首次使用 Shadowrocket（小火箭）连接时，「添加 VPN 配置」是 Apple 系统的授权步骤，不是连接失败提示。本文适用于 iPhone / iPad：先区分系统 VPN 配置与应用内 Config，再完成授权、核对系统状态；如果曾拒绝或误删配置，可按顺序重新触发添加。以下以用户已有自己的服务商与订阅为前提，授权本身不提供线路。
一、为什么首次连接需要添加 VPN 配置
Shadowrocket 需要通过系统提供的网络扩展机制建立 VPN 隧道，才能按应用内的设置处理流量。应用首次请求把相关 VPN 配置写入系统时，系统会要求用户确认。弹窗的作用是允许创建这项配置，而不是向服务商购买服务，也不是替应用内的每条规则逐一授权。
应在主动打开 Shadowrocket 的连接开关后核对弹窗。确认应用名称与当前操作一致，再选择允许；如系统接着要求设备认证，按屏幕提示完成。设备认证属于系统授权流程，不需要把设备密码提供给服务商或填入订阅设置。
允许添加只完成了流程中的一个环节。后续仍可能因为服务端参数、网络环境或配置内容而连接失败。因此，「已经允许添加」与「已经可以访问目标网站」必须分开验证，不能仅凭弹窗消失就判断连接正常。
二、系统 VPN 配置、Config 与订阅分别是什么
常说的「VPN 描述文件」在此通常指系统设置中由应用创建的 VPN 配置项。它与通过设备管理安装的配置描述文件不是同一概念，也不等于应用内 Config 页面中的规则文件。看到它们位于相近的系统菜单中，不代表需要额外安装设备管理描述文件。
| 对象 | 核对位置 | 主要作用 |
|---|---|---|
| 系统 VPN 配置 | 系统 Settings 中的 VPN 列表 | 让系统保存应用的 VPN 连接配置并显示连接状态。 |
| 应用内 Config | Shadowrocket → Config | 保存分流规则及相关设置，供相应路由模式使用。 |
| 已有订阅 | Shadowrocket → Home | 导入和更新用户已有的服务端连接条目。 |
例如，应用内 Config 可以包含 DOMAIN-SUFFIX、IP-CIDR、GEOIP 与 FINAL 等规则关键字；这些规则决定请求匹配后的策略，不是系统弹窗申请的权限种类。删除系统 VPN 配置通常不会同时删除 Home 中已有的条目或 Config 文件，但仍应在操作前保留自己的配置信息。
三、首次授权与系统设置核对步骤
以下路径以 iPhone / iPad 为例。系统语言不同，菜单文字会随之变化；系统版本之间也可能调整入口位置。中文系统通常可从「设置 → 通用 → VPN 与设备管理 → VPN」进入，英文对应路径为 Settings → General → VPN & Device Management → VPN。找不到入口时，可在系统 Settings 中搜索 VPN。
-
核对应用
确认使用的是 App Store 中的 Shadowrocket，开发者为 Shadow Launch Technology Limited，应用 ID 为 932747118。系统要求、兼容性及购买适用范围以 App Store 页面标注为准。
-
检查已有配置
在 Shadowrocket → Home 检查自己已导入的连接条目，并确认所需参数完整。系统权限不会自动补齐服务端地址、端口或认证信息。
-
打开连接
打开 Home 中的连接开关，等待系统出现添加 VPN 配置提示。核对提示中的应用名称，再选择允许，并按系统要求完成设备认证。
-
查看系统状态
进入系统 Settings → General → VPN & Device Management → VPN，找到 Shadowrocket 对应条目，查看连接状态。出现条目说明配置已保存，仍需分别判断它是否正在连接。
-
验证实际访问
回到应用确认连接开关状态，再访问自己需要使用的目标。若隧道已连接但访问失败，转而检查服务端参数、Global Routing 和 Config，而不是反复添加系统配置。
保留排查顺序先确认系统配置能否保存，再确认隧道能否保持连接，最后检查具体请求如何分流。三个层面依次排查，可以避免把规则问题误判成权限问题。
四、点了拒绝或误删后，怎样重新添加
如果首次选择了不允许，应用就不能完成本次系统 VPN 配置的添加。通常不需要重新购买应用，也不必先删除订阅。返回 Shadowrocket，确认当前没有残留的连接尝试，再次打开连接开关，让应用重新请求创建 VPN 配置。
如果是在系统 VPN 列表里删除了 Shadowrocket 条目，处理思路相同：先回到应用检查已有内容，再打开连接开关。系统重新出现授权提示时完成确认；如果没有出现提示，应先返回系统列表检查是否仍有对应配置，不要把「没有弹窗」直接认定为故障。
- 已存在配置：系统可以继续使用已保存的配置，不要求每次连接都重新询问。核对条目名称和实际连接状态即可。
- 反复提示添加：检查是否每次都在最终确认前取消，以及设备认证是否完成。若配置始终没有保存，先处理系统授权环节。
