翻墙 App 常见问题 (FAQ) 知识库

从技术原理来看，传统 VPN（如 OpenVPN、WireGuard）主要设计用于企业远程安全加密组网，会将设备的全局网络流量无差别通过加密隧道发送；而现代翻墙 App（如 Shadowrocket、Clash、v2rayNG、sing-box 等）主要是“基于分流规则的代理客户端”，具备精细的域名与 IP 路由能力。代理客户端可以自动识别访问目标：国内网站（如百度、淘宝、微信）直连不消耗流量，海外受限网站（如 Google、YouTube、GitHub）走代理，兼顾了访问速度与本地网络体验。

这是新手最容易遇到的认知误区。Shadowrocket、v2rayNG、Clash 等工具本身只是“网络客户端/连接器”，就如同网页浏览器本身不提供网页内容一样，客户端内部默认是空的，不包含任何可用的海外代理服务器。要让它们正常工作，你必须通过“订阅链接”或手动配置将有效的节点服务器导入客户端中，连接到可用节点后才能正常访问外网。

由于应用商店的地区合规政策，Shadowrocket、Quantumult X 等网络代理客户端已在中国大陆区 App Store 下架。中国大陆用户若需下载，需要注册或切换至非大陆地区的 Apple ID（如美区、日区、港区或台区），并在对应地区商店中搜索购买下载。切记：不要在 iPhone 的“设置-iCloud”中登录他人陌生账号，只能在“App Store”应用内切换登录。

订阅链接是一串由网络服务商或自建管理面板提供的加密 URL 地址。客户端访问该 URL 时，会自动拉取并解析最新的节点服务器列表、加密方式、端口与分流规则。在 Shadowrocket、Clash Verge 或 v2rayNG 中，只需找到“添加/订阅”按钮，选择类型为 Subscribe/URL，粘贴该链接并点击更新，即可一次性同步数十个甚至上百个可用节点。

【规则模式 (Rule / 绕过局域网及大陆)】是日常最推荐的模式。客户端会根据内置的规则列表（GeoIP / 域名分流）进行智能判断：国内流量直连（延迟极低且节省节点流量），国外受阻网站走代理节点。【全局模式 (Global)】则将整台设备的所有对外流量全部强制走代理，适合某些规则未覆盖的冷门外网服务或需要固定单一海外 IP 的场景，但会导致国内应用变慢或显示海外登录地。

对于追求轻量、稳定、低功耗的新手用户，首选【v2rayNG】（完全开源免费，操作简单，支持分应用代理）；对于喜欢现代化美观 UI 且同时在电脑和手机上使用的用户，推荐【Hiddify】或【FlClash】；对于追求新一代高性能协议（如 Hysteria2、TUIC）的极客，可选择官方【sing-box】。建议从 GitHub Release 官方发布页或 Google Play 下载官方安装包。

目前 Windows 平台最主流、社区维护最活跃的客户端是【Clash Verge Rev】。它基于开源的 Mihomo (Clash Meta) 核心开发，原生支持 Windows 10/11，具备一键系统代理开关、TUN 虚拟网卡模式（可完美代理游戏与命令行终端）以及直观的中文界面。除此以外，跨平台的 Hiddify 和 FlClash 也是优秀的备选方案。

Mac 用户推荐使用【Clash Verge Rev for macOS】或【Hiddify】，它们均已提供针对 Apple Silicon (M1/M2/M3/M4) 原生架构的 DMG 安装包，运行效率高且功耗极低；对于有专业抓包、策略调试或多网卡分流需求的专业开发者，商业软件【Surge for Mac】是行业标杆。下载安装时务必根据自己的 Mac 芯片类型选择 arm64（M系列）或 x64（Intel）版本。

排查顺序如下：1. 检查当前本地网络是否畅通；2. 确认服务商的订阅域名是否被当地宽带 DNS 污染或阻断，尝试开启已有节点后再更新订阅；3. 检查订阅链接是否复制完整，前后是否带有多余空格；4. 登录服务商后台确认订阅套餐是否到期、流量是否耗尽或服务商是否更换了订阅转换域名；5. 尝试关闭电脑上的第三方杀毒防护软件后再试。

