Shadowrocket（小火箭）显示超时，不等于已经确认远端服务停止。本文适用于已经拥有自己服务商与配置的用户：先用同一测试方式区分单个节点、当前网络和目标网站的问题，再检查地址、端口、认证、传输与 TLS，最后核对系统时间和实际路由。每轮只改一项，保留原始配置与测试结果，避免把新的错误带入排查。
一、先区分延迟超时与实际连接失败
延迟测试只覆盖它实际执行的探测过程，不能代表所有网站与所有协议都正常。TCP 握手成功通常只能说明目标 TCP 端口可达，并不能证明密码、UUID 或后续 TLS 握手正确；通过代理访问测试地址的结果，则还受测试地址、DNS 和远端出口影响。先记录测试方式，再比较数字，不要把不同方式得到的延迟放在一起排序。
下面列出的是判读条件，不是本站的实测成绩。操作时应填写自己设备上的结果，至少连续测试三次，并保持测试方式、节点和网络不变。
| 观察现象 | 可以判断什么 | 下一步 |
|---|---|---|
| 只有一个节点连续三次超时 | 问题更集中于该节点或通往它的路径 | 核对该节点的地址、端口和协议参数 |
| 已有节点全部超时 | 可能存在共同的网络、解析或配置问题 | 先检查普通联网，再切换网络复测 |
| 端口测试有结果，实际网页失败 | 端口可达不等于代理认证成功 | 检查认证、TLS、传输和路由 |
| 网页正常，仅测试超时 | 测试目标或测试方式可能不适合当前连接 | 核对测试设置，不急于重建节点 |
| 仅一个网站失败 | 不能据此认定整个节点失效 | 检查该域名的规则、DNS 与目标站状态 |
结论：先固定测试条件
先用同一方式对同一节点连续测试三次，再只更换网络复测；不要同时修改协议与规则，否则无法确认是哪一项改变了结果。
二、按顺序完成一次最小复测
以下以 iPhone / iPad 的 Home、Config、Settings 界面词说明排查位置，其他平台按对应设置核对。开始前保存当前配置副本；已有订阅和手动编辑的节点也应分别保留记录，尤其不要在没有备份时删除整个列表。
-
确认基础联网
在 Home 关闭连接，用浏览器访问自己通常能直接打开的页面。如果连基础联网都失败，先处理 Wi-Fi 登录、蜂窝数据权限或路由器连接，不要先改节点密码。
-
固定测试对象
回到 Home，选定一个用户已有的节点，记录测试方式与连续三次结果。若使用 Connectivity Test，先核对它的测试设置；复测期间不要更换测试目标。
-
切换接入网络
保持同一节点与同一测试方式，从 Wi-Fi 切换到蜂窝网络后复测。仅在一个网络失败时，优先检查该网络对端口、UDP 或域名解析的影响。
-
检查自动连接
进入 Settings → On Demand，记录当前设置。若手动断开后又自动连接，可在排查期间临时关闭 On Demand，完成对照测试后恢复原设置。
-
记录复测结果
记录网络类型、节点名称、测试方式、发生时间及错误原文。每次只调整一个字段，保存后重新连接，再用同样条件复测。
三、按地址、端口、认证、传输核对协议参数
在 Home 打开目标节点的编辑页面，与自己服务商提供的原始配置逐项核对。优先看服务器地址和端口，再看协议类型与认证字段，最后检查传输方式及 TLS。不要把配置名称当作服务器地址，也不要仅凭“常用端口”修改数值：443 不一定表示该节点使用 TLS，8443 也不是可以随意替换的备用端口。
| 协议或字段 | 必须核对 | 容易误判之处 |
|---|---|---|
| 地址与端口 | 完整主机名或 IP、原始端口，端口范围为 1–65535 | 漏字符、复制空格，或把连接地址中的其他数字当端口 |
| Shadowsocks | 加密方法与密码；原配置如含插件，也需核对插件参数 | 端口可达，但加密方法或密码不一致 |
| VMess / VLESS | UUID、服务端要求的相关选项与传输参数 | 仅复制 UUID，遗漏 WebSocket 路径或其他传输设置 |
| Trojan | 密码、TLS、Server Name 与证书对应关系 | 连接 IP 正确，但用于 TLS 的名称填错 |
| Hysteria2 | 认证、TLS、端口，以及当前网络是否允许所需 UDP 通信 | 使用 TCP 测试结果代替 UDP 连通性判断 |
| WireGuard | 密钥、Peer、Endpoint、接口地址与路由范围 | 只填 Endpoint，其他配置缺失；私钥与公钥填反 |
| WebSocket / gRPC | 传输类型，以及原配置要求的 Host、Path 或 Service Name | 把 WebSocket 的路径当作 gRPC 的 Service Name |
服务器连接地址、TLS 的 Server Name 和 WebSocket 的 Host 可能不同，它们分别参与建立连接、证书验证或应用层请求。必须以自己的原始配置为准，不能为了“保持一致”而全部填成同一个域名。路径也应完整保留，例如原配置是 /gateway 时，不要删去开头的斜杠或自行改变大小写。
- 从订阅导入的节点，先确认订阅是否成功更新，再判断本地参数是否过期。
- 手动修改订阅节点前保留副本；后续更新可能重新写入节点字段。
- 同一服务商名下的不同节点不一定共用端口、密码或传输方式，不要相互套用。
- 不要通过关闭证书验证来掩盖 TLS 报错，应先核对名称、证书与系统时间。
四、按错误原文区分超时、拒绝连接与 TLS 失败
如果连接日志给出了错误文本，应保留原文和发生时间。不同系统与协议的措辞可能不同，下面是常见网络错误字符串的判读方式，并不表示每个平台都会显示完全相同的一行。单凭一个错误词通常不能定位责任方，还需结合前面的网络对照测试。
