Shadowrocket Trojan 節點設定：協定原理與 Add Server 參數指南

Trojan 的運作方式：先建立 TLS，再進行協定驗證

Trojan 會將代理協定資料傳送至 TLS 加密連線中。常見的基本連線使用 TCP：用戶端先連線至伺服器位址與連接埠，接著完成 TLS 交握與憑證驗證，再傳送 Trojan 驗證資訊及目標請求。伺服器驗證通過後，才會繼續轉送流量。因此，「連接埠可連線」、「TLS 交握成功」、「密碼驗證通過」和「目標網站可存取」是不同的檢查結果，不能互相取代。

TLS 負責加密連線並驗證伺服器身分；Trojan 密碼則用於協定存取驗證，兩者用途不同。密碼正確無法修復過期憑證，憑證有效也不代表密碼正確。伺服器使用 443 連接埠，只能表示該連接埠接受連線，不能據此判定它一定提供 Trojan 服務。

本文以基本的 Trojan over TLS 為例。如果服務商也提供 WebSocket、路徑或其他傳輸參數，只填位址、連接埠與密碼可能無法建立連線。請依照同一份完整設定核對，不要混用不同項目的 SNI、Password 與傳輸設定。

進入 Add Server 前：備妥完整參數

手動輸入前，先確認資料明確標示 Trojan，不要只憑連接埠或網域推測類型。匯入訂閱適合保留服務商提供的完整欄位；手動新增則方便逐項核對參數。兩種方式使用相同的連線資訊，差別在於由誰負責填寫。

• 伺服器位址：完整主機名稱或 IP 位址，不要附上 https://、路徑或連接埠。
• 伺服器連接埠：獨立提供的數字，例如 443；若資料列出其他連接埠，請照原值填寫。
• Password：保留大小寫與所有符號，複製時避免帶入前後空格、換行或引號。
• SNI 與憑證要求：記下服務商指定的 TLS 主機名稱，以及是否需要額外的信任設定。
• 其他傳輸參數：若資料包含傳輸類型、Host 或路徑，先確認目前項目需要哪些欄位，再到對應選項填寫。

Home → Add Server：逐項填寫位址、連接埠與密碼

在 Home 點選右上角的新增按鈕，進入 Add Server，將 Type 設為 Trojan，再填寫下表項目。欄位排列與可見的其他選項會依目前的應用程式介面而異；請根據欄位含義核對資料，不要照著舊版介面的位置輸入。

1. 先填寫 Type、Address 與 Port，並確認 Address 沒有重複包含連接埠。
2. 貼上 Password 後，確認字元完整無誤。手動填寫密碼欄位時，請輸入密碼原文，不要自行進行 URL 編碼。
3. 依照資料設定 SNI，核對憑證驗證選項；若有其他傳輸需求，也一併填寫。
4. 儲存後返回 Home，選取剛新增的項目，再啟用連線。若系統要求新增 VPN 設定，請依照系統提示確認。

連接埠相同不代表參數可以互換；修改 Port 也不會自動變更伺服器端的監聽設定。若資料沒有提供連接埠，請先向服務商確認，不要連續嘗試多個常見連接埠。Password 也不是應用程式的購買密碼或裝置解鎖密碼。

SNI 與憑證驗證：位址相同不代表身分相同

Address 決定連線目的地；SNI 是 TLS 交握期間傳送的伺服器名稱提示，讓伺服器選取相應的網站與憑證。在一般網域設定中，用戶端還需要驗證憑證是否可信、是否仍在有效期限內，以及憑證名稱是否符合預期身分。SNI 不是密碼，也不能用來增加憑證的信任度。

例如，連線位址是某個 IP，而伺服器憑證是核發給 tls.example.com，就不能直接把該 IP 當成憑證名稱。反過來，隨意填入無關網站的網域，也不會讓伺服器取得相應憑證或自動完成網站設定。SNI 必須是該連線實際支援的名稱。

自訂憑證或特殊信任設定需要另外確認信任方式。不要只為了暫時消除錯誤訊息，就長期設定為略過憑證驗證。TLS 已建立，也只表示用戶端到該伺服器這一段連線正常，不代表所有目標網站都能存取。

儲存後驗證：區分協定問題與規則問題

新增成功只表示資料已儲存在本機，不代表伺服器已完成驗證。請先確認選取的項目與 Global Routing，再進行可重複的存取測試。在 Config 模式下，請求會依設定規則選擇策略，部分請求可能使用 DIRECT，因此某個網頁能開啟，不能單獨證明 Trojan 可用。

1. 確認選取項目：返回 Home，確認目前選取的是剛儲存的 Trojan 項目，而不是清單中的其他項目。
2. 確認路由模式：在 Global Routing 查看目前使用的是 Proxy、Direct、Config 還是 Scene。Direct 不適合用來驗證此代理；使用 Scene 時，應先確認其實際採用的策略。
3. 進行隔離測試：確有需要時，可暫時切換至 Proxy，使用自己有權存取且確認可用的 HTTPS 網頁進行測試；完成後恢復原設定。Proxy 只用於排除規則分流的影響，無法修正錯誤密碼。
4. 檢查請求記錄：搭配請求記錄與可用的錯誤資訊，分辨網域解析、建立連線、TLS 與後續轉送等階段。請依測試類型判讀測試數值；延遲讀數本身不能完整證明連線可用。
5. 返回 Config 複查：若 Proxy 模式可用、Config 模式異常，請檢查規則順序與對應策略，確認該請求是否確實選用了預期的代理。

規則通常依序由上而下比對，命中第一條規則後便採用對應策略。以下僅示意規則語意，不是建議用來取代現有 Config 的完整設定；範例中的 PROXY 必須對應實際設定中可用的策略。

[Rule]
DOMAIN-SUFFIX,example.com,PROXY
FINAL,DIRECT

此示意會將 example.com 及其子網域交由 PROXY 處理，其他未命中的請求則交由 DIRECT。若只用其他網域測試，流量可能完全沒有經過 Trojan。相同原則也適用於設定中的 GEOIP、IP-CIDR 等規則：先確認請求命中了哪條規則，再判斷出站參數是否有問題。FINAL 應放在規則清單末尾。

常見問題：依失敗階段檢查，別反覆重建

以下內容是排查方向，不能單憑某一種錯誤訊息下定論。同樣的逾時可能是位址無法連線、伺服器沒有回應，或後續請求沒有回應；應一併檢視錯誤資訊與發生階段。