Shadowrocket
完整使用手冊

01 / ACQUIRE

取得與安裝：先確認平台與來源

開始設定前，請先分清楚「安裝客戶端」與「準備連線服務」是兩件事。Shadowrocket 是閉源商業應用，安裝完成只代表裝置具備處理代理連線與規則的客戶端，不會自動建立可用伺服器。iPhone / iPad 版在 App Store 一次性付費 $2.99；Mac / Windows / Android / Linux 版免費。既有訂閱的有效期限、帳號狀態與流量限制由原服務決定，與客戶端的取得方式無關。

iPhone / iPad：確認 App Store 項目

從下載頁的 iPhone / iPad 入口前往 App Store，確認產品名稱 Shadowrocket、開發者 Shadow Launch Technology Limited、官方圖示與 App ID 932747118。不要只憑搜尋結果中的名稱判斷，名稱相似不代表是同一款 App。系統需求以 App Store 頁面標示為準；商店頁面的相容性資訊優先於舊文章中的系統說明。

如果在商店中搜尋不到，請先確認目前 Apple ID 所屬地區，以及該地區是否提供此 App。中國大陸商店沒有此 App；切換裝置的顯示語言或系統地區，不會直接改變購買帳號的商店地區。若要調整帳號地區，請先透過帳號設定中的國家或地區流程，了解餘額、既有訂閱與付款方式的限制。不了解影響前不要反覆切換帳號，也不要把搜尋不到誤判為安裝檔損毀。

電腦與 Android：選擇相符的安裝檔

其他平台請統一從全平台下載頁取得安裝檔，檔案由本站的 /dl/shadowrocket/ 路徑提供。Mac 請先開啟「關於這台 Mac」：顯示 Apple 晶片時選擇 Apple 晶片版 dmg，顯示 Intel 處理器時選擇 Intel 版 dmg。Windows 請選擇頁面提供的 64 位元安裝檔；Android 請選擇 arm64 安裝檔，並確認裝置允許目前使用的瀏覽器或檔案管理器安裝 App。不要只依副檔名相似與否判斷處理器架構。

桌面版與 Android 安裝檔沒有程式碼簽章，首次開啟時可能遭系統攔截。Mac 若出現「無法驗證開發者」，請確認安裝檔來自本站，再前往系統設定的「隱私權與安全性」選擇「仍要打開」；Windows 出現 SmartScreen 提示時，也應先確認來源，再透過「更多資訊」查看是否有「仍要執行」選項。這些操作僅針對目前的檔案，不需要關閉整套系統防護；受組織管理的裝置則應遵循管理員政策。

Mac 若顯示「已損毀」，請先刪除未完成的下載，再重新取得正確架構的安裝檔。確認 App 已放入 Applications 且來源可靠後，才考慮對該 App 執行下列命令以清除隔離屬性。此命令會改變系統對該 App 的隔離處理方式，不可用於來源不明的檔案，也不要將路徑改成整個磁碟。更多處理方式請參閱Mac 與 Windows 安裝說明。

xattr -cr /Applications/Shadowrocket.app

Linux：發行版格式與執行權限

Debian / Ubuntu 通常使用 deb 並交由 apt 處理相依套件；Fedora 系統使用 rpm 搭配 dnf；AppImage 則須先授予執行權限再執行。命令中的本機檔名必須與實際下載的檔案相符，不可從範例推測安裝檔名稱。下載不完整、架構不符與缺少執行相依套件是不同問題，請分別查看終端機輸出。操作細節請參閱Linux 安裝說明。

安裝完成後再進入下一章；客戶端尚未成功開啟前，不要一次匯入大量資料。更換裝置或重新安裝時，iPhone / iPad 請使用原購買帳號檢查已購項目；其他平台則重新從本站下載相符的安裝檔即可。保留原有設定的備份，比保留舊安裝檔更重要，因為伺服器憑證、規則與本機設定不會在重新下載客戶端後自動復原。

02 / PERMISSIONS

首次啟動與權限：建立可檢查的起點

首次開啟 Shadowrocket 後，先確認 Home 中是否已有伺服器、目前 Global Routing 的選項，以及連線開關是否關閉。此時不必立刻修改所有 Settings。建議先建立一個容易重現的起點：系統網路可正常瀏覽一般網頁、客戶端尚未連線，且沒有其他正在運作的 VPN 設定。如此一來，後續遇到問題時才能區分原有網路故障與客戶端設定問題。