报错：i/o timeout
原因与解法：某个网络操作在期限内没有完成，可能涉及连接、握手或读取——先看错误发生的阶段，再核对地址与端口，并在另一接入网络重复测试。
报错：connection refused
原因与解法：连接尝试收到明确拒绝，常见于目标端口没有对应服务或被主动拒绝——先确认端口未填错，再向自己的服务商确认该端口的服务状态。
报错：no such host
原因与解法：服务器域名解析没有得到所需结果——检查域名拼写及当前网络的解析情况，不要先改密码，也不要随意用网上找到的 IP 替代原域名。
报错：certificate has expired or is not yet valid
原因与解法：证书有效期与设备当前时间不匹配——先开启系统时间自动设置；时间正确仍失败时，再由自己的服务商检查证书有效期。
如果没有具体错误，只有“超时”结果，先补齐测试条件，不要直接断定认证错误。认证失败、TLS 握手失败和远端无响应可能在简化的状态显示中呈现相似现象，但它们的处理方式不同。
五、检查系统时间与证书验证条件
系统时间不是所有超时的共同原因，但当 TLS 或认证相关连接集中失败时值得检查。证书包含生效时间与到期时间，设备时钟明显偏离实际时间会导致验证失败；部分协议的认证机制也涉及时间。修改时区只改变时间显示方式，不能代替校准设备时钟。
- iPhone / iPad：打开系统「设置 → 通用 → 日期与时间」，开启「自动设置」。若选项不可调整，检查设备管理或系统限制，不要反复修改 Shadowrocket 参数。
- Mac：在「系统设置 → 通用 → 日期与时间」检查自动设置日期与时间，确认设备能够完成同步。
- Windows：在「设置 → 时间和语言 → 日期和时间」检查自动设置时间，并使用系统提供的同步操作。
- 安卓 / Linux：在系统日期与时间设置中检查网络时间或时间同步服务；具体菜单名称取决于设备与桌面环境。
校准后返回 Shadowrocket，断开再连接，重新执行相同测试。若时间已正确而证书仍报错，继续检查 Server Name 是否与证书匹配，以及证书链是否有效。不要把设备日期人为调到证书有效期内，这会影响其他应用，也无法修复远端证书问题。
结论：时间正确后再处理证书
自动时间正常且重复连接仍出现证书错误时，把错误原文与发生时间交给自己的服务商核对；保留证书验证设置，不用降低验证要求作为长期处理方式。
六、节点可用后检查 Global Routing 与规则
节点测试恢复正常但网页仍打不开时，排查重点应转向实际流量走向。在 Home → Global Routing 检查当前姿态：Proxy 用于让流量按代理方式处理，Direct 是直连，Config 按启用配置中的规则处理，Scene 按已设定的场景配置处理。选中了某个节点，不代表每条连接必然经过它。
可在记录原设置后临时使用 Proxy 做一次对照。如果 Proxy 下目标网页可用，而 Config 下失败，应检查当前启用的 Config、命中的规则及其策略，而不是继续更改节点认证。测试完成后恢复原来的姿态，避免长期保留与日常使用目的不同的设置。
[Rule]
DOMAIN-SUFFIX,example.com,PROXY
IP-CIDR,192.168.0.0/16,DIRECT
FINAL,PROXY上面是用于解释匹配关系的规则片段，不是建议直接覆盖现有配置。DOMAIN-SUFFIX 匹配指定域名及其子域，IP-CIDR 匹配地址网段；规则通常按顺序匹配，FINAL 处理前面没有命中的连接。GEOIP 则依据 IP 地理归属数据库判断，与域名后缀匹配不同。
- 在 Config 确认当前启用的是预期配置，而不仅是打开了某个配置文件。
- 检查目标域名是否先命中了 DIRECT、拒绝策略或与预期不同的策略组。
- 如果只有域名访问失败而地址连接可达，再检查 DNS；不要把 IP 访问与域名访问视作完全相同的 TLS 测试。
- 若设备还运行其他 VPN 连接，排查期间先停止其他连接，减少系统网络状态的干扰。
七、常见追问与提交排查记录
延迟有数字，为什么还是打不开网页？
先确认延迟测试是否仅检测端口。回到 Home 检查 Global Routing，记录原姿态后用 Proxy 对照访问；若仍失败，再核对认证、TLS 与传输字段。端口可达并不能代替完整代理连接测试。
换成蜂窝网络就正常，要重新导入吗？
先不要删除原配置。用同一节点在两种网络各测试三次，并记录网络类型；若差异稳定，继续检查 Wi-Fi 的登录状态、解析与 UDP 可达性。重导同一配置通常不能解释接入网络差异。
订阅更新也超时，是节点都失效了吗？
不一定。订阅获取与节点连接是两条不同的请求路径。先向自己的服务商确认已有订阅链接仍有效，并检查更新是否成功；不要先删除全部节点。分享错误记录时遮住链接中的 token 等凭据。
已经核对完，应该提供哪些信息？
提供协议类型、系统平台、出错时间、接入网络、测试方式、三次结果和脱敏错误原文，并说明切换网络后的结果。密码、私钥、完整订阅链接和认证 token 不应放进公开截图或讨论区。
需要重新安装或核对平台入口时，前往本站客户端下载页。iPhone / iPad 通过 App Store 获取，开发者为 Shadow Launch Technology Limited，系统要求以 App Store 页面标注为准；Mac 提供 Apple 芯片与 Intel 两种版本，另有 Windows、安卓和 Linux 版本。不要用重装代替参数与网络检查，先完成备份再操作。