- 准备重建配置：先关闭应用连接；若启用了 On Demand，先在
Shadowrocket → Settings → On Demand中停用相应设置，再处理系统 VPN 条目。 - 设备受到管理：学校或单位管理的设备可能限制 VPN 配置操作。查看系统是否提示管理限制，交由设备管理员核对策略，不要删除用途不明的管理项目。
只有在确认对应条目异常、且常规重连无法恢复时，才考虑断开后删除这一项并重建。不要清空整个 VPN 列表，也不要删除同页中属于工作、学校或其他用途的描述文件。重装应用会增加本地内容丢失的风险，不应作为权限排查的第一步。
五、连接开关、系统状态与 On Demand 的对应关系
Home 中的连接开关用于发起或停止连接；系统 VPN 页面显示的是系统侧的隧道状态。配置项可以长期保留，但连接处于断开状态，所以「列表中还有 Shadowrocket」不等于后台一直有活跃连接。判断是否连接，应看状态，而不是看条目是否存在。
On Demand 会根据已设置的条件向系统请求连接。若观察到手动断开后又出现连接，应先检查 Settings → On Demand，而不是立即认为关闭操作没有生效。需要做一次纯手动测试时，先停用相应按需设置，再断开并重新连接，观察行为是否改变。
| 看到的现象 | 说明 | 下一步 |
|---|---|---|
| 有配置、未连接 | 系统保留了配置，但当前隧道未建立。 | 回到 Home 主动连接，观察状态变化。 |
| 已连接、访问异常 | 系统隧道已建立，目标访问仍需单独验证。 | 检查当前条目、Global Routing、Config 与目标网络。 |
| 断开后再次连接 | 可能有 On Demand 条件重新触发。 | 停用相关按需设置后重复一次手动测试。 |
| 连接后立即断开 | 可能是配置、网络或服务端导致会话无法保持。 | 记录失败阶段，核对已有服务端参数与网络可达性。 |
Global Routing 与系统授权也属于不同层面。Proxy、Direct、Config、Scene 是应用内的路由选择，不是四种系统 VPN 权限。尤其是选择 Direct，不应被当成「已经断开 VPN」的证据；需要停止隧道时，应操作连接开关并核对系统状态。
六、按提示文字区分授权与连接故障
排查时应保留屏幕上的准确文字与出现阶段。下列英文文字是英文系统中可见的提示或状态，系统语言不同会显示对应译文。它们本身不一定是报错：前者是授权请求，后者是连接状态。只记录文字而忽略它出现的位置，容易得出相反结论。
系统提示：“Shadowrocket” Would Like to Add VPN Configurations
原因与解法：应用正在请求保存系统 VPN 配置——若提示紧随自己打开连接开关出现，核对应用名称后允许，并完成系统要求的设备认证；尚未确认时，不要把它当作服务端连接错误。
系统状态：Not Connected
原因与解法：对应 VPN 当前未建立连接——回到 Home 打开连接开关，再观察是否保持连接；若立即回到此状态，检查应用显示的具体错误与已有服务端参数，而不是只重复系统授权。
若系统 VPN 配置已存在，应用却持续要求创建，先完全退出本次连接尝试，再核对系统条目是否确实属于当前应用。需要进一步排查时，记录「点击开关、出现提示、完成确认、断开」的先后顺序，以及当时使用 Wi-Fi 还是蜂窝网络。分享截图前遮挡订阅地址、认证信息和服务端敏感字段。
七、首次连接常见问答
允许添加，是不是所有请求都走代理？
不是。允许添加解决的是系统配置权限，具体请求如何处理还取决于 Global Routing 与当前配置。需要按规则分流时，核对 Global Routing 中的 Config 及实际启用的规则文件；不要仅根据 VPN 标识判断每个请求的出站方式。
删除 VPN 配置，会把订阅一起删掉吗？
删除系统 VPN 条目与删除 Home 中的订阅是不同操作，通常不会连带清除应用内订阅。先回到 Home 和 Config 检查内容是否仍在，再重新打开连接触发系统配置创建；不要为恢复权限而先删掉已有订阅。
为什么第二次连接没有再问权限？
系统已经保存对应配置时，后续连接通常直接使用它。进入系统 VPN 列表确认条目和状态即可；没有再次弹窗并不意味着没有使用系统 VPN 机制，也不需要为了看到弹窗而删除正常配置。
关掉连接后，还需要删除配置吗？
日常停止使用只需断开连接；如果不希望条件触发重连，再到 Settings → On Demand 检查按需设置。系统保留配置方便下次连接，不必每次使用后删除。确需移除时，先断开，再只删除确认属于 Shadowrocket 的条目。
买了应用，为什么仍然无法连接？
客户端买断 ≠ 线路套餐。Shadowrocket 是闭源商业应用，采用一次性买断；用户仍需配置自己已有的服务端信息。授权完成后，按 Home 条目、网络环境和 Global Routing 逐层核对，服务端有效性由自己的服务商确认。