VPN 設定授權的意義

iPhone / iPad 首次建立連線時，系統會要求新增 VPN 設定，並可能要求輸入裝置密碼或進行生物辨識確認。此授權允許客戶端透過系統網路延伸功能接管相應流量；這不代表已購買連線服務，也不表示每個請求都一定經過遠端伺服器。請求最終走 PROXY 還是 DIRECT，仍由 Global Routing 與目前設定決定。請先確認系統提示中的 App 名稱，再完成裝置本機授權。

若先前拒絕了授權，請返回客戶端重新嘗試連線並留意系統提示。若系統沒有彈出提示，請檢查系統設定中的 VPN 狀態，以及裝置是否受到管理政策限制。一開始不要刪除所有網路設定，這可能連已儲存的 Wi-Fi 與其他連線資料一併清除。請先確認客戶端能否要求權限、設定能否寫入，再決定是否移除舊的 Shadowrocket VPN 設定並重新授權。

辨識網路延伸功能之間的影響

裝置上可能還有其他 VPN、企業網路存取、網路過濾或系統管理功能。排錯時，請先停止會接管相同流量的功能，再單獨測試 Shadowrocket；是否能同時使用取決於系統機制與實際設定，不能只看圖示判斷。刪除企業設定或描述檔可能影響工作網路；受管理裝置請先聯絡管理員，不要為了測試直接移除組織政策。

系統狀態列出現 VPN 標記，只能證明系統具有相應的通道狀態，無法證明伺服器驗證、DNS、目標網站與規則都正常。反過來說，回到桌面後看不到客戶端前景畫面，也不代表連線已中斷。請一併查看 Home 的連線狀態與後續的實際請求記錄，不要把單一圖示當成連線成功的完整證據。

相機、照片與區域網路權限按需處理

使用 Scan QR Code 時，相機權限用於讀取 QR Code；若要從圖片匯入資料，也可能需要照片存取權限。只有採用相應匯入方式時才需要處理這些權限；不使用掃描功能並不妨礙手動填寫 Add Server。授予照片存取權限時，請優先選擇足以完成匯入的範圍；QR Code 可能包含完整憑證，儲存到相簿或分享給他人都要謹慎。

如果系統詢問是否允許存取區域網路，請先判斷是否確實需要連線至區域網路裝置或使用相關網路功能。權限與路由策略並非同一層面：允許存取區域網路，不會自動讓所有區域網路位址走 DIRECT；規則正確，也無法繞過作業系統明確拒絕的存取權限。區域網路裝置無法連線時，請分別檢查權限、IP 位址、網段，以及目前 Wi-Fi 是否啟用了用戶端隔離。

保留網路基準，再進行單一變更

首次設定前，可記錄目前使用 Wi-Fi 或行動網路、是否需要網頁認證，以及一般網頁能否直接開啟。公共 Wi-Fi 的認證頁面通常應在連線客戶端前完成，否則系統雖顯示已連上無線網路，實際上仍無法存取網際網路。使用行動網路時，也要檢查系統是否限制 App 存取網路，以及目前的行動數據連線是否正常。

首次成功前，建議關閉 On Demand，避免主動變更複雜 DNS 或其他進階設定。一次只處理一個問題：先讓 App 取得系統權限，再匯入一組已知有效的資料，最後執行連線測試。如果 App 進入背景後狀態改變，請記錄發生時的網路切換與系統提示，再到維護章節查找原因；不要同時修改多個開關，造成更多不確定因素。

完成本章的判斷標準是：客戶端可正常開啟，系統允許新增 VPN 設定，基礎網路可正常運作，而且使用者知道如何手動中斷連線。若權限仍遭到阻止，可前往FAQ的「各平台安裝與首次開啟」類別繼續排查。不要帶著尚未解決的權限問題進入規則除錯，因為兩者的症狀可能相似，處理方式卻完全不同。

