Shadowrocket TUN 模式怎么开？按当前界面完成连接与验证
简答：先选择节点，回到 Shadowrocket 首页打开连接开关；首次弹出 iOS VPN 或网络扩展授权时点击允许。若当前版本提供 TUN、隧道或快捷指令入口，再按界面开启；如果只有“代理类型”或“None”，不要直接把它认定为 TUN，先连接后用请求记录和实际网络测试验证。
定义：Shadowrocket TUN 模式通常是指应用借助 iOS 的 VPN 或网络扩展处理设备网络流量，但具体入口、路由范围和配置名称会随应用版本及配置变化。
先试这三步：选择节点、连接授权、验证流量
本文为第三方使用指南，不代表 Shadowrocket 官方。先记住最短路径：选择节点 → 回到首页打开连接 → 完成 iOS 授权 → 查看请求记录并实际测试。Shadowrocket 的 App Store 页面说明，它可以捕获设备上部分 HTTP、HTTPS 和 TCP 流量并重定向到代理服务器，也支持记录 HTTP、HTTPS 和 DNS 请求；这能说明应用具备系统网络处理能力，但不能据此证明所有版本都存在同名的独立 TUN 开关，或所有应用流量都会被接管。查看 App Store 应用说明与版本记录
- 选择节点或配置：打开 Shadowrocket，在服务器、配置或策略列表中选择已经导入的节点。没有可用配置时，单独打开连接开关不能替代节点配置。
- 打开首页连接：返回应用首页，打开连接开关。首次使用时，iOS 可能弹出添加 VPN 配置、允许网络扩展或相关系统授权提示；确认提示来自系统和当前应用后，点击允许并按设备要求完成验证。
- 检查是否产生流量：先看 Shadowrocket 首页是否显示已连接，再打开请求记录或日志，访问一个普通网页，最后测试此前不通的目标 App。若系统显示 VPN 状态，可作为辅助信号；如果没有显示，也不要仅凭这一点判定连接失败。
Apple 的 Network Extension 文档说明，iOS 应用可以通过 VPN、Packet Tunnel 或 App Proxy 等网络扩展处理不同范围的流量；具体是全量、按路由还是按应用处理，取决于应用的网络扩展实现和路由配置。Apple：Network Extension 框架说明
找不到 TUN 开关：按你看到的界面分支操作
“首页连接开关”“TUN/隧道入口”“代理类型 None”和“全局路由”不是同一个概念。首页开关负责启动或停止当前连接；TUN 或隧道入口属于应用可能提供的网络接管方式；代理类型是某个配置页面中的选项；全局、规则或直连则主要影响哪些请求使用代理。下面按界面分支处理，避免把旧教程直接套到当前版本。
| 当前界面看到的内容 | 可以怎么做 | 验证标准 |
|---|---|---|
| 有 TUN、隧道或类似入口 | 先记录原设置，按当前页面说明开启，再回到首页重新连接 | 首页已连接、请求记录出现访问目标、网页和目标 App 均完成复测 |
| 没有独立 TUN，但有首页连接开关 | 选择节点后直接打开首页连接，完成系统授权，不要继续寻找不存在的固定菜单 | 请求记录出现新请求，普通网页可访问，目标 App 按规则完成测试 |
| 看到“设置 → 代理 → 代理类型 → None” | 这是部分旧版或特定界面可能出现的版本相关路径；可作为单项测试，但不要把 None 当作通用 TUN 开启方法 | 切换前后分别连接，比较请求记录、目标 App 和 DNS 结果 |
| 看到快捷指令或自动化中的 TUN 操作 | 可以查看当前系统是否提供 Shadowrocket 的 TUN 切换动作，再按快捷指令提示执行 | 执行后回到应用首页确认连接状态，并重新查看请求记录 |
App Store 的公开版本记录中出现过“通过快捷指令切换 TUN 模式”的功能描述，这只能证明某些版本曾提供相关自动化能力，不能证明每台设备的主界面都有独立 TUN 开关，也不能证明“None”必然等于 TUN。核验时间为 2026-11-04，当前设备仍应以应用实际界面和应用内说明为准。查看 Shadowrocket 当前公开版本记录
