Shadowrocket（小火箭）首次启动连接时，需要通过系统授权建立 VPN 配置。这项配置是应用接入系统网络隧道的入口，不是订阅，也不是应用内的 .conf 文件。本文适合遇到授权提示、误点拒绝或系统 VPN 条目异常的用户，按“识别配置、重新授权、必要时重建、验证连接”的顺序排查，避免删除与问题无关的资料。
一、添加 VPN 配置：授权的是系统网络隧道
先给结论：如果提示由你刚刚打开的 Shadowrocket 发起，并且应用来源与名称已核对，可以按系统提示允许添加。允许后，系统会保存供应用使用的 VPN 配置；真正建立连接，还需要应用启动隧道，并使用你已有的有效连接资料。点击允许本身不代表远端连接已成功。
iPhone 与 iPad 会使用系统 VPN 机制承载这类网络连接。系统提示是在说明网络流量可能由 VPN 处理，需要用户明确授权；它不是普通通知权限。授权过程中如要求设备验证，应在系统界面完成，不需要把设备密码填进应用内的服务器密码字段。
这条流程有两个独立的检查点：系统是否允许创建和启动 VPN，以及已有连接资料能否正常使用。前一项失败时，应先处理权限与系统条目；后一项失败时，应检查连接参数、网络和路由设置。反复同意授权不能修正错误的服务器地址或凭据。
二、VPN 配置、描述文件与 .conf 不是同一项
“VPN 描述文件”经常被用来泛指系统里的 VPN 条目，但排查时应把它们分开。Shadowrocket 请求添加的 VPN 配置可以在系统 VPN 列表中查看；它不等于通过组织管理或网页安装的配置描述文件。两者可能出现在系统设置的同一管理区域，却有不同的来源与用途。
| 对象 | 查看位置 | 排查重点 |
|---|---|---|
| 系统 VPN 配置 | 系统“设置” → “通用” → “VPN 与设备管理” → “VPN” | 核对 Shadowrocket 对应条目、当前状态和可用的详情操作。 |
| 配置描述文件 | 系统“设置” → “通用” → “VPN 与设备管理”中的描述文件区域 | 检查来源与管理用途；不要把组织管理项当作应用 VPN 条目删除。 |
| 应用内 .conf 文件 | Shadowrocket → Config | 核对当前选用文件及其中的规则、DNS 等设置，不在此处授予系统 VPN 权限。 |
| 已有服务器与订阅资料 | Shadowrocket → Home | 核对导入内容与当前选择；更新资料不能替代系统授权。 |
系统菜单名称与入口显示会随系统界面调整。如果没有直接看到上述入口，可在系统“设置”中搜索“VPN”。进入后先看条目名称，不要仅凭“VPN 与设备管理”这个栏目名判断设备安装了管理描述文件，也不要认为这一栏出现内容就说明设备受到组织管理。
判断：按对象选择操作位置
系统条目缺失时，回到 Home 触发授权；规则行为不符合预期时，检查 Config。先定位是哪一层的问题，再修改对应设置，不要同时删除系统配置与应用内资料。
三、误点拒绝后：重新触发授权
拒绝添加通常意味着这次创建 VPN 配置没有完成，并不等于应用永久失去申请机会。先返回 Home，再次尝试启动连接，观察系统是否重新显示授权提示。这个过程不需要先卸载应用，也不需要先删除订阅。
确认应用
打开已从 App Store 获取的 Shadowrocket，确认当前操作发生在应用的 Home，而不是系统中另一项 VPN 的详情页。
确认资料
在 Home 核对自己的已有连接资料与当前选择。若尚未配置，先按已有资料完成设置，不把缺少连接资料误判为系统授权故障。
再次连接
在 Home 操作连接开关。出现添加 VPN 配置提示时，核对应用名称后选择允许，并按系统要求完成设备验证。
查看条目
进入系统“设置” → “通用” → “VPN 与设备管理” → “VPN”，查看是否已出现 Shadowrocket 对应配置。
核对状态
返回 Home 查看连接状态。若仍为 Not Connected，记录是否出现新的提示；不要仅凭授权弹窗消失就认定已连接。
再次操作仍没有弹窗时，先检查系统中是否已经存在对应配置。配置已存在时，系统未必需要再次询问；如果界面暂时没有响应，可以退出应用界面后重新打开再检查。这里的“重新打开”不是卸载，二者对已有数据的影响不同。
四、何时需要删除并重建系统 VPN 配置
重建适用于明确指向系统条目的问题，例如对应条目状态与应用反复不一致，或应用在每次启动连接时都无法完成配置流程。仅仅网页打不开、订阅更新失败或某个地址访问异常，不足以直接判断系统配置损坏。开始前先保存当前状态与报错内容，便于比较重建前后的变化。
保留资料
记录当前选用的连接、Global Routing 姿态与 Config 文件；对需要保留的应用内配置先做备份，不公开订阅链接和凭据。
停止自动连接
进入 Shadowrocket → Settings → On Demand，暂时关闭按需连接，再回 Home 关闭连接，避免排查时系统重新发起连接。