03 / CONNECTION MATERIAL

新增伺服器與 Subscribe：區分資料類型

本章以使用者已擁有自己的訂閱或伺服器資料為前提。請先判斷取得的是單一伺服器參數、單一分享連結、QR Code，還是可更新伺服器清單的 Subscribe 網址。這些資料可能都以文字呈現，但用途不同。把訂閱網址填入伺服器位址欄，或把完整分享連結當成密碼輸入，都不會因為格式看起來像網址就自動轉成正確設定。

Add Server：逐項填入既有參數

手動新增時，從 Home 的新增入口開啟 Add Server，先選擇與伺服器端相同的協定，再填入位址與連接埠。位址可以是主機名稱或 IP，不應自行加上網頁路徑；連接埠必須使用伺服器端提供的數值。備註僅供本機辨識，不參與驗證。密碼、UUID、金鑰等驗證資料必須保持原樣，並留意複製時多出的空格、換行與中文標點。

協定名稱一致只是第一步。同一協定仍可能使用不同的傳輸方式、TLS、SNI 或路徑，不能因為「伺服器有回應」就省略這些欄位。SNI 是 TLS 交握時使用的名稱，通常不是可任意填寫的備註；WebSocket 的 path 與 Host 也各有用途。若未取得相應參數，請回到原始服務資料確認，不要藉由關閉憑證檢查來掩蓋欄位錯誤。

分享連結與 QR Code：匯入後仍須檢查

透過剪貼簿匯入或使用 Scan QR Code，可減少手動輸入錯誤；但匯入成功只代表客戶端能解析資料，不代表遠端服務仍然有效。匯入後請開啟項目詳細資訊，檢查協定、伺服器位址與連接埠是否和原始資料一致。QR Code 若遭壓縮、遮擋或包含多筆內容，可能無法辨識；此時請重新取得清晰原圖或改用原始文字，不要反覆掃描同一張模糊圖片。

如果掃描結果是訂閱網址，應以 Subscribe 的方式儲存，而不是當成獨立伺服器。掃描入口與欄位的位置可能隨介面調整，但判斷依據始終是資料內容。不要把含有憑證的 QR Code 上傳至公開辨識服務，也不要將完整分享連結貼在公開回報中；需要排錯時，只描述協定與欄位名稱，並隱藏驗證資訊。

Subscribe：管理的是伺服器清單

新增既有 Subscribe 時，請填入原服務提供的完整網址，儲存後執行更新並查看結果。網址中的路徑與查詢參數可能具有驗證功能，刪除尾端參數可能導致請求失效。更新結果為空、驗證失敗、格式無法解析與網路逾時是不同情況：先確認網址是否完整、是否仍有效，再檢查目前的基礎網路能否連線至該網址，最後確認內容是否為客戶端可辨識的訂閱格式。

首次更新後，記下清單中出現的群組名稱與可辨識的伺服器備註。訂閱更新可能新增、刪除或重新命名項目，因此不宜將所有更新後的變化都視為客戶端異常。若手動修改了訂閱產生的伺服器，後續更新可能會覆蓋修改；確實需要固定參數時，請先建立名稱明確的獨立項目，同時保留原訂閱，避免兩份相似資料混在一起，無法辨認目前選取的是哪一份。

伺服器、訂閱與 Config 位於不同層次

伺服器項目描述要連線到哪裡，Subscribe 管理項目的來源，Config 則決定流量如何比對規則及使用哪些策略。新增伺服器不會自動產生適用所有情境的規則；下載 Config 也不一定包含可用的伺服器憑證。匯入後，請分別確認 Home 中選取的伺服器與 Config 中的目前設定，不要因任一清單已有內容，就認為準備工作已全部完成。

最後應整理出一組清楚且精簡的資料：一組有效的連線資料、一個可辨識的目前伺服器，以及一份用途明確的設定。先不要連續匯入多份相似訂閱或 Config。重複內容會增加選錯項目的機率，也會讓故障時難以判斷資料來源。若只需完成首次匯入，可返回快速上手依流程操作；本章則供核對欄位與更新行為時參考。

04 / GLOBAL ROUTING

Global Routing：了解三種流量處理方式

Global Routing 決定客戶端以哪一種整體原則處理流量。設定、代理、直連分別對應介面中的 Config、Proxy、Direct。它們不是三組伺服器，也不代表三種服務等級；變更此處的選項會改變請求是否參照規則，以及是否使用代理。開始調整規則前，請先確認目前的處理方式，否則同一份 Config 在不同模式下可能呈現不同結果，看起來就像規則沒有生效。

