状态栏出现 VPN，只说明系统通道已经建立。它不保证眼前这个网站该走隧道，也不保证你选中的那条节点还活着。很多人把「亮着」当成成功，于是一出问题就重装、改加密、同时拧五个开关。更省事的做法是先把三种姿态分清，再按固定顺序拨。
顺序是：先选中节点，再选模式，最后拨开关。未选中就拨，连上的可能是旧条目，或什么都没连上。导入成功也不等于当前选中的那一条能用。进入订阅点更新，或在首页下拉；对几条做连通性测试，看延迟和能否握手，不是广告里的峰值网速。超时或失败的先不用。点一下能握手的那条，确认处于选中态，再谈模式。
配置：日常应当停在这里
「配置」按规则分流：该走隧道的走，该留在本地的留。日常默认应当是它。省电，也少误伤国内 App、银行、局域网打印和系统更新。不少订阅会附带规则。两套地图叠在一起，是「越改越慢」的常见原因。能稳定上网之后再碰设置；订阅若已带规则，先观察几天。
某个站不该直连却直连了：先切「代理」验证。能开，就回到「配置」补一条，并记下改过什么，方便回滚。不要为这一个站长期停在全局。规则怎么补、DNS 怎么填，教程第 06 节有对照。优先用服务方写在说明里的 DNS。空着或跟系统走，通常也比随便填公共 DNS 更安全。乱填会导致分流判断错：开关亮着，偏偏这个站出不来。
代理：排查用，不是默认
「代理」接近全局，流量尽量进隧道。适合两件事：确认节点本身能不能用；确认某个域名是不是被规则漏掉了。新手上路不要一上来就停在这里。全天代理会把视频、系统更新、本地服务全挤进一条节点，又慢又耗电。发热往往不是「客户端有病」，而是节点差或长期全局。
排查时只改这一处：从配置切到代理，看眼前的问题是否消失。消失了，回到配置补规则。没有消失，换一条刚测过的节点，或把节点名和大致时间交给服务方。不要在代理模式下同时开 MITM、乱改端口、叠好几套加密 DNS。
直连：用来对比，也可以停在这里
「直连」等于把仪器关掉。它回答一个更底层的问题：手机本身能不能上网。Wi-Fi 认证页、运营商故障、飞行模式没关，都会让人误以为是 Shadowrocket 坏了。先切直连。直连都打不开，先修网络，不要先改客户端。
用完可以停在直连。不必整天开着。主屏幕小组件只能快捷拨开关，不能代替「先选节点再选模式」。换 Wi-Fi 或蜂窝时若突然不能用，先测几条节点，再查权限。
怎样算连上了
三句都要能说清：开关亮着；延迟可接受；你知道眼前这个 App 该走隧道还是该直连。缺一句，先切直连对比，再换节点，不要先改加密。只有个别 App 不行，同样用代理验证，确认后再改规则，不要先重装。
特别耗电：改回配置，不用时切直连，避开明显丢包的节点。更新 iOS 后不能用：删掉旧 VPN 配置，回应用重新允许。界面或签名不像正版：卸掉，只从 App Store 重装，不要修破解包。
对照步骤在 教程 第 05、08 节。词的含义见 术语。还没有正版应用，先去 下载。
一次只动一处，是为了能回滚
连不上时最糟的习惯是同时改模式、换节点、改 DNS、开 MITM、再重装。五件事叠在一起，你无法知道是哪一件起了作用，也无法把局面退回「刚才还能用」的那一格。正确的分层是：先直连看手机本身；再确认 VPN 权限还在；再更新订阅并换一条刚测过的节点，模式放回配置；仍不行，才切代理做一次对照。代理能开，动规则；代理不能开，把现象交给服务方，而不是继续拧客户端里的高级开关。
MITM、IPv6、UDP、DoH 这些选项各自有用处，但它们几乎救不了「节点挂了」或「订阅过期」。那两件事只能找服务方。把维修舱当默认配置，只会让下次排障更难读。先把三种姿态用稳，再考虑这些开关，也不要同时打开好几套。