本文主要说明 iPhone / iPad 上 Shadowrocket（小火箭）的系统 VPN 授权：首次连接为什么需要允许、系统 VPN 条目与应用内 Config 有什么区别，以及拒绝授权或删除条目后的恢复顺序。先确认授权是否完成，再判断连接是否建立；系统显示 VPN 已连接，并不等于代理服务器与全部网站都可访问。
首次连接为什么要授权
在 Home 打开连接开关时，Shadowrocket 需要通过系统提供的网络扩展机制建立 VPN 隧道。应用可以提出添加配置的请求，但不能代替用户完成系统授权。因此，首次使用时出现“添加 VPN 配置”提示，是连接流程中的权限确认，不是订阅更新提示，也不是要求再次购买客户端。
这里的“VPN 配置”用于让系统识别并管理该应用的隧道连接。允许后，系统设置中会出现相应的 VPN 条目；之后正常连接通常会复用这个条目。它不等同于把服务商的订阅地址作为描述文件安装到系统，也不表示全部流量必然经过远端代理，具体处理仍取决于 Global Routing 和当前规则。
授权意味着允许该应用使用系统 VPN 能力处理网络流量。应在自己主动打开连接开关、确认应用来源后操作；如果提示出现在不符合预期的场景，可以先取消，再返回应用核实。本文以用户已有自己的服务商和订阅为前提，不涉及线路获取。
第一次允许的操作顺序
以下步骤适用于 iPhone / iPad。设备使用中文或英文时，系统提示及按钮名称会不同；身份验证也会随设备安全设置变化。不要把系统的设备密码验证误认为订阅账号验证，更不要在其他网页中输入设备密码来完成这项授权。
-
核对连接项
打开 Shadowrocket → Home，确认已经导入自己的连接信息，并选中准备使用的服务器。尚未准备连接信息时，不必仅为消除提示而反复操作。
-
打开连接
在 Home 打开连接开关，等待系统显示添加 VPN 配置的确认框。由应用内发起连接，不要在系统 VPN 页面手工新建一个不同类型的配置来替代。
-
完成授权
核对提示中的应用名称为 Shadowrocket，选择“允许”或 Allow；若系统要求身份验证，按设备显示的方式完成。取消验证会使本次添加流程无法完成。
-
检查状态
返回 Home 查看连接状态，再到系统“设置 → 通用 → VPN 与设备管理 → VPN”核对条目。部分系统布局不同，可在“设置”顶部搜索 VPN 后进入相应页面。
系统 VPN 页面用于确认条目和连接状态，不负责替应用测试服务商服务器。若条目已创建但仍无法访问网页，应转向服务器连通性、Global Routing、DNS 和规则排查，而不是继续重复允许授权。
三类配置分别保存什么
用户口中的“VPN 描述文件”可能指不同对象。最容易混淆的是系统 VPN 条目、Shadowrocket 内的 Config，以及系统“VPN 与设备管理”页面中的设备管理或配置描述文件。它们即使在相近页面出现，保存的内容和删除后果也不同。
| 对象 | 查看位置 | 作用与删除影响 |
|---|---|---|
| 系统 VPN 条目 | 系统设置 → 通用 → VPN 与设备管理 → VPN | 管理应用的系统隧道连接。删除后，Shadowrocket 再次连接时可能需要重新添加和授权。 |
| 应用内 Config | Shadowrocket → Config | 保存规则、DNS 等配置内容。选用不同 Config 会影响请求处理，但不能替代系统 VPN 授权。 |
| 服务器与订阅 | Shadowrocket → Home | 保存连接参数或订阅导入结果。仅删除系统 VPN 条目，通常不会同时清空这些应用内数据。 |
| 设备管理描述文件 | 系统设置 → 通用 → VPN 与设备管理 | 可能由组织用于下发管理策略、证书或网络设置。不要把它当作 Shadowrocket 授权条目随意删除。 |
判断：先辨认对象再删除
只有系统 VPN 条目缺失时，才优先重新发起 VPN 授权；Config 内容不正确应回到 Config 检查，不要用删除设备管理描述文件来修复应用规则。
普通用户使用 Shadowrocket，不需要为了完成这次授权而另找一个系统描述文件下载安装。组织管理设备则可能存在额外限制，是否允许添加 VPN 由管理策略决定，应联系设备管理员确认，而不是尝试绕过限制。
拒绝或误删后怎样恢复
如果之前选择了“不允许”，这表示当次系统配置没有完成添加，并不表示应用内订阅已经失效。先返回 Home，把连接开关恢复到关闭状态，再重新打开，观察系统是否再次请求授权。如果没有出现提示，先查看系统 VPN 列表是否已有 Shadowrocket 条目，避免把“已经存在”误判为“无法添加”。
- 刚刚拒绝授权：回到 Shadowrocket → Home，再次发起连接；出现系统确认框后允许，并完成系统要求的身份验证。
- 误删系统条目：先保留应用内数据，打开 Home 重新连接，让应用重新创建系统 VPN 配置；不必立即删除应用或重新导入订阅。
