排查部分App无法上网的问题，建议从分流规则入手，将全局路由临时切换至“代理”模式，若所有App均恢复正常则确认为规则配置问题，需针对无法上网的App域名单独添加代理规则并移至列表顶部。若代理模式下仍有个别App异常，则需检查IPv6开关状态，关闭后测试是否因协议族不匹配导致。对于银行类或支付类App，证书固定机制通常是主因，需为其设置直连规则以绕过代理隧道。依赖UDP的游戏和即时通讯类App，需确认“UDP转发”已开启且节点明确支持UDP流量。最后检查设备的DNS设置，更换为1.1.1.1等公共DNS，并清除App缓存或重装以刷新本地DNS记录，确保所有App获取到正确的服务器地址后再进行连接测试。
分流规则配置导致的访问差异
规则列表中的域名匹配逻辑
Shadowrocket通过规则列表判断每个请求的流量去向，当某个App访问的域名在规则中被设置为“DIRECT”直连时，该App的流量将绕过代理直接发出。若当前网络环境无法直连目标服务器，该App便会无法上网。而其他被规则命中“PROXY”代理的App则能正常访问。用户需检查配置文件中是否存在针对特定域名或IP段的直连规则，确认是否与无法上网的App相关。
GEOIP策略对国内外流量的区分
默认配置中常包含“GEOIP,CN,DIRECT”规则，将目标IP属于中国的流量设置为直连。部分海外App使用的CDN节点域名虽归属国外，但解析出的IP地址可能被误判为中国地区，导致流量被直连发送。若该App本身需要代理才能访问，则会出现连接失败。解决方法是将该App的域名单独添加为代理规则，并置于GEOIP规则之前，确保优先匹配。
规则排序对匹配结果的影响
规则列表的排序遵循从上到下的优先匹配原则，排在前面的规则拥有更高优先级。若无法上网的App访问的域名被列表下方某条规则覆盖，但上方有一条更宽泛的规则将其流量导向直连，则下方规则不会生效。用户需将精确匹配的域名规则移动至列表顶部，确保精细规则优先于宽泛规则执行，避免因排序问题造成访问异常。
IPv6与IPv4网络环境差异
双栈环境下协议族选择问题
当设备同时具备IPv4和IPv6网络能力时，不同App可能偏好不同的协议族。部分App优先使用IPv6进行连接，而代理节点的IPv6出口能力可能不足或未开启。另一部分App则使用IPv4且正常工作。若Shadowrocket的IPv6开关处于开启状态但节点不支持IPv6，优先使用IPv6的App将连接失败，而使用IPv4的App则能正常上网。可尝试关闭IPv6支持开关后重新测试。
节点对双栈流量的处理能力
并非所有代理节点都能同时处理IPv4和IPv6流量。某些节点仅支持IPv4出口，当App发起AAAA记录的DNS查询并尝试IPv6连接时，节点无法正确转发该请求，导致App无法获取数据。而仅查询A记录的App则不受影响。用户应确认节点服务商是否明确支持双栈出口，若不支持则需在Shadowrocket中强制关闭IPv6，统一使用IPv4通道。
DNS解析返回的地址族不匹配
Shadowrocket的DNS解析可能返回IPv6地址，但App自身的网络库优先尝试IPv4，或反之。这种解析结果与实际使用协议族的不匹配，会导致部分App的连接请求在代理隧道中被丢弃或超时。用户可尝试修改DNS服务器为仅返回IPv4结果的服务，或在配置文件中将“首选IPv6”关闭，统一解析结果的协议族以避免冲突。
App自身的代理检测机制
证书固定与SSL Pinning技术
部分银行类、支付类或社交类App内置了证书固定机制，当检测到流量经过代理中间件时，会因证书链与预期不符而主动断开连接。这类App会完全拒绝通过代理访问，而其他不包含证书固定机制的App则能正常工作。用户可将这类App的域名设置为直连，让流量绕过代理直接访问，或关闭Shadowrocket的HTTPS解密功能以避免干扰证书验证。
应用内强制使用系统代理设置
一些App并不遵循系统VPN设置，而是直接通过系统代理配置进行网络连接。若Shadowrocket以VPN模式接管流量，这类App仍可能被系统的代理设置干扰。用户可在WiFi设置中检查“HTTP代理”是否配置为手动模式，若存在该配置则改为关闭，让所有流量统一由Shadowrocket的VPN通道处理，避免App因代理设置冲突而无法上网。
应用版本与网络库兼容性
App使用的底层网络库版本不同，对代理协议的支持程度也存在差异。较旧版本的App可能仅支持HTTP代理而不支持SOCKS5或VPN模式的流量接管，导致在Shadowrocket环境下无法正常通信。用户可尝试更新App至最新版本，或通过分流规则将这类旧版App的流量强制直连，以绕过代理隧道直接访问目标服务器。
代理协议与UDP/TCP转发差异
UDP流量转发未正确开启
