小火箭开关打开却上不了网:服务器、Global Routing、DNS、规则四步排查

排查准备：先区分隧道、服务器与网页请求

不要先删除应用或重建全部配置。VPN 标识、服务器延迟和网页加载分别反映不同环节：系统接受了 VPN 配置，不代表远端服务器完成了协议认证；延迟测试有返回，也不代表网页所用的域名、端口和规则路径都正确。先确认具体症状，再决定改哪一层。

这条流程用于定位检查环节，不表示所有连接都必须先完成 DNS 才能匹配规则。域名规则可以直接按主机名判断，而 IP 类规则可能涉及解析结果。本文操作以 iPhone / iPad 界面为例；开始前记录 Home 当前选中的服务器、Global Routing 值，以及 Config 中正在使用的配置文件。

• 关闭连接开关，访问一个当前网络通常能直连的网站。仍打不开时，先处理 Wi-Fi 登录、移动数据权限或基础网络故障。
• 选择一个实际需要代理的目标作为复测对象，每次使用同一地址；不要用不同网站之间的表现代替前后对照。
• 保留当前配置副本。截图或记录可用于自己回看，但向他人求助前应遮住订阅地址、认证信息和密钥。

第一步：确认选中的服务器真正可用

进入 Home，确认圆点选中的是准备测试的服务器，而不是只展开了某个订阅分组。打开连接开关后执行 Connectivity Test，记录测试是否完成及提示内容。这个测试只证明当次测试目标的连接情况，不能替代所有网站的验证，也不能单独判定 DNS 或规则一定正确。

1. 核对选中项

   在 Home 查看当前圆点位置与服务器名称。若配置使用策略组，还要核对组内实际选中的成员；Home 的默认选择不一定覆盖配置中写明的固定策略。

2. 执行连接测试

   在 Home 执行 Connectivity Test，然后访问同一个复测地址。记录测试与网页各自是否成功，避免把单纯的延迟数值当成网页已可访问的证据。

3. 核对连接字段

   打开该服务器的编辑页，对照自己的原始配置检查 Type、地址、端口和认证信息。Trojan、VLESS 等类型还需按原配置核对 TLS 与传输参数；不能只凭服务器名称判断类型。

4. 更新已有订阅

   使用 Home 中该订阅的更新操作，确认更新成功后再选中条目测试。更新失败时保留原有配置，向自己的服务商确认订阅是否有效，不要反复删除后重新添加。

端口必须按用户已有配置填写，不能一律改成 443。Shadowsocks、VMess、VLESS、Trojan、Hysteria2、WireGuard 的认证和传输字段不同，改换 Type 不会自动转换配置。若服务端要求 UDP，而当前网络限制 UDP，也不能通过改一个端口就推断问题已解决。

以上是网络日志中可能出现的原文关键词，并非所有故障都会显示这些提示。应以设备当次记录为准，不要根据文章示例补写自己的诊断结果。

第二步：用 Global Routing 隔离分流问题

进入 Home → Global Routing，先看当前值，再做临时对照。Proxy、Direct、Config、Scene 不是四个服务器名称，而是决定流量如何选择路径的姿态。Direct 本身不是故障：目标本来可以直连时，它应当正常；目标需要代理时，停在 Direct 才可能与访问需求不符。

• Proxy：用于临时检查代理路径。若同一目标在 Proxy 下能打开、在 Config 下失败，应优先检查规则与策略选择，而不是立刻改服务器凭据。
• Direct：用于对照直连路径。若关闭隧道能访问，而开启后用 Direct 仍失败，需要进一步检查隧道内的 DNS、网络设置及连接记录。
• Config：按当前配置执行分流。必须同时确认 Config 中启用的是哪份文件，不能只检查 Global Routing 这一项。
• Scene：依赖已设置的场景条件与对应行为。排查时先记录当前场景，临时切到明确的 Proxy 或 Config 做对照，避免条件变化干扰判断。

第三步：区分 DNS 解析失败与连接失败

DNS 把域名转换为可连接的地址。如果连接记录还没得到目标地址就报错，优先检查解析；如果已取得地址、随后连接超时，则应继续检查目标可达性、服务器出站和规则。单凭浏览器显示“无法打开网页”，无法区分这两种情况。

1. 在失败后立即查看连接记录或日志，找到同一时段、同一域名的条目。不要拿其他应用的后台请求代替当前测试。
2. 在 Settings 中检查 DNS 相关设置，同时在 Config 中检查当前配置是否包含 [General] 下的 dns-server 或 [Host] 静态映射。配置内的指定值可能是排查关键。
3. 若刚添加自定义 DNS，先记录原值，再恢复到修改前的已知可用设置。不要一次同时更换 DNS、服务器和路由姿态，否则无法判断是哪项产生作用。
4. 若使用加密 DNS，确认 DNS 服务自身的域名、网络路径和 TLS 连接也能建立；“用了加密 DNS”并不自动等于该解析服务可达。

不要把“直接输入网站 IP 能打开”当成通用 DNS 测试。HTTPS 证书校验和 SNI 依赖域名，许多网站还使用共享地址或 CDN；用 IP 访问失败并不能证明该 IP 不通。应结合日志中的解析结果和连接阶段判断，而不是通过绕过域名得出结论。

第四步：按规则顺序检查命中与出站

确认服务器与 DNS 后，进入 Config 查看当前启用文件的 [Rule]。规则通常按从上到下的顺序匹配，前面的宽泛规则可能遮住后面的具体规则。查看失败请求的连接记录，核对目标域名或 IP、命中的规则，以及实际采用的策略；只看规则文件里“写过这个域名”还不够。

[Rule]
DOMAIN-SUFFIX,example.com,PROXY
IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
GEOIP,CN,DIRECT
FINAL,PROXY

这段代码仅用于说明语法，不是可直接替换现有文件的完整配置。example.com 是示例域名；实际代理出口仍取决于当前配置与策略选择。改动前保存原文件，并确认使用的策略名称在当前配置中有效。

• DOMAIN-SUFFIX,example.com,PROXY：匹配该域名及其子域名。网页涉及多个资源域名时，只添加主站域名不保证全部资源走相同路径。
• IP-CIDR,192.168.0.0/16,DIRECT,no-resolve：匹配示例私有地址段；no-resolve 表示不为这条 IP 规则额外触发域名解析，不是关闭全部 DNS。
• GEOIP,CN,DIRECT：按 IP 地理数据库结果判断，不是根据网页语言或域名后缀判断。解析结果与数据库内容都会影响是否命中。
• FINAL,PROXY：处理前面未匹配的连接。若实际使用 FINAL,DIRECT，未被具体规则覆盖的目标就可能走直连；应根据原有分流意图判断，而非统一改成某个值。

仍未恢复：按现象继续缩小范围

四步检查后仍不通，把结果整理成“基础网络是否正常、当前服务器、Global Routing 值、失败域名、日志关键词”这五项。分享前移除敏感信息。若只有某一网络失败，优先比较网络条件；若所有网络都失败且配置字段一致，再向自己的服务商确认服务状态。