- 验证被取消：重新发起连接并完成设备验证。确认框消失不代表授权成功，应以 VPN 条目和连接状态为准。
- 开关自动回落：先确认授权是否完成，再检查其他 VPN 是否仍在连接，以及设备是否受到组织管理限制。
- 反复没有提示：关闭其他正在连接的 VPN，退出并重新打开 Shadowrocket 后再试；必要时重启设备，再核对系统 VPN 页面。
只有在确认要重建系统条目时，才先断开连接，再进入系统 VPN 列表，通过对应条目的详情删除 Shadowrocket 配置，然后返回 Home 重新授权。操作前确认条目名称，不要删除工作设备所需的其他 VPN 或管理配置。重装应用不是首选方案，因为它可能连带移除尚未备份的本地设置。
系统提示：Would Like to Add VPN Configurations
原因与解法：这是英文系统添加 VPN 配置确认框中的提示文字，不是服务器报错；应用请求创建系统 VPN 条目时会出现。确认请求来自自己正在使用的 Shadowrocket 后选择 Allow，并按系统要求验证身份；中文系统显示对应中文提示。
为什么关闭后又连接
系统 VPN 开关关闭后又恢复连接，可能与 On Demand 有关。On Demand 根据预设条件触发连接，不等同于每次手动点击 Home 开关，也不意味着系统 VPN 条目删除失败。排查时应先暂停自动触发条件，再观察手动连接是否正常。
- 打开 Shadowrocket → Settings → On Demand，查看是否启用了按需连接以及相关条件；为排查问题，先停用相应功能。
- 回到 Home 关闭连接，再观察系统 VPN 页面是否保持断开。若仍自动连接，核对是否是另一个 VPN 条目在建立连接。
- 如果系统 VPN 条目详情中显示 Connect On Demand，也核对该项状态；组织下发的设置可能无法由用户更改。
- 完成授权或连通性测试后，再按实际需要恢复 On Demand，分别验证 Wi-Fi 与蜂窝网络切换时的表现。
删除条目之前先处理自动连接条件，可以避免把按需触发误当作异常。如果设备由学校或单位管理，设置不可改、条目自动恢复等情况也可能来自管理策略；保留相关状态截图交给管理员核对即可，不要反复移除描述文件。
已授权但不能上网
添加 VPN 配置成功，只说明系统允许应用建立隧道。远端服务器地址、端口、认证信息、DNS 和规则仍可能分别出问题。排查时一次只改一项，并使用同一个测试地址复测，才能判断变化来自哪一个设置。
| 可见现象 | 优先检查 | 下一步 |
|---|---|---|
| 没有 VPN 条目，连接无法保持 | 系统授权和设备管理限制 | 从 Home 重新连接，完成允许与身份验证。 |
| VPN 已连接，服务器测试失败 | Home 当前服务器及其连接参数 | 对照自己的服务商信息核对地址、端口和认证；不要因授权问题随意改端口。 |
| VPN 已连接，访问仍走直连 | Home → Global Routing | 检查是否选择 Direct；Config 按配置规则处理，Proxy 用于代理路由，Scene 按场景设置处理。 |
| 部分域名打不开，其他访问正常 | 当前 Config 中的 DNS 与规则 | 查看请求日志，核对解析结果、命中的规则与最终策略。 |
在 Global Routing 使用 Config 时，规则按顺序匹配。检查 DOMAIN-SUFFIX、IP-CIDR、GEOIP 等条目后，还要查看末尾 FINAL 指向的策略。VPN 授权不会自动修正规则顺序，也不会把 FINAL,DIRECT 改成代理策略。规则与字段细节可查阅配置字段说明，不需要通过重新授权来修改。
常见授权问题
允许后是不是所有请求都走代理？
不是。允许的是系统 VPN 配置能力，实际路由由 Home → Global Routing 与当前配置决定。先检查所选姿态，再查看请求日志里的命中规则，不要只根据状态栏 VPN 标记判断出口。
删掉 VPN 条目会把订阅一起删掉吗？
仅删除系统 VPN 条目通常不会清空 Home 中的订阅与服务器，也不会替你重置 Config。删除后先回 Home 重新连接；若应用内条目确实缺失，再使用自己保存的订阅信息恢复。
为什么每次连接都要求重新添加？
先确认上一次是否点了允许并完成验证，再到系统 VPN 页面查看条目是否保留。若每次都会消失，检查是否存在设备管理限制或人为清理操作，记录发生步骤后再处理，不要连续重装。
允许以后还要单独安装证书吗？
普通代理连接的这一步不要求另外安装根证书。VPN 授权与 HTTPS 解密相关的证书设置是不同操作；不要为了消除添加 VPN 配置提示而安装来源不明的证书。
Mac 和其他平台也完全按本文操作吗？
本文的系统设置路径针对 iPhone / iPad。Mac、Windows、安卓、Linux 的权限窗口与网络管理方式不同，应从本站下载页选择对应平台，再按该系统提示完成授权，不要照搬 iPhone 的菜单路径。