Shadowrocket（小火箭）适用于 iPhone、iPad、Mac、Windows、安卓与 Linux。iPhone / iPad 从 App Store 获取，$2.99 一次性付费，系统要求以 App Store 页面标注为准；Mac（Apple 芯片与 Intel）、Windows、安卓、Linux 版免费，统一从本站下载页获取。本文供已有服务商配置的用户辨认协议、核对字段和排查连接问题，不提供、不销售、不推荐节点或订阅。
先区分协议、传输与规则
在 Home 中添加服务器时，Add Server 的 Type 表示客户端与远端采用的协议。Shadowsocks、VMess、VLESS、Trojan 等名称决定双方如何认证、封装和交换数据，不是网站分类，也不是连接速度等级。应按已有配置填写，不能把同一个地址的 Type 任意切换后期待继续连接。
传输方式是另一个维度。例如，VMess 或 VLESS 配置可能还包含 WebSocket、gRPC、TLS 等字段；只认出协议名称，并不意味着已经收齐参数。规则则负责决定某个请求使用哪项策略，修改规则不会把一个协议转换为另一个协议。
判断顺序：先核对 Type，再核对传输参数
看到端口 443 不能直接判断为 Trojan，也不能据此认定使用 TCP。先查已有配置的协议名称，再分别核对端口、传输方式、认证信息与 TLS 设置。
Shadowsocks、VMess、VLESS 与 Trojan 的字段区别
这四类配置常见的差别在认证方式及加密所在层次。表中列的是识别与核对要点，不是一组可以直接连接的参数。Address 与 Port 必须与用户已有配置一致；服务端口即使常见为 443，也不应自行替换。
| Type | 设计要点 | 优先核对 |
|---|---|---|
| Shadowsocks | 加密代理协议，客户端与服务端需要使用兼容的加密方法和密钥信息。 | Address、Port、Method、Password，以及配置中明确要求的附加选项。 |
| VMess | 使用 UUID 等信息认证，协议处理数据保护，也可结合外层传输与 TLS。 | UUID、设备时间、传输方式，以及 TLS、Host、Path 等配套参数。 |
| VLESS | 轻量认证协议，本身不提供数据加密；连接保护取决于实际搭配的安全层。 | UUID、传输方式、TLS 或配置指定的安全参数，不能只填 UUID。 |
| Trojan | 通常在 TLS 连接内使用密码认证，需要正确完成证书与服务器名称验证。 | Password、Port、TLS Server Name，以及服务端证书对应的名称。 |
Shadowsocks 的 Method 不是随意选择的强度档位，客户端选择与服务端不一致时通常无法正常解密。VMess 使用的 UUID 也不是服务器地址；复制时应保留完整字符，并让设备启用自动校时，避免把时间偏差造成的认证失败误认为规则故障。
VLESS 中的“协议本身不加密”不等于所有 VLESS 连接都没有保护，应查看实际配套的安全层。Trojan 的证书错误也不应通过关闭验证来掩盖：先检查设备时间、Address 与 TLS Server Name，确认配置中的域名对应有效证书。连接地址、TLS Server Name 与 WebSocket Host 各有作用，不要求永远相同，也不能互相盲目覆盖。
HTTP、SOCKS5、WireGuard 与 Hysteria2 怎么认
这些名称对应不同的代理或隧道机制。HTTP 与 SOCKS5 不是“弱化版的另一种协议”，WireGuard 也不是一个可以填入任意代理密码的 Type。辨认时应看手上配置提供的完整字段，而不是只看服务器域名。
- HTTP：常见于 HTTP 代理及 CONNECT 隧道场景，可能需要 Username 与 Password。HTTP 代理这一名称本身不保证客户端到代理服务器的一段经过 TLS 加密；目标网站使用 HTTPS，与代理连接本身是否加密，是两件事。
- SOCKS5：通用代理协议，可涉及 TCP 连接及 UDP 转发能力。用户名与密码属于认证信息，不等于流量加密；UDP 是否可用还取决于服务端和当前配置，不能仅凭 Type 推断。
- WireGuard：基于 UDP 的加密隧道，需要成对的密钥关系与隧道网络参数。核对 Endpoint、客户端 Private Key、对端 Public Key、隧道地址及 Allowed IPs 等配置含义；仅有地址和密码不足以建立这种隧道。
- Hysteria2：基于 QUIC，底层依赖 UDP，同时需要匹配认证与 TLS 参数。网络若阻断所需 UDP，即使同一主机的 TCP 443 可访问，也不能据此确认 Hysteria2 可用。
Hysteria2 并不等于“任何网络都更快”，WireGuard 也不等于“所有请求自动走隧道”。实际表现受到路径质量、服务端限制、UDP 可达性及规则选择影响。本文不按名称替用户选择线路；已有配置写明什么协议，就先按原参数恢复一条可验证的连接。
在 Add Server 中按已有信息录入
以下以 iPhone / iPad 的 Home、Add Server 界面词说明操作；其他平台以实际页面布局为准。手动录入前，准备好完整的协议类型、地址、端口、认证信息和传输参数。若已有订阅，优先保留订阅内给出的完整配置，避免手动复制时漏掉 TLS 或传输字段。
-
打开添加页
进入 Home → 右上角“+”→ Add Server。先查看 Type，再按用户已有配置选择 Shadowsocks、VMess、VLESS、Trojan 等对应类型，不按名称猜测。
-
填写基础项
逐项填入 Address 与 Port，然后填写该协议要求的 Password、UUID 或密钥信息。端口用原配置的数值，不把所有条目统一改为 443。
