Shadowrocket（小火箭）首次连接时，需要由 iPhone 或 iPad 授权添加系统 VPN 配置。本文按首次允许、系统核对、拒绝后重试、删除后恢复的顺序说明操作，并区分系统 VPN 配置、Config 文件和订阅。适合停在权限弹窗、找不到系统 VPN 条目，或关闭连接后又自动连上的用户。
首次连接：在 Home 触发系统授权
打开 Shadowrocket，进入 Home，确认已选中用户自己服务商提供的连接条目，再打开顶部连接开关。首次建立系统 VPN 配置时，iOS 或 iPadOS 会弹出添加 VPN 配置的授权提示。确认提示对应 Shadowrocket 后，选择「允许」，再按系统要求完成设备身份验证。系统提示的具体措辞可能随系统语言和版本变化。
-
核对当前条目
在 Home 选中已有连接条目。地址、端口和协议参数来自用户自己的服务商；购买客户端本身不会生成这些参数。
-
打开连接开关
在 Home 打开顶部开关，等待系统出现添加 VPN 配置的提示。不要把 Home 右上角「+」当作系统授权入口。
-
允许并验证
选择「允许」，依照系统提示验证身份。设备密码只在系统验证界面输入，不填写到连接条目的密码字段。
-
核对连接状态
返回 Home 查看状态，再到系统 VPN 页面确认 Shadowrocket 条目存在。条目存在表示配置已添加；显示已连接才表示当前隧道已启动。
授权完成并不等于远端服务已经可用。系统允许建立隧道，与远端地址能否连接、协议参数是否正确，是不同阶段。先确认配置已添加，再检查连接和网页访问，可以避免反复删除配置却没有改变故障条件。
系统 VPN 配置与 Config、订阅的区别
系统提示中的 VPN 配置，是系统用于登记和管理 VPN 连接的记录，关联 Shadowrocket 的网络扩展。用户常把它称作「VPN 描述文件」，但它不等同于通过文件安装的设备管理描述文件，也不是需要额外从网页取得的文件。正常首次使用时，由 App 发起添加请求即可。
系统 VPN 配置
- 创建入口
- Home → 顶部连接开关 → 系统允许
- 查看位置
- 系统「设置」→「通用」→「VPN 与设备管理」→「VPN」
- 主要用途
- 让系统登记并管理 Shadowrocket 的 VPN 连接
- 成功依据
- VPN 列表中出现对应条目；连接状态另行核对
删除此记录后，需要再次由 Shadowrocket 请求添加。
App 内配置与订阅
- Config
- 选择和管理规则、DNS 等配置内容
- Home
- 选择连接条目，管理用户已有订阅与连接参数
- 订阅更新
- 获取服务商发布的条目变化，不代替系统授权
- 计费关系
- 客户端买断 ≠ 线路套餐
系统授权、规则文件与远端服务分别检查，不相互替代。
授权提示会说明 VPN 可能处理设备网络活动。这是网络权限的边界提示，不代表每个请求一定经过远端代理服务器。实际流向由 Global Routing、当前 Config 中的规则和连接参数共同决定；DIRECT 请求与 PROXY 请求的处理路径不同。系统出现 VPN 标识，也不能单独证明某个网站的流量走了哪一条路径。
在系统设置中找到 Shadowrocket 条目
在 iPhone 或 iPad 打开系统「设置」，进入「通用」→「VPN 与设备管理」→「VPN」，查找与 Shadowrocket 对应的条目。部分系统版本也会在「设置」中显示 VPN 快捷入口；入口排列不同，不代表配置丢失。找不到时可使用系统「设置」顶部搜索框搜索「VPN」，再进入 VPN 列表核对。
- 列表有条目，状态未连接：配置已经添加，目前隧道未启动。回到 Home 手动连接，再观察状态变化。
- 列表有条目，状态已连接：系统隧道处于连接状态。接下来用实际网页访问或 App 内诊断确认远端可用性。
- 列表没有对应条目：可能尚未允许添加，或记录已被删除。回到 Home 再次触发连接，观察是否出现系统授权。
- 设备受管理：如果页面显示组织管理信息且 VPN 操作受限，先询问设备管理员，不删除不明管理记录。
不要仅凭状态栏是否出现 VPN 字样判断。状态栏布局会随设备和当前界面改变，系统 VPN 页面中的对应条目与连接状态更适合用于核对。检查时记录「有无条目」「能否连接」「连接后能否访问」三个结果，比只记录一个 VPN 图标更便于定位问题。
误点不允许，或误删配置后重新授权
