首次使用 Shadowrocket（小火箭）连接时，确认提示来自刚刚打开的应用，再允许系统添加 VPN 配置。这一步建立的是系统隧道入口，不是购买连接服务，也不是安装网站证书。本文按首次授权、系统条目辨认、拒绝与误删恢复、连接后排查的顺序说明，适合 iPhone 与 iPad 用户逐项核对。
一、为什么首次连接需要添加 VPN 配置
Shadowrocket 需要通过 Apple 平台的 Network Extension 机制接收并处理网络流量。首次在 Home 打开连接开关时，应用会向系统请求保存 VPN 配置；系统要求用户确认，是因为这项配置允许应用参与设备网络流量的处理。没有完成授权，连接服务的地址、端口和密码即使填写正确，也无法代替这一步。
这里的 VPN 是系统提供的网络隧道能力，不等于所有请求都被转发到远端服务器。连接建立后，具体请求如何处理，还取决于 Global Routing、当前配置及匹配规则。选择 Direct 与断开系统隧道也不是同一件事。
系统提示是在隧道建立前确认权限，服务器是否可用则在后续连接过程中验证。因此，“已经点了允许”和“网页可以访问”是两个不同的检查结果。排查时先确定授权是否完成，再检查服务配置，能避免把权限问题误当成密码或 DNS 问题。
二、首次出现提示时，按什么顺序操作
先确认 Shadowrocket 是从 App Store 获取，且提示是在自己主动打开 Home 连接开关之后出现。若当时没有主动连接，不要凭应用名称立即确认；先取消提示，回到应用核对当前操作。系统提示的措辞会随系统语言与版本变化，核心内容是允许添加 VPN 配置。
- 检查 Home：确认已有自己的连接配置。订阅链接从你的服务商处获取；允许系统添加 VPN 配置不会自动生成可用的连接服务。
- 打开连接开关：在 Home 发起连接，等待系统授权窗口，不要连续快速切换开关。
- 确认应用身份：核对提示中的应用名为 Shadowrocket，再选择“允许”。如系统随后要求设备身份验证，按系统提示完成；不要在服务商网页中输入设备解锁密码。
- 返回应用观察：等待连接状态稳定。若开关立即回落，记录当时的提示，再区分系统授权失败与服务器连接失败。
- 进行实际访问：打开自己熟悉的网页验证。仅看到 VPN 标识，不能证明 DNS、规则和远端连接都已经正常。
提示：“Shadowrocket”想添加 VPN 配置
原因与解法：这是首次保存系统 VPN 配置时的权限确认，不是服务器报错。确认由自己的连接操作触发后选择“允许”，并完成系统要求的身份验证；如果选择“不允许”，回到 Home 再次发起连接即可重新检查授权流程。
不要把这条系统提示与订阅导入混为一谈。导入订阅解决“使用哪些连接参数”，系统授权解决“应用能否建立隧道”。前者在应用内管理，后者由 iOS 控制，修改其中一项不会自动修复另一项。
三、系统里的 VPN 条目与描述文件有什么区别
允许之后，可以在系统 Settings → General → VPN & Device Management → VPN 查看相关连接条目。中文系统通常对应“设置 → 通用 → VPN 与设备管理 → VPN”；不同系统版本的入口名称与层级可能略有区别，也可以在系统设置中搜索 VPN。
用户常把这里的条目统称为“VPN 描述文件”，但需要区分 VPN 连接配置、设备管理描述文件和证书。它们可能位于相邻的设置区域，却不是同一种对象。正常的 VPN 授权流程不要求为了完成这条提示而信任根证书，也不等于将设备加入组织管理。
| 对象 | 主要用途 | 核对方法 |
|---|---|---|
| 系统 VPN 配置 | 保存应用建立隧道所需的系统关联与连接设置 | 进入系统 VPN 列表，查看与 Shadowrocket 关联的条目 |
| Home 内的服务器与订阅 | 保存地址、端口、认证参数及已有订阅 | 回到 Shadowrocket 的 Home 核对，不在系统 VPN 列表内修改这些参数 |
| Config 内的配置 | 决定规则、DNS 等配置内容 | 在 Config 确认当前使用的配置，不将其与系统授权混淆 |
| 设备管理描述文件或证书 | 用于各自的设备策略或信任设置 | 单独检查来源与用途，不因修复 VPN 就删除其他条目 |
结论：先辨认对象，再决定是否删除
如果系统 VPN 条目存在，而 Home 里的连接参数缺失，应补齐已有服务配置；不要通过删除证书或设备管理条目来修复服务器列表。
四、误点“不允许”或误删配置后如何恢复
误点“不允许”通常不需要重装应用。先回到 Shadowrocket 的 Home，把连接开关恢复为关闭状态，再发起一次连接，观察系统是否重新请求授权。如果窗口没有再次出现，先去系统 VPN 列表确认是否已经存在可用条目；没有重复提示不一定意味着权限仍被拒绝。
- 保留应用内数据：先检查 Home 中的服务器、订阅和 Config 中的当前配置仍然存在。不要把重装作为第一个动作，以免增加恢复数据的工作。
