本文针对 Shadowrocket 显示已连接但上不了网的故障，从 DNS 泄露、模式选择及规则优先级进行技术剖析，提供极客级修复方案。
核心故障定位：为何状态绿灯却无法访问
当用户遇到Shadowrocket 显示已连接但上不了网的情况时，通常意味着 TCP 握手已成功建立，但数据包在路由转发或 DNS 解析阶段被拦截，这并非单纯的节点失效，更多是客户端配置与系统网络栈的匹配问题，在跨境办公需求或学术资源访问场景中，稳定的连接依赖于正确的流量接管机制。
关键设置检查：TUN 模式与系统代理
解决Shadowrocket 显示已连接但上不了网的首要步骤是确认流量接管模式，Shadowrocket 默认使用“系统代理”模式，该模式仅接管 HTTP 和 HTTPS 流量，无法处理 UDP 协议（如 DNS 查询或部分游戏流量）。
- 启用 TUN 模式：进入应用设置，找到"TUN 增强模式”或"Fake-IP"选项并开启，TUN 模式会在系统底层创建虚拟网卡，强制接管所有进出流量，包括 UDP 包。
- 配置 DNS：若未开启 TUN，需手动将 iOS 系统 Wi-Fi 设置中的 DNS 改为
8.8.8或1.1.1，防止本地 DNS 污染导致域名解析失败。 - 绕过局域网：检查“绕过局域网”开关，若目标服务器位于内网或特定网段，误开此选项会导致直连失败；反之，若需访问外网却未开启，流量可能未进入代理通道。
规则优先级与分流逻辑解析
即使节点正常,错误的分流规则也会导致Shadowrocket 显示已连接但上不了网，Shadowrocket 依据配置文件中的规则列表（Rule Set）决定流量走向，其优先级顺序为：DOMAIN > DOMAIN-SUFFIX > IP-CIDR > GEOIP > FINAL。
若配置文件将目标网站误判为国内流量（走 DIRECT），则代理无效，建议检查配置文件末尾的 FINAL 规则：
rules: - DOMAIN-SUFFIX,google.com,PROXY - IP-CIDR,8.8.8.8/32,PROXY,no-resolve - GEOIP,CN,DIRECT - FINAL,PROXY # 确保未匹配流量强制走代理
若 FINAL 指向 DIRECT 且前序规则未覆盖目标站点，必然导致无法上网，对于复杂的国际网络加速场景，建议使用包含完整 GEOIP 数据库的订阅配置。
常见故障现象与修复方案 (FAQ)
微信能发文字但图片加载失败
- 原因：UDP 流量被阻断，图片传输依赖 QUIC 协议或大文件分片。
- 解决：开启 Shadowrocket 内的"UDP 中继”功能，并切换至支持 UDP 的节点。
仅部分国外网站打不开，国内正常
- 原因：DNS 污染或规则列表缺失。
- 解决：在设置中将 DNS 模式改为"Fake-IP"，并更新订阅规则库。
切换节点后依然无效
- 原因：订阅链接过期或节点被封禁。
- 解决：重新获取订阅链接，优质的节点订阅服务能提供高可用性的中转线路，自动过滤不可用节点，确保跨境访问的连续性。
进阶优化与节点选择
若上述设置均无误仍无法连接,大概率是节点本身质量问题，免费节点常出现高延迟或端口被封，导致假连接，对于需要稳定 4K 流媒体或低延迟游戏的用户，建议选择具备专线优化的高端节点方案。
在配置订阅时,可利用 SubConverter 工具将通用链接转换为 Clash YAML 格式，以兼容更丰富的策略组功能（如 url-test 自动测速、fallback 故障转移），合理的策略组配置能让 Shadowrocket 在主节点失效时自动切换备用线路，彻底杜绝Shadowrocket 显示已连接但上不了网的尴尬局面。
通过精准调整 TUN 模式、修正 DNS 策略及优化分流规则，绝大多数连接故障均可自行修复，若追求极致稳定性，不妨考虑升级至企业级节点订阅，以应对复杂的网络环境波动。