首次弹窗选择了「不允许」，通常只是本次系统 VPN 配置没有添加成功。返回 Home，将连接开关恢复到关闭状态，再重新打开；若 App 显示错误提示，先关闭提示再重试。这里不需要重新购买客户端，也不需要用更新订阅来恢复系统权限。
- 在 Home 停止当前连接尝试，确认开关处于关闭状态。
- 进入系统 VPN 列表，确认 Shadowrocket 条目是否存在，避免把连接失败误认为授权未完成。
- 回到 Shadowrocket 的 Home，再打开连接开关；出现系统添加提示时选择「允许」并完成验证。
- 若曾在系统中删除该条目，执行同样的重新连接流程，让 App 重新创建记录。
- 仍无提示且没有条目时，正常退出并重新打开 App 后再试；若系统明确显示限制，先检查设备管理要求。
如果系统已有条目，只是连接立即断开，应转向连接参数和网络环境排查。反复等待授权弹窗没有意义，因为已完成授权的配置不需要每次连接都再次询问。
关闭后又连接：检查 On Demand
先进入 Shadowrocket 的 Settings → On Demand，检查是否启用了按需连接及其触发条件。需要区分「允许添加 VPN 配置」与「允许按条件自动连接」：前者提供系统连接记录，后者决定特定网络条件下是否自动发起连接。首次授权本身不等于开启所有自动连接条件。
- 需要观察手动连接行为时，先在 Settings → On Demand 暂停按需连接，再返回 Home 关闭连接。
- 进入系统 VPN 列表，点对应条目的信息按钮；若该页面提供「按需连接」选项，同时核对其状态。
- 保持在同一网络环境观察，确认不再自动连接后，再逐项恢复所需条件。
- 测试 Wi-Fi 与蜂窝网络切换时，每次只更改一个条件，记录切换前后的状态，避免把自动重连当作关闭失败。
On Demand 的作用是让系统按条件触发连接，不是远端连通性的保证。即使能够自动启动，服务参数错误或当前网络无法到达远端时，仍可能连接失败。临时排查结束后，应按实际使用需求恢复设置，而不是机械地长期保持某一种状态。
已允许却无法访问：把权限与流量路径分开
系统 VPN 页面显示已连接，表示隧道已启动，不代表所有请求都经代理转发。在 Home 查看 Global Routing 的当前选择，再检查 Config 中选中的配置。排查时记录原设置，逐项检查后恢复，避免临时更改影响原来的局域网或按域名分流需求。
- Proxy：按全局代理姿态处理请求，还需确认当前选中的远端连接条目可用。
- Direct：按直接连接姿态处理请求，不能仅凭 VPN 已连接就认为流量经过远端代理。
- Config：依据当前配置的规则处理请求。检查命中的策略与规则顺序，而不是重新申请权限。
- Scene：核对实际生效的场景设置，不把它视为 Config 的同义项。
例如，Config 中的 DOMAIN-SUFFIX,example.com,DIRECT 表示该域名后缀匹配 DIRECT；末尾的 FINAL,PROXY 处理未被前文命中的请求。这些是流量决策，与系统授权是否完成无关。规则字段可继续查阅配置字段说明，首次连接顺序可参照使用教程。
常见问题：保留配置、权限范围与恢复边界
每次打开都要允许吗？
系统记录正常保留时，通常不需要每次重新添加。若反复出现提示，先到系统 VPN 列表检查条目是否在每次操作后仍存在，并确认是否有设备管理限制或删除配置的操作。
是不是要另装描述文件？
首次连接所需的系统 VPN 配置由 Shadowrocket 发起添加。先在 Home 连接并完成系统授权，不需要为这个弹窗额外寻找文件。组织管理设备的限制则由管理员确认。
删除 VPN 会删掉订阅吗？
系统 VPN 记录与 App 内订阅属于不同层。先确认 Home 中订阅仍在，再重新连接以添加系统记录；不要因缺少系统条目就立即清空 App 数据。
允许以后就是全部加密吗？
授权允许建立系统隧道，不是所有网络路径的加密承诺。先查看 Global Routing 与命中规则，再核对所用协议及目标网站自身的 HTTPS 状态，不能只根据 VPN 标识下结论。
Shadowrocket 是 Apple 平台上的闭源商业应用，以 iPhone 和 iPad 为主要使用设备，唯一获取入口为 App Store。系统要求以 App Store 页面标注为准。客户端一次性买断与用户自己的线路套餐分别计费；本站不提供、不销售、不推荐节点或订阅。若问题涉及远端账户、有效期或参数变化，应向用户自己的服务商核实。