一次只修改一个变量，更容易定位真正原因。
6.3 导入来源不明的订阅、规则或配置
Shadowrocket 会接管设备网络流量，因此不要随意导入无法确认来源和内容的配置。尤其是订阅、脚本和规则文件，应该先确认来源是否可信。
6.4 只看“已连接”，不检查出口
系统显示连接成功，并不等于最终流量一定走到了你想要的代理。实际公网 IP 才是判断代理是否真正生效的重要依据。
常见问题
Q1：Shadowrocket 安装好以后为什么不能直接用？
因为 Shadowrocket 只是代理客户端，本身不提供代理 IP 或节点。你还需要手动添加代理信息、导入订阅、扫描可信的二维码或导入配置文件。
Q2：Shadowrocket 显示已连接，是不是就代表代理一定生效？
不是。已连接只说明系统代理通道已经建立。还需要打开 IP 查询工具检查实际公网 IP 是否已经变成当前代理出口。
Q3：Shadowrocket 连不上，最先检查什么？
先检查代理地址、端口、代理类型和认证信息，再检查当前 Wi-Fi 或蜂窝网络。不要一开始就修改复杂规则。
Q4：Shadowrocket 为什么不显示延迟？
通常说明当前代理入口无法正常响应测试。可以先确认服务器地址和端口，再检查代理是否在线以及本地网络是否能够连接该服务器。
Q5：新手应该一开始就修改复杂规则吗？
不建议。第一次使用更重要的是确认代理能够连接、出口已经变化。基础连接正常后，再根据实际需求学习规则分流会更容易。
常见术语速查
- 订阅（Subscription）：用于批量获取和更新节点、规则等配置的远端地址。
- 节点（Node）：实际承载流量转发的远端服务器入口。
- 规则路由（Rule-based routing）：根据域名、IP 或其他规则决定流量走代理还是直连。
- 远程 DNS（Remote DNS）：通过指定的远端 DNS 进行域名解析。
- 流量转发（Traffic Forwarding）：Shadowrocket 接管请求后按照当前配置把流量转发到代理服务器。