如果界面有“代理类型 None”，怎样安全测试
先说结论：目前检索到的公开官方资料不足以证明“代理类型 None”在所有 Shadowrocket 版本中都等同于 TUN，因此不能把它写成通用开启步骤。若你的当前界面确实存在这个选项，可以把它当作一个版本相关配置进行对照测试，而不是直接认定已经启用系统级流量接管。
- 先记下当前代理类型、路由模式、规则配置和节点名称，必要时截图或导出配置。
- 只修改代理类型这一项，不要同时修改 DNS、规则和 UDP 设置。
- 保存后回到首页，关闭再重新打开连接开关，等待连接状态稳定。
- 访问普通网页，查看请求记录中是否产生新的 HTTP、HTTPS 或 DNS 请求。
- 再测试此前不通的目标 App，并观察目标域名是否出现在请求记录中。
- 如果没有改善，恢复原代理类型，不要继续叠加其他高级参数。
如果切换后首页显示连接，但请求记录没有新增目标请求，不能据此确认 TUN 生效。可能是当前规则将请求直连、目标 App 使用了未被当前配置处理的连接方式，或应用没有接收到该流量；这些都需要通过单项修改和复测进一步确认，而不是从“已连接”三个字直接推断。
全局路由、规则和 TUN 分别解决什么问题
可以用下面的关系理解：TUN 或网络扩展决定流量能否进入应用处理范围；全局、规则和直连决定进入后采用哪种策略；首页连接开关决定当前配置是否实际运行。三者缺一时，表现可能不同。
- 首页连接关闭：无论规则如何设置，当前连接通常都没有启动。
- 首页已连接但规则直连：目标请求可能仍然不经过代理，这属于策略结果，不一定代表 TUN 失败。
- 有 TUN 或隧道入口但没有节点：网络扩展可能已经启动，但没有可用的上游配置，仍然无法完成访问。
- 切换到全局用于定位：可以临时测试目标 App 是否受规则影响；测试结束后应恢复原来的规则模式。
Apple 文档说明，Packet Tunnel 可以通过包含或排除路由来决定哪些 IP 流量进入隧道；如果包含默认路由，未被更具体规则匹配的网络流量可以进入 VPN，但应用仍可能设置例外或使用不同的网络连接方式。Apple：VPN 网络流量路由
按现象排查：未授权、无请求、部分 App 不通和 DNS 失败
1. 未授权或无法连接
- 确认已经选择节点或配置。
- 回到首页重新打开连接开关。
- 如果系统弹出授权提示，完成允许操作；如果没有弹出，先查看首页是否已经处于连接状态。
- 若设备同时运行其他 VPN、网络过滤或代理应用，先暂停其中一个，再重新连接，避免多个网络扩展同时竞争。
如果仍无法连接，先保留原配置，不要立即删除配置或修改 DNS。可以关闭当前连接、重新打开应用，再用同一个节点复测。
2. 显示已连接但没有请求记录
- 打开请求记录或日志页面。
- 用浏览器访问一个普通网页，而不是只打开目标 App。
- 等待几秒后刷新记录，确认是否出现新的 HTTP、HTTPS 或 DNS 请求。
- 仍无记录时，关闭连接再重新开启；如果应用提供配置重置，先备份配置再使用。
3. 只有部分 App 不通
- 在请求记录中搜索目标 App 可能访问的域名或新出现的请求。
- 如果请求出现，检查规则结果是否为直连；可以临时切换单条规则或临时使用全局策略进行定位。
- 如果请求完全不出现，先确认首页连接、系统授权和当前配置状态，再判断该 App 的网络连接是否属于当前配置能够处理的范围。
- 测试完成后恢复原规则，避免把全局模式长期当成故障修复。
4. DNS 失败或网页提示无法解析
- 先不要同时修改多个 DNS 字段。
- 恢复到当前配置原本使用的 DNS 或应用默认设置。
- 分别测试一个已知可访问域名和目标域名，比较是全部域名失败，还是只有特定域名失败。
- 如果恢复默认 DNS 后仍失败，再查看节点连接和请求记录，不要仅凭 DNS 页面判断 TUN 是否开启。
5. UDP 应用异常
