Shadowrocket（小火箭）首次建立连接时，需要由系统批准添加 VPN 配置；这不是订阅导入，也不表示线路已经可用。本文适用于 iPhone 与 iPad，说明授权前应核对什么、系统中的 VPN 条目与应用内 Config 有何区别，以及拒绝授权、误删条目后如何恢复。开始前以用户已有自己的服务商、连接参数或订阅为前提。
一、添加 VPN 配置：首次连接的系统授权
先给结论：如果提示是在你主动打开 Shadowrocket 并开启连接时出现，且提示中的应用名称为 Shadowrocket，可以核对后允许。通常是首次尝试建立连接时触发，而不是只要首次打开应用就必然弹出。系统中已经存在有效配置时，后续打开连接通常不需要重复授权。
英文系统提示可见 “Shadowrocket” Would Like to Add VPN Configurations，即请求添加 VPN 配置。中文措辞会随系统语言与系统界面变化。授权允许应用向系统登记 VPN 连接配置，使应用的网络扩展能够建立隧道；它不是购买确认，也不是对已有订阅内容的验证。
系统警告网络活动可能被过滤或监控，是对 VPN 能力范围的提醒。实际流量如何处理，取决于当前路由姿态、规则、DNS 设置和所选连接。批准这一提示不等于所有请求都必定走代理，更不等于远端连接已经验证成功。
二、系统 VPN 条目与 Config 不是同一份配置
“VPN 描述文件”常被用来泛指系统里保存的 VPN 条目。排查时应把它与设备管理描述文件、应用内规则配置区分开。iPhone 与 iPad 上可先打开系统 Settings（设置）→ General（通用）→ VPN & Device Management（VPN 与设备管理）→ VPN，查找 Shadowrocket 对应条目；具体名称与入口显示以设备当前系统为准。
| 核对对象 | 查看位置 | 实际用途 |
|---|---|---|
| 系统 VPN 条目 | 系统 Settings → General → VPN & Device Management → VPN | 保存系统认可的连接配置，显示连接状态与相关选项。 |
| 已有连接与订阅 | Shadowrocket → Home（首页） | 选择已有连接，查看或更新自己导入的订阅内容。 |
| 规则配置 | Shadowrocket → Config（配置） | 管理规则与配置文件，决定规则模式下的匹配和处理方式。 |
| 按需连接 | Shadowrocket → Settings（设置）→ On Demand（按需连接） | 配置按条件触发连接的行为，排查自动重连时需要核对。 |
仅在系统中删除 VPN 条目，一般不会同时删除 Shadowrocket 内 Home 中的连接信息或 Config 中的规则文件；但系统连接入口需要重新建立。反过来，导入一份 Config 也不能代替系统授权。卸载应用则是另一种操作，可能丢失本地资料，不应作为第一步排查手段。
结论：先找出缺失的是哪一层
系统里没有 Shadowrocket 条目，就回应用尝试重建授权；条目存在且能连接却无法访问，应转向路由、DNS 和已有连接参数检查，不要反复删除同一个系统条目。
三、首次授权：按顺序完成五项核对
以下步骤针对个人管理的 iPhone 或 iPad。Shadowrocket 是 Apple 平台上的闭源商业应用，以 iPhone 与 iPad 为主要使用设备，唯一获取入口是 App Store。系统要求以 App Store 页面标注为准。购买应用与配置自己的连接是两件事，客户端买断 ≠ 线路套餐。
-
核对应用
通过正版核验页核对官方图标、开发者 Shadow Launch Technology Limited 与应用 ID
932747118。确认打开的是已从 App Store 获取的 Shadowrocket。 -
检查已有连接
进入 Shadowrocket → Home，确认自己的连接已导入并选中。系统 VPN 授权不会自动补齐服务器地址、端口、密码或协议参数；这些内容应来自你已有的服务资料。
-
主动开启连接
在 Home 打开连接开关，等待系统授权提示。不要同时反复切换开关，也不要在另一个连接应用中同时发起新的 VPN 会话，以免混淆当前状态。
-
批准系统请求
核对提示中的 Shadowrocket 名称，选择 Allow（允许），并按系统要求完成身份验证。验证方式由系统决定；这一步不要求提供已有订阅的访问令牌。
-
检查实际访问
回到 Home 检查连接状态，再到系统 VPN 页面核对对应条目。最后打开原本需要访问的页面验证；仅看到 VPN 状态，并不足以证明远端连接和规则均正确。
四、误点拒绝或误删后，如何重建 VPN 配置