Config、Proxy、Direct 的適用範圍

需要精細分流時，通常選擇 Config。規則中的 PROXY 一般指向設定中定義或客戶端目前使用的代理策略；DIRECT 表示直接連線；REJECT 則用於拒絕符合條件的請求。規則中的策略名稱必須能在實際設定中找到對應項目，不能把任意備註當成有效策略。Proxy 可用於排除規則比對的影響，但無法修復密碼、TLS 或遠端服務錯誤。

Direct 也不能完全取代關閉客戶端後的基準測試，因為客戶端仍可能參與 DNS 等網路處理。若要判斷是否為系統網路本身異常，請先完整中斷連線，再連線至相同目標進行測試。對照時應使用相同網路、網址與接近的測試時間；不要一邊切換 Wi-Fi、一邊更改路由方式，否則難以判斷是哪項變更造成結果差異。

規則由上往下比對，先符合的規則先決定處理方式

規則檔中的順序會實際影響處理結果。較精確的網域條件通常應放在範圍較廣的條件之前，FINAL 則放在最後作為預設規則。以下範例用於說明語法與順序：指定的網域後綴走 PROXY、區域網路位址直接連線、GEOIP,CN 對應的位址直接連線，其餘流量交由 PROXY 處理。此範例不是適用於所有網路的完整設定，使用時仍須檢查自己的服務與策略定義。

[Rule]
DOMAIN-SUFFIX,example.com,PROXY
IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
GEOIP,CN,DIRECT
FINAL,PROXY

DOMAIN 用於比對指定網域；DOMAIN-SUFFIX 用於比對該網域及其子網域；DOMAIN-KEYWORD 會依網域中的關鍵字比對，涵蓋範圍更廣，也可能命中不希望納入的網站。IP-CIDR 與 IP-CIDR6 用於比對位址網段；GEOIP 依據位址歸屬資料，而非網頁語言或網站品牌。選擇規則類型時，應先確認「目前掌握的是網域還是位址」，不要只挑看起來最簡短的寫法。

網域規則、解析結果與連線記錄應一併檢查

同一個頁面可能載入多個網域，正文、圖片、登入與 API 不一定使用同一台主機。只為首頁網域新增規則後，部分資源仍採用其他策略並不少見。請從目前的請求記錄確認缺少的資源位址，再決定是否新增精確規則；直接用範圍很廣的關鍵字涵蓋整個頁面，雖然修改較少，卻可能將無關網域也納入代理範圍。

位址規則有時需要解析結果才能比對；範例中的 no-resolve 用於限制該位址規則主動觸發網域解析的行為，不代表關閉所有 DNS。DNS 快取、App 重複使用舊連線，以及目標使用多個位址，都可能影響觀察結果。修改規則後，請重新發出測試請求；必要時關閉目標 App 再重新開啟，避免依據修改前建立的連線判斷修改後的設定。

如果需求是「少數網站走 PROXY，其餘走 DIRECT」，請將指定網域條件放在前面，並以 FINAL,DIRECT 作為最後規則；這與上方的預設處理範例方向相反，不可同時照抄兩種結尾。完整案例請參閱DOMAIN-SUFFIX 與 FINAL 規則寫法。儲存設定後，請保留一份可正常運作的舊版；若發生錯誤比對，先還原再逐條縮小條件範圍。

05 / VERIFICATION

連線與驗證：從系統狀態到實際請求

確認伺服器資料與路由方式後，再開始首次連線。先在 Home 選取一台容易辨認的伺服器，確認 Global Routing 與測試目標相符，再開啟連線開關。首次連線時依系統提示完成授權。開關剛變更時不要立刻判斷失敗，請留一些時間讓連線建立並送出第一個請求，同時留意客戶端是否顯示明確錯誤；不要不斷開關，以免產生更多重新連線。