先确认目标应用是否确实依赖 UDP，再查看当前节点和配置是否有相关支持说明。不要因为打开了 TUN 就推断 UDP 一定可用；如果只是普通网页和 TCP 连接，通常先完成基础连接、规则和 DNS 验证，不必一开始修改高级 UDP 参数。
验证结果与回滚：确认有效后再保留设置
建议采用“连接状态—请求记录—实际应用—回滚”四段式检查：
- 连接状态：确认首页显示已连接，并记下当前节点和配置名称。
- 请求记录：打开普通网页，确认记录中出现新的请求；再检查目标 App 是否出现对应域名或连接记录。
- 实际应用：测试一个普通网页、一个此前不通的目标 App，再测试一次切换规则后的结果。
- 回滚：关闭首页连接开关，恢复原代理类型、路由和规则，移除临时测试项，最后重新连接确认恢复。
如果系统显示 VPN 状态，可以作为辅助信号；不同 iOS 版本、设备状态和界面可能展示不同，因此不要把状态栏图标作为唯一判断。Apple 的资料也区分了应用网络扩展、Packet Tunnel、App Proxy 和配置描述文件等机制；看到“VPN 与设备管理”中的配置描述文件时，不要不确认来源就直接删除，因为描述文件可能关联其他设置。Apple：在 iPhone 上安装或移除配置描述文件
最稳妥的结论是：如果当前版本有明确的 TUN 或隧道入口，就按该页面开启并重新连接；如果只有首页连接开关，就先完成节点选择、系统授权和流量验证；如果看到 None，只能按版本相关选项进行对照测试，不能把它当作所有版本通用的 TUN 开启方法。
常见问题
Shadowrocket 有独立的 TUN 开关吗？
不能把它视为所有版本都存在且位置固定的开关。公开 App Store 版本记录中出现过快捷指令切换 TUN 的功能描述，但这不能证明当前设备主界面一定有同名入口。请先查看当前应用界面，再通过请求记录和实际网络测试确认。
Shadowrocket 里的 None 是不是 TUN？
目前公开官方资料不足以证明 None 在所有版本中都等同于 TUN。某些旧版或特定界面可能出现“设置 → 代理 → 代理类型 → None”的路径，但应把它视为版本相关测试选项，切换后必须重新连接并比较请求记录和目标 App 结果。
打开连接后没有 VPN 图标，是不是没有生效？
不一定。不同 iOS 版本、设备状态和系统界面可能显示不同。优先查看 Shadowrocket 首页连接状态、请求记录和实际网页测试，系统 VPN 提示只作为辅助信息。
为什么网页能打开，某个 App 仍然不通？
先查看请求记录中是否出现该 App 的请求，再检查规则是否将目标域名或网段判为直连。如果记录中没有目标请求，还要确认当前配置是否覆盖该连接类型；不要仅凭首页显示已连接就认定所有 App 都会走同一路径。
需要一开始就修改 DNS、UDP 或高级配置吗？
不需要。先完成节点选择、首页连接、系统授权和请求记录验证；只有确认是 DNS、规则或 UDP 方向的问题后，才单独修改一项并保留回滚方式。
常见问题
Shadowrocket 有独立的 TUN 开关吗？
不能视为所有版本都存在且位置固定的开关。公开版本记录出现过快捷指令切换 TUN 的功能描述，但当前设备是否有主界面入口仍需以应用实际界面为准。
Shadowrocket 里的 None 是不是 TUN？
目前公开官方资料不足以证明 None 在所有版本中都等同于 TUN。部分旧版或特定界面可能出现该选项，但应只作为版本相关测试，并通过请求记录和实际网络测试确认。
打开连接后没有 VPN 图标，是不是没有生效？
不一定。优先查看首页连接状态、请求记录和实际网页测试，系统 VPN 状态提示只能作为辅助信息。
为什么网页能打开，某个 App 仍然不通？
先查看目标 App 的请求是否出现在记录中，再检查规则是否判为直连；如果没有请求，还要确认当前配置是否覆盖该连接类型。
需要一开始修改 DNS、UDP 或高级配置吗？
不需要。先完成节点选择、首页连接、系统授权和请求记录验证，确认具体问题后再单独修改一项并保留回滚方式。