本文针对 Shadowrocket 显示已连接但上不了网的故障，从 DNS 泄露、模式选择及规则优先级三个维度提供极客级修复策略。
核心故障定位：为何状态绿灯却无法访问
当用户遇到Shadowrocket 显示已连接但上不了网的情况时，通常意味着 TCP 握手已成功建立，但数据包在路由转发或 DNS 解析阶段被拦截，这并非单纯的节点失效，更多是客户端配置与系统网络栈的冲突，在跨境办公需求日益增长的当下,理解底层逻辑比盲目切换节点更为关键。
关键设置排查：TUN 模式与系统代理的差异
解决此类问题的第一步是确认流量接管方式，Shadowrocket 默认使用“系统代理”模式，该模式仅接管 HTTP 和 HTTPS 流量，无法处理 UDP 协议及部分非标准端口的应用。
- 开启 TUN 模式：进入设置页面，找到"TUN 模式”开关并启用，TUN 模式会在系统层面创建虚拟网卡，强制接管所有进出流量（含 UDP）,彻底规避应用不走代理的问题。
- 检查绕过规则：确保“绕过局域网”选项已勾选，防止访问本地打印机或 NAS 时发生路由环路。
- 验证 DNS 设置：若开启 TUN 后仍无效，多为 DNS 污染，将 DNS 模式切换为"FakeIP"或手动指定上游 DNS 为
8.8.8或1.1.1，避免使用运营商默认 DNS。
规则优先级与代理组逻辑解析
若基础设置无误，问题往往出在分流规则的优先级上，Shadowrocket 依据配置文件中的规则顺序匹配流量,一旦匹配失败则直连。
- DOMAIN-SUFFIX：匹配域名后缀，优先级高于 IP 规则。
- IP-CIDR：匹配目标 IP 段,适用于未域名的服务。
- GEOIP：基于地理位置数据库,常用于判断流量是否出境。
建议检查配置文件中是否存在错误的 DIRECT 规则覆盖了代理规则，以下是一个标准的 YAML 配置片段示例，确保 FINAL 规则指向代理组：
rules: - DOMAIN-SUFFIX,google.com,Proxy - GEOIP,CN,DIRECT - MATCH,Proxy
若 MATCH 规则缺失或指向 DIRECT，则所有未明确匹配的流量（包括大量国际网络加速需求）将直接连接，导致“假连接”现象。
常见场景 FAQ 速查
现象：微信图片能加载，但 Google 打不开。
原因：分流规则将 Google 误判为国内流量，或节点仅支持 IPv4 而目标站点强制 IPv6。
解决方法：强制将相关域名加入 Proxy 规则组，并在节点设置中关闭"IPv6"支持。
现象：开启软件后全网断连，关闭恢复正常。 原因：TUN 模式驱动冲突或 DNS 劫持导致系统无法解析任何域名。 解决方法：重置 Shadowrocket 的 DNS 设置为“系统默认”，或重新安装 TUN 驱动组件。
现象：特定 APP 提示网络错误，浏览器正常。 原因：该 APP 使用了非标准端口或 UDP 协议，系统代理模式无法覆盖。 解决方法：必须开启 TUN 模式以接管全流量。
节点质量与订阅源优化
很多时候，Shadowrocket 显示已连接但上不了网的根源在于节点本身的高延迟或虚假在线状态，免费节点往往存在带宽拥堵或 IP 被墙的情况，对于有稳定学术资源访问需求的用户，建议通过 SubConverter 工具将订阅链接转换为优化的 Clash YAML 格式,剔除高延迟节点。
在选择服务时，应关注节点的中转层级，高端专线通常提供低延迟、高稳定性的连接，适合 4K 流媒体及实时会议；而普通中转节点虽成本低，但在晚高峰极易出现丢包，若当前订阅源频繁出现连接超时，应及时更新订阅链接或更换更可靠的服务商,以确保持续稳定的网络体验。
通过上述步骤的系统性排查，绝大多数连接故障均可被解决，保持客户端更新并定期优化规则列表,是维持高效网络环境的关键。