將驗證分成三個層次

第一層是系統是否成功啟動 VPN 設定；第二層是客戶端能否與選定的伺服器建立有效通訊；第三層是目標網站的實際請求是否如預期完成。前一層成功，不會自動保證下一層也成功。VPN 狀態存在但網頁無法開啟，可能涉及驗證、DNS、TLS、遠端出口或規則；開關立刻關閉，則應先檢查系統權限、設定是否能載入，以及 App 顯示的錯誤。

測試時，先選擇一個熟悉且可重複存取的一般網頁，再測試目前規則應走 PROXY 的目標。使用 Config 時，也應驗證一個預期走 DIRECT 的目標，確認並非所有請求都採用相同策略。網頁先前曾開啟，可能只是來自快取；建議重新整理並查看新請求。只看到快取的標題或圖片，不能證明目前網路已連線。

Connectivity Test 可以說明什麼

Connectivity Test 的結果取決於實際的測試方式。測得回應通常表示當時該測試請求取得了結果，但不代表所有協定功能、目標網站或長時間傳輸都正常。延遲低不等於傳輸量高；鏈路頻寬、壅塞、遠端負載與 App 存取時的實際路徑都可能影響使用體驗。不同測試方式得出的數值，不應直接混在一起排名。

請先從自己的既有伺服器中選擇少數項目，以相同方式重複測試，再開啟實際需要使用的網站。若某項測試失敗但網頁正常，請確認測試目標或方式是否受到限制；若測試成功但網頁失敗，則繼續檢查 DNS、規則與目標網站。數值的判讀限制請參閱延遲測試與伺服器選擇說明，不要只依單一數字判斷。

依錯誤所在層逐步排除

如果所有目標都失敗，請先中斷客戶端連線，確認基礎網路正常，再核對伺服器位址、連接埠與驗證資訊。遇到 TLS 錯誤時，應確認系統時間、憑證對應名稱與 SNI，不要直接略過驗證。使用依賴 UDP 的協定時，也要考慮目前網路是否支援 UDP；某個網路連線失敗不能直接證明資料錯誤，可在另一個允許使用的網路中維持相同參數進行對照。

如果只有一個網站異常，請優先查看該目標的規則與請求結果，不要先更換整份 Config。網站傳回的伺服器錯誤、帳號登入限制與地區內容差異，也不一定代表客戶端連線失敗。請分別記錄「無法建立連線」、「請求逾時」與「收到網站拒絕回應」；這三種情況各自指向不同的排查方向。

切換網路後重新測試

從 Wi-Fi 切換至行動網路時，舊連線可能需要重新建立，傳輸中的請求也可能中斷。請等系統網路穩定後再重新整理目標；若仍失敗，手動中斷並重新連線一次，再查看結果。不要在網路剛切換的幾秒內，同時修改伺服器、規則與 DNS，否則無法確認是哪項操作讓問題恢復，也難以穩定重現。

有效的驗證結果應能清楚描述：在某種網路下，使用某台伺服器與某種 Global Routing，對特定目標發出新的請求，並依預期策略收到回應。這樣的描述比一句「能用」更有參考價值。若排查後仍無法定位，可前往FAQ依故障類型繼續查閱，同時準備已去識別化的錯誤文字、網路類型與重現步驟；不要公開訂閱網址或完整伺服器憑證。

06 / DATA

Data：用流量與請求記錄釐清狀況

Data 用於查看客戶端處理過的流量與連線，不可取代伺服器端帳單。進入 Data 後，先確認目前介面顯示的是即時連線、請求記錄或彙總資料，並留意統計範圍。上傳、下載、連線數量與單次請求持續時間描述的是不同面向；若未先確認單位與範圍，容易將一段時間的累計數值誤讀成當下瞬間速度。

客戶端統計與訂閱用量可能不同

本機統計可能受到重新連線、清除資料、App 重新啟動與統計起點影響；伺服器端則依自己的週期與計費方式記錄。協定額外負載、失敗後重試，以及其他裝置共用同一服務，也可能造成兩邊數字不完全一致。因此，不能單憑本機下載量推算訂閱剩餘流量；剩餘用量應以原服務提供的記錄為準，客戶端統計主要用於了解本機的處理情況。

上傳與下載的方向通常以裝置為觀察基準：裝置向外傳送資料是上傳，接收內容是下載。開啟網頁不只有下載；DNS、TLS 交握、請求標頭與確認資料都會產生上傳流量，影片播放也可能包含預先快取。停止操作頁面後仍有少量流量，不一定代表異常；請先確認是否有背景 App、同步作業或持續連線。