请按以下 4 步排查：1. 节点连通性测试：在客户端内对节点进行测速，若所有节点均显示 Timeout 或 -1ms，说明节点配置失效或被封锁；2. 系统时间校准：检查设备系统时间是否精准到秒级，时间偏差超过 90 秒会导致 VMess/VLESS 握手失败；3. 系统代理开关：Windows/Mac 需确认客户端内的“系统代理 (System Proxy)”已开启；4. 模式切换：将模式从“规则”临时切为“全局”测试是否为分流规则误拦截。

现代主流开源客户端（如 v2rayNG、sing-box、Clash Verge Rev）的代码公开在 GitHub 上，经过社区大量审查，本身不会窃取用户敏感数据。此外，如今互联网绝大多数网站均采用 HTTPS 加密通信，即便流量经过代理节点，节点服务器也只能看到你访问的目标域名与 IP，无法解密银行密码、账号凭证等端到端加密内容。但切记不要在手机上随意安装未经验证的“破解版”或非官方自签根证书。

警惕以下特征：1. App Store 上开发者名称与官方不符、名称带有“Shadowrocket Pro / Clash VPN VIP”等误导性字样的山寨应用；2. 安装后强制索要大量不相干权限（如通讯录、短信、相册读取权限）；3. 要求用户手动在系统设置中信任未知第三方根证书 (CA Certificate)；4. 强制弹窗诱导预付高昂年费但无法试用的软件。请务必认准官方 GitHub Releases 或官方开发者认证链接。

TUN 模式是通过在操作系统内核层面创建一张虚拟网卡，将整机所有网络流量（包括不遵循系统 HTTP 代理设置的软件、终端命令行、跨国游戏 UDP 流量等）完全接管并送入代理内核分流。普通网页浏览只需开启常规系统代理；但如果你需要玩外服游戏降低丢包、在终端运行 git/npm 命令、或使用某些不读取系统代理的专用软件时，开启 TUN 模式是最佳解决方案。

主要常见原因包括：1. 电脑端杀毒软件或 Windows Defender 拦截了客户端核心组件（Mihomo / Xray 内核）；2. 电脑本地代理端口（如 7890）被其他程序占用；3. 电脑系统时间未与互联网同步（差距超过 1 分钟）；4. 浏览器安装了 SwitchyOmega 等插件与客户端系统代理产生了冲突；5. 电脑端未选择有效节点或未开启系统代理开关。

代理客户端在后台运行时，需要对每一个网络数据包进行加解密与分流规则匹配，因此会比完全直连稍微增加少许 CPU 开销。不过优质的现代客户端（如 Shadowrocket、sing-box）经过深度架构优化，正常待机耗电非常低（通常在整机电量 3%-5% 以内）。若发现异常发热，通常是因为开启了持续高频的后台心跳保活、开启了过多的本地日志记录，或订阅中某个失效节点在不断重试握手。

这些是代理客户端与服务器之间通信的协议层实现：Shadowsocks 是经典的对称加密轻量协议；VMess 是 V2Ray 早期设计的复杂加密协议；VLESS 是去除了多余开销的新一代轻量协议，常搭配 XTLS/Vision 实现极高吞吐；Trojan 将流量伪装成标准 HTTPS 网站流量；Hysteria2 和 TUIC 则是基于 UDP/QUIC 开发的新一代协议，在弱网、丢包率高的高延迟网络环境下具备极强的抗封锁与抗拥塞能力。

Shadowrocket 在美区 App Store 的官方售价通常为 2.99 美元（以当前 App Store 标价为准），属于一次性买断制软件，购买后同一 Apple ID 终身可下载更新，无需向开发者支付订阅月费。但请注意：这仅代表 App 本身的软件购买费用，并不包含后续上网所需的外部节点流量。

开源与免费客户端（如 v2rayNG、Clash Verge Rev、sing-box）本身没有任何设备数量限制，你可以在任意多台手机或电脑上安装。至于是否能多设备同时上网，取决于你所使用的“订阅/节点服务商”的规则：部分套餐限制 2-3 个设备同时在线，而优质的专线服务通常不限制客户端与设备连接数量。

分应用代理是 Android 客户端（如 v2rayNG）的特色功能。开启后，你可以自主勾选哪些 App 需要走代理（如 YouTube、Twitter、Telegram），而将其他 App（如微信、美团、手机银行）排除在代理之外。这样既能保证国内 App 绝对使用原生直连网络，又能避免敏感应用触发异地安全风控。