- 停止自动触发：如果连接会自动开启，先检查 Settings → On Demand，暂时关闭相关自动连接设置；也核对系统 VPN 条目详情中是否启用了 Connect On Demand。
- 检查系统条目：进入系统 VPN 列表，打开 Shadowrocket 对应条目的详情。只有在明确需要重建且确认归属后，才使用 Delete VPN；不要删除组织管理或其他用途的条目。
- 重新发起连接：返回 Home 打开连接开关，让应用重新创建所需的系统配置，并在系统提示出现时允许。
- 验证并恢复自动连接：先手动确认连接可用，再恢复需要的 On Demand 条件，避免自动重连掩盖实际的测试结果。
如果设备由学校或单位管理，系统策略可能限制添加或修改 VPN。表现为按钮不可操作、条目无法删除或授权流程被阻止时，应向设备管理员确认允许范围，不要反复删除设备管理描述文件。系统要求与平台兼容性以 App Store 页面标注为准。
五、已经允许，但连接失败或网页打不开
看到系统 VPN 条目，说明配置已保存；看到连接状态，也只说明隧道进入了相应运行状态。它们都不能单独验证服务商账户、远端地址、DNS 和规则是否正确。应按下列顺序缩小范围，每次只改一个条件，并记录修改前后的现象。
- 先确认基础网络：断开 Shadowrocket 后检查当前 Wi-Fi 或蜂窝网络是否能完成正常访问；公共 Wi-Fi 如有登录页，先完成网络认证。
- 再核对服务参数：在 Home 检查已选服务器的协议、地址、Port 与认证字段。例如服务商给出的 Port 为
443，就应按原值填写；端口相同不代表 Shadowsocks、Trojan 等不同协议可以互换。 - 检查 Global Routing：Config 按当前配置规则处理，Proxy 用于代理姿态，Direct 用于直连姿态。临时切换可用于定位问题，但不能用切换姿态代替修复错误参数；排查结束后恢复原设置。
- 区分 DNS 与连接故障：延迟测试有结果但域名网页打不开时，继续检查 Config 中实际使用的 DNS 设置与访问记录。延迟测试不等于完整网页访问测试。
- 检查规则顺序：使用 Config 时，规则按实际配置自上而下匹配，首条匹配后决定处理方式，
FINAL用于最后兜底。不要仅凭 VPN 标识判断某个域名一定走了代理。
如果其他 VPN 应用也在自动连接，先暂停不参与本次测试的连接与自动触发条件，再观察 Shadowrocket。不要把多个连接状态交替变化误认为授权持续失效。只有系统配置无法保存或明确损坏时，才考虑重建条目；网页打不开本身不足以支持这个判断。
六、关于权限与自动连接的常见问题
点了“允许”，是不是所有流量都会走远端服务器？
不是。先在 Home 查看 Global Routing，再到 Config 核对当前规则。系统授权提供隧道能力，实际处理方式由所选姿态和配置决定；Direct 与按规则直连都不能仅凭状态栏标识来区分。
为什么关掉连接后又自动连上了？
先进入 Settings → On Demand 检查自动连接条件，再查看系统 VPN 条目详情中的 Connect On Demand。排查时暂时停用自动触发，手动断开并观察；确认行为符合预期后再恢复需要的条件。
授权之后还要安装证书才能上网吗？
添加 VPN 配置这一步本身不要求安装根证书。若只是完成首次连接，应返回 Home 检查连接参数与状态；不要把来自网页的证书安装提示当作系统 VPN 授权的后续步骤。
删掉系统 VPN 条目，会取消应用购买吗？
不会。系统连接配置与 App Store 购买记录分开管理。保留应用时可先回到 Home 重新连接并授权；涉及重新获取应用或购买恢复时，按正版核验页与 App Store 的说明处理。
每次连接都弹出添加配置，正常吗？
已保存且未被移除的配置通常不需要每次重新添加。先检查授权后的条目是否仍在系统 VPN 列表，确认没有被手动删除或设备管理策略移除，再记录出现提示的具体操作顺序，避免用反复重装代替定位。
七、排查结束后应保留哪些记录
恢复后保留一份不含敏感参数的检查结果，便于下一次快速区分权限与网络问题。需要向自己的服务商反馈连接故障时，提供准确现象比只说“VPN 不行”更有帮助；但不要发送完整订阅链接、密码、私钥或包含这些内容的二维码。
- 授权结果：系统 VPN 列表中是否有 Shadowrocket 条目，连接时是否还会请求添加配置。
- 触发步骤：问题发生在 Home 手动连接、网络切换，还是 On Demand 自动触发之后。
- 测试环境：使用 Wi-Fi 还是蜂窝网络，断开隧道后基础网络是否可用。
- 应用状态：当前 Global Routing 选项、使用的协议，以及失败发生在连接建立前还是网页访问阶段。
Shadowrocket 是 App Store 独占的闭源商业应用，主要用于 iPhone 与 iPad。应用购买采用一次性买断，价格与购买适用条件以 App Store 页面标注为准。客户端买断 ≠ 线路套餐；系统授权同样不包含线路，已有订阅仍从你的服务商处获取。