误点 Don’t Allow（不允许）时，系统没有完成本次添加。先回到 Shadowrocket → Home，关闭连接开关后再主动开启，让应用再次尝试建立配置。如果界面没有变化，可退出到主屏幕后重新打开应用再试。没有弹出提示不一定是故障，也可能是系统中仍有可用条目，应先去系统 VPN 页面核对。
系统条目已被删除
- 打开 Shadowrocket → Home，确认已有连接仍在，记录当前选中的连接。
- 进入 Shadowrocket → Settings → On Demand，先暂停当前启用的按需连接设置，避免排查期间自动触发。
- 返回 Home，先关闭连接，再重新开启；若系统请求添加 VPN 配置，核对名称后允许并完成身份验证。
- 到系统 Settings → General → VPN & Device Management → VPN，确认 Shadowrocket 条目已经重新出现。
- 手动连接和实际访问都恢复后，再按原需求恢复 On Demand，并测试一次网络切换后的行为。
如果条目存在但无法启动，先检查是否有其他 VPN 会话正在使用，再重试手动连接。只有确认问题位于系统条目、且已经记录必要信息后，才考虑删除 Shadowrocket 对应条目并按上面步骤重建；不要删除其他用途的 VPN 或设备管理项目。
五、按提示与现象区分授权问题、连接问题
记录现象时，要把“系统是否允许添加”“隧道是否启动”“目标是否可访问”分开。授权成功只解决第一项。下面保留系统提示的英文原文，方便使用英文界面的设备核对；该提示本身不是报错。
提示：“Shadowrocket” Would Like to Add VPN Configurations
原因与解法：应用正在向系统申请添加 VPN 配置——确认这是本次主动连接触发的请求后选择 Allow，并完成系统身份验证；若此前拒绝，返回 Home 重新发起连接。
| 可观察现象 | 优先检查 | 下一步操作 |
|---|---|---|
| 拒绝后未建立连接 | 系统中是否已有有效条目 | 检查系统 VPN 页面，再回 Home 重新开启连接。 |
| 允许后开关立即关闭 | 扩展启动状态、已有连接参数、其他 VPN 会话 | 停止其他 VPN 会话，核对自己连接的协议、地址和端口，再单次重试。 |
| 显示已连接但页面打不开 | Global Routing（全局路由）、DNS、远端可达性 | 确认当前使用的路由姿态与预期一致，并检查自己的连接是否仍可用。 |
| 手动关闭后又连上 | On Demand 与系统对应的按需选项 | 先暂停按需触发，再手动断开，观察是否仍会重连。 |
| 添加或删除选项受限 | 设备管理策略 | 联系设备管理员确认权限，不删除管理描述文件。 |
检查 Global Routing 时，应保留 Proxy（代理）、Direct（直连）、Config（配置）、Scene（场景）这些界面词。Proxy 与 Direct 的处理方向不同，Config 按启用配置中的规则处理，Scene 需核对当前场景设定。不要把切换路由姿态当作重新授权；它改变的是处理方式，而不是系统是否允许创建 VPN。
例如 Config 中的 DOMAIN-SUFFIX 用于域名后缀匹配，FINAL 是前面规则未匹配时的最终去向。如果授权和连接均正常，某个站点仍走了不符合预期的路径，应检查规则顺序与策略名称，而不是重新批准 VPN 提示。
六、常见问题：证书、重复提示与自动重连
允许添加 VPN 配置，是不是也安装了证书？
不是同一项操作。系统 VPN 授权用于建立连接配置，不等于安装并信任根证书。普通连接排查不需要先开启证书信任；涉及 HTTPS 解密的功能应单独理解其用途和影响，不能把它当作首次连接的必要步骤。
为什么每次打开都要允许一次？
先确认上一次是否真的完成了 Allow 与系统身份验证，再检查系统 VPN 页面中的条目是否仍在。如果条目被删除、替换或未保存，应用可能重新请求添加。记录触发前的操作顺序，比连续点击允许更有助于定位问题。
在系统里关掉 VPN，为什么又自动连上？
先到 Shadowrocket → Settings → On Demand 核对按需设置，再查看系统 VPN 条目中是否有对应的按需连接选项。暂停触发条件后再断开；若设备受管理，自动连接也可能由管理策略控制。
重新添加后，还要再买一次应用吗？
重建系统 VPN 配置不是一次新的应用购买，也不负责恢复远端服务权限。应用已购状态在 App Store 核对；自己的订阅或连接失效，则向原有服务方确认。两类问题应分别处理。
发给别人排查时，需要提供什么？
提供系统提示原文、是否存在 Shadowrocket VPN 条目、手动连接后的状态，以及问题发生在允许前还是允许后。截图前遮住服务器地址、账号、密码和订阅令牌，不要公开完整订阅链接或连接二维码。
最后按“应用身份核对、系统授权、手动连接、实际访问、恢复按需设置”的顺序验收。只在出现对应故障的层级操作，可以避免把订阅问题误当成系统权限问题，也能减少不必要的配置删除。