從目標、策略與結果建立證據鏈

排查規則時，先從記錄中找到剛發出的目標請求，再查看可用的目標網域或位址、命中的規則、最終策略與連線結果。不同介面提供的欄位可能有所差異，請以目前記錄實際顯示的內容為準。目標欄位出現 IP 不代表網站沒有網域；App 可能直接使用位址、重複使用快取，或在客戶端可觀察的環節沒有保留網域資訊。

一個網頁通常包含多筆連線，不能只看最上方的一筆就判斷整個網站的策略。可在測試前關閉無關 App，記下明確的開始時間，再只重新整理一次目標頁面。若需要清除記錄，請先保存重要現象；清除記錄只能減少干擾，不會自動修復伺服器或 DNS。記錄減少後，再檢查失敗的資源是否與主頁使用不同網域或策略。

常見狀況的判讀方式

同一網域出現多個位址，可能來自負載平衡、不同的解析結果或多筆資源連線，不應立刻逐一新增固定 IP 規則。固定位址可能隨服務變更而失效，也可能影響共用該位址的其他網站。請優先使用能精確描述目標的網域規則；只有充分了解位址範圍用途時，才使用 IP-CIDR，並在修改後重新查看命中結果。

連線持續很久但流量很少，可能是等待事件的長連線；流量突然增加，也可能來自系統同步或 App 預先擷取。判斷是否異常時，應一併考慮發起的 App、目標與操作時間，而非只看連線持續時間或總流量。若停止某個 App 後狀況消失，重新開啟該 App 又能重現問題，這比盲目刪除規則更有助於找出原因。

逾時記錄表示請求未能在相應等待條件內完成，但原因可能出在本機網路、伺服器、目標網站或回傳路徑。驗證錯誤、解析失敗與逾時也應分開判斷。可使用上一章的分層方法，先確認基礎網路，再維持參數不變，對照另一台伺服器或另一種網路。Data 提供的是狀況證據，不會自動判定問題出在哪一方。

記錄的隱私與分享範圍

請求記錄可能揭露瀏覽網域、區域網路位址、使用時間與 App 行為。分享前只截取與故障直接相關的部分，並隱藏訂閱網址、驗證資料與私人目標。即使畫面沒有顯示密碼，完整的存取記錄也可能包含敏感資訊。不要為了尋求協助直接匯出整段記錄；通常提供目標類型、策略、錯誤文字與重現步驟，就足以開始排查。

記錄或詳細資訊所需的儲存與處理資源會隨數量增加。完成排錯後，請將記錄級別調回適合日常使用的設定，並依目前介面提供的方式清除不再需要的歷史記錄。清除前若要比較修改效果，請先記下兩次測試條件；否則只看後續較小的統計數字，無法證明新設定更有效。

本章的目的不是讓每筆請求都由人工檢查，而是在遇到問題時能整理出少量且可重現的證據。完成「發出一筆明確請求—找到對應記錄—解讀策略與結果」的完整流程後，就可以回到日常使用。若目標本應走 PROXY 卻命中 DIRECT，請回到 Global Routing 章節；若策略正確但仍失敗，則回到連線驗證章節。

07 / SETTINGS

Settings：依問題調整，不要整套套用

Settings 中的選項影響範圍各不相同，有些屬於 App 偏好設定，有些會改變網路行為，還有些設定也可能出現在 Config 檔案中。開始修改前，請記錄原值，確認目前啟用的設定，以及該選項是否由設定檔覆寫。不要把他人的設定截圖當成通用答案：網路環境、伺服器參數與規則目標不同，相同的開關組合可能產生相反結果。

DNS：先確認由誰負責解析

DNS 會將網域名稱對應至位址，解析結果會影響後續連線與位址規則。排錯時應區分「網域沒有取得可用結果」與「已取得位址但連線失敗」。若直接使用 IP 能完成相應測試，而網域請求失敗，才更有理由繼續檢查解析流程；同時也要考慮 HTTPS 的憑證名稱要求，不能把連線至任意 IP 的結果，直接等同於成功連線至原網站。

