小火箭连不上 3x-ui 新版 Reality 节点？原因和回退办法

小火箭（Shadowrocket）连 3x-ui 节点，连通性测试是绿的，网页却一个都打不开？我们 2026 年 10 月 7 日在 iPhone 上实测：Shadowrocket 2.2.92 连 Xray 26.9.30 的 Reality 节点，连通性测试显示 7 ms，Safari 提示“已丢失网络连接”。不是你配错了，是服务器上的 Xray 9 月改了规则，小火箭还没跟上。

这篇有视频版：YouTube 上看《小火箭连不上 3x-ui 新版 Reality》。

两个办法：换客户端（Clash Mi 免费，能直接连新版），或者把服务器的 Xray 退回 v26.7.28，再把 Reality 目标换成证书小的网站。第二个是临时办法，有代价，下面写清楚。

小火箭已连接，连通性测试 7ms

Safari：打不开该网页，因为已丢失网络连接

为什么连不上

Reality 的做法是“借门面”：服务器先看客户端打招呼的信息（TLS 的 Client Hello）像不像真浏览器，像才放行；不像，就当普通访客，把连接转给借来的那个网站。

2026 年 9 月 8 日起，Xray（26.9.8 版开始）把这项检查改严了。Xray 作者 RPRX 在 GitHub 上写明：Client Hello 必须带 X25519MLKEM768（一种后量子密钥交换），而且要排在 X25519 前面，否则回落。

RPRX 在 Xray-core #6714 的评论：Client Hello 必须有 X25519MLKEM768 且在可选的 X25519 前面，否则回落

他给的理由是，三大浏览器早就带上了这一项，不带的都属于“过时/奇怪/小众”。

RPRX 在 Xray-core #6737 的评论：不带 X25519MLKEM768 的指纹属于过时/奇怪/小众

小火箭 2.2.92 的 Client Hello 不带这一项，所以被当成了普通访客。我们在服务器上开了调试日志，看到的就是“authentication failed or validation criteria not met”。3x-ui 从 3.8.0 起自带新内核，我们的测试服务器是 3x-ui 3.9.0、Xray 26.9.30。

**连通性测试为什么是绿的？**它只测手机到服务器那一段能不能连上，不管后面 Reality 握手过没过。

办法一：换客户端

iPhone：Clash Mi，免费，开源，我们实测能直接连 Xray 26.9.30。
安卓：v2rayNG，内核就是 Xray，没有这个问题。

办法二：服务器 Xray 退回 v26.7.28

非用小火箭不可，就把服务器内核退回加这条检查之前的最后一版。

1. 退回内核

3x-ui 首页，Xray 那一栏点版本号，弹出版本列表（上面写着“请谨慎选择，因为较旧版本可能与当前配置不兼容”），选 v26.7.28，确定。我们这边约半分钟后版本号变成 v26.7.28。

3x-ui 的 Xray 版本列表：v26.9.30、v26.9.9、v26.9.8、v26.7.28 等

首页 Xray 运行中，版本 v26.7.28

2. 目标换成证书小的网站

只退内核还不够。旧内核读目标网站的证书时，有 8192 字节的上限；www.microsoft.com 的证书记录是 8273 字节，超了，握手照样失败（Xray-core #6356，9 月 8 日在新版里修复）。我们用 26.6.27 测过，日志里正是“Certificate: 8273”后握手中断。

入站 → 编辑 → 安全，把“目标”和“SNI”换成证书小一点的网站，我们用的是 www.apple.com（证书记录 4738 字节）。保存。

入站安全页：目标 www.apple.com:443，SNI www.apple.com

3. 小火箭添加订阅

小火箭国区 App Store 没有。美区 2.99 美元，按中国银行 2026 年 10 月 7 日美元现汇卖出价 672.19 折算约 20.10 元，实际扣款以账单为准。

美区 App Store 的 Shadowrocket 页面

右上角加号 → 类型选 Subscribe → URL 粘贴 3x-ui 客户端“详细信息”里的 SUB 链接 → 保存。

类型列表：Subscribe，订阅 URL 或 Clash YAML URL

添加节点：类型 Subscribe，URL 已粘贴（已遮挡）

**拉订阅时先关掉手机上别的 VPN。**我们开着 Clash Mi 时，订阅一直拉不下来；关掉后马上就好了。

订阅已添加：显示已用流量、总量 100G、到期 2026-11-05

4. 连接、确认

点节点，打开顶上开关。“全局路由”保持“配置”（按规则分流）。

全局路由：配置、代理、直连、场景

我们这次：连通性测试 13 ms，Google、YouTube、百度都能打开。本站分流检测里，国内方向看到的是本机 IP（截图已遮挡），海外方向看到的是服务器 IP。

分流检测：IPIP.NET 看到本机 IP（已遮挡），海外服务看到服务器 IP

回退的代价

**丢掉 9 月以后的检查和修复。**Xray 作者说过，长远看要求必须有 X25519MLKEM768。
**Clash Mi 会出问题。**我们在 v26.7.28 上实测：Clash Mi 连 Google 握手失败（“Connection terminated during handshake”），YouTube 能打开；v2rayNG 更新订阅后正常（延时 43 ms）。家里有人用 Clash Mi，就别退。
**记得升回来。**小火箭更新支持后，面板里再把 Xray 升到最新版，Reality 目标可以继续用 www.apple.com。

常见问题

**连通性测试是绿的，就说明节点没问题吗？**不是。它只测到服务器能不能连上。网页打不开，看服务器日志或换个客户端试。

**能不能只在服务器上关掉这项检查？**不能。我们看了 REALITY 那次提交（8cdf7bf），这条检查是写死的，没有配置项。

**退回 26.6.27 行不行？**我们试过 26.6.27 和 26.7.28，目标是 microsoft 时都连不上，换成 apple 后 26.6.27 也能连。选 26.7.28 是因为它更新。

**小火箭以后更新了怎么知道？**看 App Store 里它的更新说明，或者升级后在 v26.9.30 上直接试，能打开网页就行。

资料来源

核对日期均为 2026 年 10 月 7 日。