部分App依赖UDP协议进行数据传输，例如VoIP通话、实时游戏和某些即时通讯软件。若Shadowrocket配置中未启用UDP转发功能，或节点本身不支持UDP over TCP的转换，这类App将无法完成连接。而依赖TCP协议的浏览器和其他App则不受影响。用户需进入配置详情页检查“UDP转发”开关是否开启，并确认节点服务商支持UDP流量转发。
TCP与UDP代理通道的独立性
Shadowrocket的TCP和UDP代理通道相互独立，可能TCP通道工作正常而UDP通道被运营商阻断或节点配置错误。测试时浏览器等TCP应用正常，但依赖UDP的即时通讯类App却出现连接失败。用户可通过节点详情页的“UDP测试”功能检查UDP通道状态，若测试失败则需切换至支持UDP转发的节点或更换代理协议。
QUIC协议与代理的冲突处理
部分新版本App开始使用基于UDP的QUIC协议替代传统TCP进行传输，以提升连接速度。但Shadowrocket对QUIC流量的处理能力有限，可能导致使用QUIC的App无法正常建立连接。用户可在浏览器或App内禁用QUIC实验性功能，或通过规则将使用QUIC的App流量强制直连，使App降级使用TCP传输以恢复上网能力。
DNS解析与域名访问策略差异
App使用硬编码IP与域名解析的区别
部分App采用硬编码IP地址直接连接服务器，不经过DNS解析流程。若该IP地址为IPv4格式且代理节点支持IPv4转发，则App能正常工作。而依赖域名解析的App若遇到DNS服务器故障或解析结果异常，则出现连接失败。两种App的网络访问方式不同导致了上网能力的差异。用户需确保DNS服务器稳定可用，并通过日志查看App实际请求的域名或IP地址。
不同App的DNS查询机制差异
iOS系统中，不同App可能使用不同的DNS解析库和缓存策略。某些App遵循系统DNS设置，另一些则内置DoH客户端独立进行解析。若Shadowrocket的DNS设置与App内置的DoH服务器不一致，解析结果产生分歧，可能导致部分App拿到正确的服务器地址而其他App拿到无效地址。用户可在Shadowrocket中设置DNS回退策略，优先使用系统DNS结果。
DNS缓存过期与刷新时机差异
App本地DNS缓存的过期时间和刷新策略各异。当代理节点或目标服务器发生IP变更时，部分App能及时刷新DNS缓存获取新地址，而其他App仍使用过期的缓存记录尝试连接，导致访问失败。用户可尝试清除App缓存或重新安装App以强制刷新DNS记录，或在Shadowrocket中启用“DNS缓存清除”功能，统一刷新所有App的域名解析结果。
路由表与子网访问冲突
本地网络子网被错误直连
Shadowrocket配置中常包含针对局域网IP段（如192.168.0.0/16、10.0.0.0/8）的直连规则，目的是让局域网设备通信不走代理。若某些App需要访问本地网络内的服务或网关，该规则正常工作。但若App需要访问的外部服务器恰好属于这些IP段范围，则流量被错误直连，在当前网络无法直连时导致App失效。需检查并调整IP-CIDR规则的匹配范围。
VPN虚拟网卡与物理网卡路由冲突
当Shadowrocket建立VPN隧道时，系统会创建虚拟网卡并修改路由表，将所有流量导向虚拟接口。但部分App的网络库可能绕过VPN接口直接使用物理网卡发送数据，导致流量未经过代理隧道。这类App在WiFi环境正常但在代理环境下失败。用户可在Shadowrocket设置中启用“强制路由”选项，确保所有流量均经过VPN接口处理。
多网关环境下的路由优先级
在同时连接WiFi和蜂窝网络的设备上，系统路由表可能存在多个默认网关。部分App会选择优先级较高的网关进行通信，而Shadowrocket的VPN接口可能未获得最高优先级，导致部分App的流量绕过了代理。用户可尝试关闭WiFi或蜂窝网络中的一路连接，使设备仅使用单一网络接口，观察App访问是否恢复正常。
常见问题FAQ
Netflix等流媒体App无法访问但浏览器可以打开
流媒体App对代理节点的出口IP要求严格，会检测IP所在地理位置并拒绝非目标区域的IP。浏览器访问网页版Netflix时检测机制相对宽松。解决方法是切换至该流媒体服务所在区域的专属节点，并确认节点出口IP未被列入黑名单，同时在分流规则中为流媒体域名设置强制代理。
Telegram能收发消息但图片和视频加载不出来
Telegram的消息走TCP通道，而媒体文件通常通过独立的UDP或QUIC通道传输。若节点不支持UDP转发或带宽不足，则媒体加载失败。用户需确认Shadowrocket已开启UDP转发，并选择支持UDP且带宽充裕的节点，或关闭Telegram内“使用QUIC协议”的选项强制走TCP通道。
游戏App连接失败但社交媒体App正常
游戏App通常使用非标准端口和UDP协议进行通信，部分代理节点对UDP的支持不完善。社交媒体App主要使用标准HTTPS端口，兼容性更好。玩家需选择明确标注支持游戏加速或UDP转发的节点，并在Shadowrocket中开启UDP转发功能，同时将游戏App的流量规则设为代理并置于列表顶部。