本機解析與透過代理連線至解析服務，使用的路徑不同；實際採用哪種方式，須依目前 Config 與設定判斷。修改 DNS 後請重新發出請求，並留意快取與舊連線。不要一次加入大量解析伺服器，期待問題自動解決；應先確認各位址的用途、網路可達性與設定語法，再保留足以說明原因的最少變更。

加密 DNS 保護的是相應的解析路徑，不代表所有 App 連線都會改走代理，也不能取代 TLS 對目標連線的保護。區域網路中的內部網域可能依賴目前網路提供的解析服務，任意改用外部解析可能導致內部資源無法使用。在公司、校園或家庭儲存環境中，請分別測試內部網域與一般網站，不要只測試一個公網目標。

On Demand：分開理解自動觸發與路由

On Demand 用於依條件觸發連線行為；Global Routing 則決定連線後如何處理請求。設定自動連線不會自動產生分流規則，關閉某條規則也不一定會關閉 On Demand。首次使用時，請先完成手動連線驗證，再新增一個容易理解的觸發條件，例如針對指定 Wi-Fi 網路設定行為；不要同時疊加多組條件，再猜測究竟是哪一組生效。

如果手動關閉後又自動連線，請先檢查 On Demand 與系統相關的自動連線狀態，不要立刻重新安裝 App。若有多個網路條件，請逐項查看各條件的比對範圍與順序；Wi-Fi 名稱須與目前網路相符，行動網路條件則應在實際切換後驗證。更多範例請參閱On Demand 自動連線設定。

TLS、UDP 與 IPv6 的調整範圍

遇到 TLS 相關問題，請優先確認系統時間、SNI、伺服器憑證與傳輸參數。關閉憑證驗證會改變安全性範圍，不應作為一般的加速方式或通用修復方法。伺服器更換網域後，舊的 SNI 或憑證名稱可能不再適用；應回到原始資料更新，而不是保留舊參數並一再放寬檢查。設定中的伺服器位址與 TLS 名稱不一定相同，但都必須符合伺服器端的明確要求。

UDP 是否可用同時受到協定功能、伺服器端設定與目前網路影響；客戶端開啟某個選項，不會讓所有網路自動具備 UDP 通道。IPv6 也不只是獨立開關：裝置、解析結果、網路出口與規則都可能影響連線。若只有解析出 IPv6 位址的目標異常，請先保存相關記錄並進行有控制的對照，避免將所有連線問題都歸因於 IPv6。

MTU 等參數會影響封包大小與傳輸路徑，首次設定時通常不應任意調整。只有在特定網路中出現可穩定重現的傳輸問題，且有相應依據時，才逐步測試。每次只變更一個值，並記錄修改前後的網路與目標；任意套用網路上的固定數值，可能暫時改變問題表現，卻影響其他連線。

分別記錄 App 偏好與網路設定

顯示、排序與測試偏好主要影響操作體驗；DNS、路由與連線相關設定則會直接影響請求。建議分別記錄這兩類變更。整理清單時修改備註，與修改伺服器位址是不同性質的操作；排錯時先檢查最近變更的網路項目，再考慮介面偏好。不要因清單順序改變，就認定伺服器資料遭到重設。

若目前介面中找不到某個選項，不要在其他頁面勉強尋找同名開關；先確認它是否屬於目前 Config 的參數或伺服器詳細設定。不同平台與介面的選項編排可能不同，本手冊不將固定位置視為唯一依據。能說明設定的作用、影響範圍與還原方法，才算完成調整；不只是把開關改成與他人相同的狀態。

08 / MAINTENANCE

日常維護：保留有效設定與故障記錄

穩定使用後，維護重點不是頻繁修改設定，而是了解哪些資料會變動、哪些內容需要備份，以及故障時如何回到已知可用的狀態。伺服器清單、Config、App 偏好與系統 VPN 權限屬於不同層次，任何一層變更都可能影響使用體驗。養成簡單的維護習慣，有助於避免將服務到期、訂閱更新與規則修改混在一起處理。