节点选择原则：1. 【日常网页浏览与流媒体】：优先选择距离最近的香港、台湾、日本、新加坡节点，物理延迟低（通常 30-80ms），网页秒开；2. 【ChatGPT / Claude 等 AI 工具】：推荐使用美国、英国、日本或新加坡原生住宅 IP 节点；3. 【TikTok 运营与跨境业务】：需选择目标运营国家（如美国、英国、印尼）的专用独享原生节点以防风控。

这通常是因为 Safari 默认启用了“iCloud 专用代理 (Private Relay)”或开启了某些防追踪插件，与本地系统代理设置发生了路由冲突。建议在 Mac 系统设置中暂时关闭 iCloud 专用代理，或在 Clash Verge Rev 中开启 TUN 模式统一接管全局流量。

常见原因有三点：1. 移动设备后台电池优化机制杀死了客户端进程（需在系统设置中为客户端关闭电池优化并开启后台常驻权限）；2. 本地 WiFi 或蜂窝网络在进行基站切换导致短暂丢包重连；3. 节点服务器在进行负载均衡切换或短时受到网络拥塞波动。

完全免费且无需自备节点的第三方 VPN/翻墙 App 通常存在以下风险：1. 植入大量高频流氓弹窗广告甚至暗中挖矿；2. 将用户的未加密 DNS 请求与浏览日志打包出售给第三方数据广告商；3. 免费节点服务器带宽极度拥挤，经常遭遇大面积失效与断连。建议使用可信赖的开源客户端，并搭配正规透明的网络服务。

原始格式无法直接通用：Clash 订阅是 YAML 格式的完整配置文件，包含代理组与规则集；而经典 V2Ray 订阅通常是一串 Base64 编码的单节点链接集合。不过现代全能客户端（如 Hiddify、sing-box、Shadowrocket）已经内置了自动格式解析器，可直接导入两者；若使用纯内核客户端，也可以借助在线或本地订阅转换工具进行转换。

除 Shadowrocket 外，iOS 平台还有三大代表性工具：1. 【Quantumult X】：分流与 MitM 脚本功能极其强大，适合高阶折腾玩家；2. 【Loon】：界面交互现代化，插件与脚本配置友好；3. 【sing-box】：官方开源轻量客户端，可在美区 App Store 免费下载，支持新一代协议。

DNS 污染是指当地运营商 DNS 服务器对海外域名故意返回错误的 IP 地址，导致网页无法解析。现代代理客户端通过“远程 DNS 解析”或“DoH/DoT 加密 DNS”技术，将海外域名的解析请求通过加密隧道发送至海外可信 DNS（如 Google 8.8.8.8 或 Cloudflare 1.1.1.1），从而彻底避免 DNS 污染并保护用户查询隐私。

最简单可靠的方法是通过“订阅链接”直接在新手机的客户端中重新导入一次；如果原本包含很多手动编辑的自定义节点或分流规则，可以在客户端设置中找到【备份与恢复 / 导出配置文件】功能，将配置文件保存为本地文件或通过 iCloud / 局域网传输导入到新手机中。

如果客户端处于“全局代理 (Global)”模式，国内应用请求也会走海外代理服务器，服务器外网 IP 会导致国内网站判定你来自海外或国内中转机房所在城市。将客户端路由模式切换为【规则模式 (Rule)】或开启【绕过大陆及局域网】，国内应用即可直接使用本地蜂窝/宽带 IP，恢复正常定位。

检查客户端内的“关于 (About)”页面查看版本号，并前往其官方 GitHub Releases 页面或官方应用商店页面对比发布日期。如果原开发者已声明 Archive（停止维护），建议根据本站指南及时迁移至由活跃社区维护的分支版本（如由原 Clash 迁移至 Clash Verge Rev 或 sing-box）。

选购网络服务前需核对：1. 线路类型（IPLC/IEPL 专线晚高峰稳定性远好于普通公网中转）；2. 协议支持（是否兼容你所使用的 Shadowrocket、Clash 或 sing-box）；3. 设备连接数限制（是否满足多设备同时在线）；4. 周期流量与不限时包（根据个人实际用量选配）；5. 是否提供按月短周期试用以验证本地宽带兼容性。