-
核对附加项
检查 TLS、Server Name、传输方式、Host、Path 等实际出现的项目。Path 的前导斜杠及大小写应与原配置一致；没有提供的附加项不要自行补猜。
-
保存并验证
保存后回到 Home，选择该条目并开启连接。记录测试目标、当前 Global Routing 与错误现象，再检查一次网页请求，避免只以延迟数字判断全部功能正常。
订阅导入使用 Home → “+”→ Type → Subscribe，填入用户已有订阅地址后保存，再在 Home 更新对应订阅。订阅是配置集合的获取方式，不是与 VMess、VLESS 并列的流量协议；更新后每个条目仍有自己的 Type。更新失败与已有条目连接失败也应分开排查。
- 订阅地址和认证信息按敏感信息处理；求助时遮盖 token、Password、Private Key 等内容。
- 更新后若字段变化，先与原始配置说明核对，不要只凭条目显示名称判断协议。
- 分享链接的前缀可以辅助识别，但不能替代对导入后 Type 与完整参数的检查。
协议正确后，再检查 Global Routing
Home 中的 Global Routing 决定请求如何选择策略，Config 页面管理配置文件，Settings 管理应用设置。协议负责建立到服务端的连接，路由模式负责决定哪些请求使用该连接；两者应分开验证。下面只比较 Shadowrocket 自身的路由设置，不比较协议速度。
Config：按配置处理
推荐使用当前配置文件中的规则决定策略。先在 Config 确认选中的文件，再检查规则顺序和最终策略；这里的推荐指按既定规则验证日常分流，不是推荐某个线路。
适合：已有明确规则，需要验证指定网站与其余请求的去向。
Proxy：检查代理路径
让由该模式处理的连接走代理，用于临时区分“服务器连接异常”与“规则没有匹配”。测试完成后恢复原有模式，避免把临时诊断设置当作最终分流结果。
适合：同一目标在 Config 下失败，需要对照代理路径是否可用。
Direct：检查直连路径
让由该模式处理的连接直接访问。此时网页打开不代表代理协议已验证成功；它只能说明对应直连路径的结果。
适合：核对基础网络与直连访问，不用于证明代理认证通过。
Global Routing 还可能显示 Scene，表示按场景设置处理；检查时应同时确认当前匹配的场景及其路由配置，不能把 Scene 简单理解为 Proxy 的另一个名字。Settings → On Demand 管理按需连接条件，也不是协议选项。诊断时记录它是否影响了连接启停，避免网络切换后测试条件已经改变。
例如，下列规则用 DOMAIN-SUFFIX 匹配示例域名，以 FINAL 处理未命中的请求。PROXY 在这里必须对应当前配置中有效的代理策略。规则本身不会创建服务端，也不会补齐任何协议的认证参数。
DOMAIN-SUFFIX,example.com,PROXY
FINAL,DIRECTDOMAIN-SUFFIX匹配域名后缀，应确认请求所用域名是否确实属于该后缀。IP-CIDR按 IP 网段匹配，GEOIP按 IP 地理数据库结果匹配；两者都不是代理协议。FINAL是兜底规则，放在前面的宽泛匹配可能让后面的细分规则没有机会命中。
常见问题：按现象核对，不盲目更换协议
以下是排查分支，不是本机实测报告。每次只更改一个变量，并记录错误是否发生在解析、连接、TLS、认证还是规则选择阶段；没有记录就连续改 Type、端口与规则，会让前后结果失去可比性。
同一个地址能直接把 VMess 改成 VLESS 吗？
不能只在 Add Server → Type 中切换后沿用全部字段。服务端必须提供对应协议入口；先核对已有配置的 Type、Port、UUID、传输方式与安全参数，再分别保存条目测试。
Trojan 出现证书错误，要关闭验证吗？
先检查设备自动时间，再对照 Add Server 中的 Address、Port 与 TLS Server Name，确认名称与有效证书对应。保留证书验证，把参数或证书问题修正后重试。
TCP 测试能通，Hysteria2 为什么还是超时？
Hysteria2 需要 UDP 路径。先确认配置所用 UDP 端口和认证参数，再在允许该 UDP 流量的网络中对照验证；TCP 测试通过不能替代 QUIC 握手成功。
延迟有数字，网页却打不开，先看哪里？
先到 Home → Global Routing 核对模式，再确认所选条目。若 Proxy 下可访问而 Config 下失败，优先检查 Config 中的匹配规则、DNS 与策略；延迟结果不代表目标网站的完整请求已经成功。
订阅更新失败，必须重建所有条目吗？
先区分“订阅地址拉取失败”与“已保存条目连接失败”。在 Home 更新原订阅并记录错误，核对地址是否过期及网络是否可达；现有条目仍可测试时，不必立即删除全部配置。
完成检查后保留哪些信息
完成一次验证后，保留足以复现的配置摘要，而不是只记“某协议可用”。同一个协议可以搭配不同传输，连接成功也不等于规则符合预期。后续需要复查时，用相同目标和相同路由模式重新测试，才有意义。
- 配置层：记录 Type、端口、传输方式和 TLS 是否启用；敏感认证内容不写入公开记录。
- 路由层：记录 Global Routing、当前 Config 与目标请求应命中的策略。
- 网络层：记录 Wi-Fi 或蜂窝网络，以及问题是否只出现在 UDP 路径。
- 结果层：记录具体错误文字和失败阶段，不以“快”“慢”“能连”替代现象描述。
需要进一步查字段含义时，阅读协议手册；需要辨认 DOMAIN-SUFFIX、IP-CIDR 等关键字时，查看概念速查。先把已有配置准确录入，再按规则检查请求去向，是处理多协议配置时可重复执行的顺序。