分別確認訂閱更新與設定更新

更新 Subscribe 後，先確認是否成功取得內容，以及常用伺服器是否遭到刪除或重新命名。不要只依清單項目數量判斷更新品質：原服務可能調整伺服器安排，而本機保留的舊項目也可能仍會顯示。若更新後無法連線，請先確認目前選取的項目是否仍為有效伺服器，再檢查驗證參數與服務狀態，不必立刻重設整個 App。

更新 Config 可能變更規則、DNS、策略名稱或其他設定，影響範圍比單純更新伺服器清單更廣。更新前請保存目前可正常運作的副本；更新後先用幾個固定目標驗證 PROXY、DIRECT 與區域網路行為。若策略名稱有變，原先關聯的選項也可能需要重新確認。自動更新能減少手動操作，但無法取代對重大設定變更的了解。

備份應標明用途與敏感資料範圍

至少要清楚知道目前使用哪一份 Config、常用伺服器來自哪個既有訂閱，以及曾進行哪些本機修改。依目前介面提供的匯出方式儲存時，請確認檔案是否包含伺服器密碼、訂閱網址、金鑰或其他驗證資料。設定檔即使是純文字，也可能與帳號密碼一樣敏感，不應放在公開目錄或公開分享。

備份名稱宜標明用途，例如「日常分流」、「除錯前副本」，不要只用容易混淆的數字命名。還原時先匯入副本，檢查其中引用的策略與伺服器是否仍存在，再手動建立連線。舊備份中的伺服器端參數可能已失效，因此「成功匯入」不代表「還原後一定可用」；仍須依連線驗證章節重新測試。

App 更新、更換裝置與重新安裝

iPhone / iPad 的 App 更新透過 App Store 處理；重新取得時，請先查看原購買帳號的已購項目。iPhone / iPad 版在 App Store 一次性付費 $2.99；Mac / Windows / Android / Linux 版免費。這兩種客戶端取得方式不會改變連線服務的獨立性。更換裝置前，請先儲存自己的設定與訂閱資料；不要假設安裝 App 後所有本機內容都會自動出現。

電腦與 Android 需要更新時，請從下載頁重新取得相應平台的安裝檔，並依安裝授權說明處理系統提示。Mac 更新仍須區分 Apple 晶片與 Intel；Linux 則選擇適用於目前發行版的套件格式。更新前請關閉客戶端並儲存本機修改；更新後先確認舊設定是否保留，再匯入必要資料，避免重複建立多份相同內容。

建立一份可重現的故障描述

故障記錄可整理為五項：發生時使用的網路、選取的伺服器、Global Routing、受影響的目標類型，以及客戶端顯示的錯誤。再補充最近是否更新 Subscribe、Config 或 App，以及關閉客戶端後基礎網路是否正常。這些資訊能明確指出排查方向，比「突然不能用」更容易分辨是權限、資料、路由或遠端服務問題。

依固定順序檢查：先確認基礎網路，再確認伺服器有效性，接著檢查目前設定與命中策略，最後才查看進階設定。暫時切換至 Proxy 有助於排除規則影響，但測試結束後應恢復日常使用的路由方式。若必須多次切換網路才能偶爾成功，請記錄每次的測試條件，不要只保留成功的那次；間歇性故障尤其需要對照資料。

• 可重現：相同條件下反覆出現時，優先縮小變更與目標範圍。
• 僅在特定網路出現：維持參數不變，對照其他允許使用的網路。
• 只在更新後出現：還原上一份有效設定，再逐項比較差異。
• 只在特定目標出現：查看目標請求與策略，不要先重設所有資料。

清理與還原的完成標準

長期未使用的獨立伺服器與重複設定可以清理，但請先確認是否有策略仍引用這些項目。刪除前保留必要備份，刪除後重新驗證常用情境。若訂閱產生的項目會在下次更新後重新出現，應從來源管理的角度處理，而非反覆手動刪除。停止使用某項服務時，也應清除其中的憑證副本與不再需要的 QR Code 圖片。

成功還原的標準不是清單恢復原樣，而是在明確的網路條件下重新完成目標請求，並能說明其路由方式。確認正常後，關閉臨時的詳細記錄，恢復日常所需的 On Demand 條件，並保留最終有效的 Config。日後遇到同類問題時，先沿用這套檢查順序；需要精簡流程時，請查閱快速上手；需要具體問答時，請查閱FAQ，不要每次都從刪除所有設定開始。