定位条目
进入系统“设置” → “通用” → “VPN 与设备管理” → “VPN”，打开 Shadowrocket 对应条目的详情，确认不是其他用途的 VPN。
删除配置
如果详情页提供“删除 VPN”，只删除已确认属于 Shadowrocket 的这一项。若系统不提供删除操作，先检查设备管理限制，不继续移除其他内容。
重新授权
返回 Shadowrocket → Home，再次启动连接，允许系统添加 VPN 配置，然后核对系统列表是否重新出现对应条目。
单独验证
先以手动连接验证结果，确认稳定后再恢复确实需要的 On Demand 设置；一次只改变一项，避免无法判断是哪项操作产生影响。
删除系统 VPN 配置的目标是重建系统接入项，不是清空 Home 的连接资料或 Config 中的规则文件。但操作前仍应保留重要资料，不把“通常不影响其他数据”当作无需备份的理由。卸载应用、清除应用数据和删除系统 VPN 是不同操作，不要把它们连做成一个排查步骤。
五、已授权但仍失败：按现象区分故障层
系统 VPN 条目存在，只说明配置已经保存；条目显示已连接，也不能证明每个目标地址都可访问。排查时分别记录“能否启动”“能否访问”“是否自动重连”，不要把这三类现象统称为权限问题。下面保留系统提示的英文标题；不同系统语言下显示可能不同。
提示标题：VPN Connection
原因与解法：这是系统 VPN 连接提示的标题，单独这个标题不能确定失败原因；先记录其下方完整说明，再核对 Home 的连接状态与系统 VPN 条目，按实际说明判断是启动配置还是连接过程失败。
| 可观察现象 | 优先核对 | 下一步 |
|---|---|---|
| Home 显示 Not Connected | 系统条目是否存在、是否刚刚拒绝授权 | 重新操作连接开关，记录系统提示；Not Connected 是状态，不是具体错误原因。 |
| 显示已连接，但目标页面打不开 | Home → Global Routing 与当前连接资料 | 运行 Home → Connectivity Test，再核对目标访问结果；测试结果不等于所有请求均正常。 |
| 关闭后又自动连接 | Settings → On Demand | 暂时关闭 On Demand，再手动断开，区分自动触发与连接开关异常。 |
| 只有部分网站异常 | Global Routing 当前姿态与 Config 中的规则 | 若使用 Config，检查相关规则及命中策略，而不是反复重建 VPN。 |
Global Routing 下的 Proxy、Direct、Config、Scene 属于路由选择，不是四种 VPN 授权方式。尤其在 Config 姿态下，规则与策略会影响具体请求的处理；在 Direct 姿态下，也不能仅凭系统 VPN 标识推断请求走了远端代理。排查前记录当前姿态，避免修改后失去对照。
结论：条目已建立后，转查连接与规则
如果重新授权后系统条目能够正常建立，而同一目标仍访问失败，下一步应核对已有连接参数、Global Routing 与相关规则，不再连续删除 VPN 配置。
六、常见问题：授权范围与恢复边界
允许添加 VPN 配置，会同时安装证书吗？
不会因为这一项授权就自动等同于安装并信任根证书。VPN 配置与证书信任是不同的系统操作。只为恢复基本连接时，不需要额外安装证书；如果遇到其他提示，应单独核对其用途与来源。
为什么系统里有 VPN，Home 还是 Not Connected？
系统保存配置与当前正在连接是两个状态。先回 Home 操作连接开关；如失败，记录完整提示。配置存在不能证明服务器可达、凭据有效或隧道已经启动，也不意味着需要重复授权。
删除系统 VPN 后，要重新导入订阅吗？
先打开 Home 检查已有资料是否仍在，不要预先重复导入。系统 VPN 条目与订阅资料用途不同；若原资料完整，只需重新启动连接并完成系统授权。确实需要更新资料时，使用自己的已有订阅，并单独验证更新结果。
每次连接都弹出添加提示，正常吗？
成功保存的配置通常不需要每次重新添加。先核对上次是否完成系统验证，再检查对应条目是否仍在；如果反复消失，查看设备管理限制，并记录完整操作过程，不以连续点击允许代替排查。
需要重置全部网络设置才能恢复吗？
不应把它作为第一步。先完成重新触发授权、检查单个条目和必要的重建。重置网络设置涉及范围更广，可能需要重新配置已有网络；若仍无法定位问题，先整理系统提示、发生步骤与管理状态，再决定后续操作。
排查结束后，保留一份不含敏感信息的记录：系统 VPN 条目是否存在、Home 显示的状态、Global Routing 姿态、On Demand 是否开启，以及触发失败的具体步骤。不要在公开截图或文字中暴露订阅 URL、服务器密码或其他凭据。这样的记录比“已经允许但不能用”更有助于准确定位问题。