Shadowrocket（小火箭）首次連線時，需要由 iPhone 或 iPad 授權加入系統 VPN 設定。本文依序說明首次允許、檢查系統設定、拒絕後重試及刪除後復原，並釐清系統 VPN 設定、Config 檔案與訂閱的差異。適合遇到權限提示停滯、找不到系統 VPN 項目，或關閉連線後又自動連線的使用者。
首次連線：在 Home 觸發系統授權
開啟 Shadowrocket，前往 Home，確認已選取由使用者自己的服務商提供的連線項目，再開啟頂端的連線開關。首次建立系統 VPN 設定時，iOS 或 iPadOS 會顯示加入 VPN 設定的授權提示。確認提示是由 Shadowrocket 發出後，選擇「允許」，再依系統指示完成裝置身分驗證。提示的實際文字可能因系統語言與版本而異。
-
確認目前的連線項目
在 Home 選取現有的連線項目。位址、連接埠與協定參數由使用者自己的服務商提供；購買用戶端本身不會產生這些參數。
-
開啟連線開關
在 Home 開啟頂端的連線開關，等待系統顯示加入 VPN 設定的提示。請勿將 Home 右上角的「+」誤認為系統授權入口。
-
允許並完成驗證
選擇「允許」，並依系統提示驗證身分。裝置密碼只在系統驗證畫面輸入，不要填入連線項目的密碼欄位。
-
確認連線狀態
返回 Home 查看狀態，再前往系統 VPN 頁面確認是否有 Shadowrocket 項目。項目存在表示設定已加入；顯示已連線才表示目前的通道已啟動。
完成授權不代表遠端服務已可使用。系統允許建立通道，與遠端位址是否連得上、協定參數是否正確，是不同階段。請先確認設定已加入，再檢查連線及網頁存取情況，避免一再刪除設定，卻沒有改變故障原因。
系統 VPN 設定、Config 與訂閱有何不同
系統提示中的 VPN 設定，是系統用來登錄及管理 VPN 連線的記錄，並與 Shadowrocket 的網路延伸功能相關。使用者常稱它為「VPN 描述檔」，但它並非透過檔案安裝的裝置管理描述檔，也不是需要另外從網頁取得的檔案。正常首次使用時，只要由 App 發出加入要求即可。
系統 VPN 設定
- 建立方式
- Home → 頂端連線開關 → 允許系統授權
- 查看位置
- 系統「設定」→「一般」→「VPN 與裝置管理」→「VPN」
- 主要用途
- 讓系統登錄並管理 Shadowrocket 的 VPN 連線
- 完成依據
- VPN 清單中出現對應項目；連線狀態需另外確認
刪除此記錄後，需再次由 Shadowrocket 要求加入。
App 內的設定與訂閱
- Config
- 選擇及管理規則、DNS 等設定內容
- Home
- 選取連線項目，管理使用者已有的訂閱與連線參數
- 更新訂閱
- 取得服務商發布的項目更新，不會取代系統授權
- 計費方式
- 用戶端一次買斷 ≠ 連線服務方案
系統授權、規則檔案與遠端服務需分別檢查，彼此不能取代。
授權提示會說明 VPN 可能處理裝置的網路活動。這是網路權限的範圍提示，不代表每個要求都一定經過遠端代理伺服器。實際流量路徑由 Global Routing、目前 Config 的規則及連線參數共同決定；DIRECT 與 PROXY 要求的處理路徑並不相同。系統顯示 VPN 標示，也無法單獨證明特定網站的流量經過哪條路徑。
在系統設定中找到 Shadowrocket 項目
在 iPhone 或 iPad 開啟系統「設定」，前往「一般」→「VPN 與裝置管理」→「VPN」，尋找 Shadowrocket 對應的項目。部分系統版本也會在「設定」中顯示 VPN 快速入口；入口位置不同不代表設定遺失。若找不到，可使用系統「設定」上方的搜尋欄搜尋「VPN」，再前往 VPN 清單確認。
- 清單中有項目，狀態為未連線：設定已加入，但目前通道尚未啟動。返回 Home 手動連線，再觀察狀態變化。
- 清單中有項目，狀態為已連線：系統通道目前已連線。接著可實際瀏覽網頁，或使用 App 內的診斷功能確認遠端服務是否可用。
- 清單中沒有對應項目：可能尚未允許加入，或記錄已遭刪除。返回 Home 再次觸發連線，確認系統是否顯示授權提示。
- 裝置受管理：若頁面顯示組織管理資訊，且 VPN 操作受到限制，請先詢問裝置管理員；不要刪除不明的管理記錄。
請勿只根據狀態列是否顯示 VPN 字樣來判斷。狀態列版面會隨裝置與目前畫面而變化；系統 VPN 頁面中的對應項目及連線狀態，更適合用來確認。檢查時記錄「是否有項目」、「能否連線」及「連線後能否存取」三項結果，比只記下 VPN 圖示更有助於找出問題。
誤選「不允許」或誤刪設定後如何重新授權
首次顯示提示時若選了「不允許」，通常只是這次未能加入系統 VPN 設定。返回 Home，先將連線開關關閉，再重新開啟；若 App 顯示錯誤訊息，先關閉訊息再重試。這種情況不需要重新購買用戶端，也不必更新訂閱來恢復系統權限。
- 在 Home 停止目前的連線嘗試，確認開關已關閉。
- 前往系統 VPN 清單，確認是否有 Shadowrocket 項目，避免將連線失敗誤判為尚未完成授權。
- 返回 Shadowrocket 的 Home，再次開啟連線開關；系統顯示加入提示時，選擇「允許」並完成驗證。
- 若先前曾在系統中刪除該項目，請依照相同步驟重新連線，讓 App 再次建立記錄。
- 若沒有提示且清單中也沒有項目，請正常結束並重新開啟 App 後再試；若系統明確顯示受到限制，請先確認裝置管理規範。
如果系統已有項目，但連線後立即中斷，應改為檢查連線參數及網路環境。反覆等待授權提示沒有幫助，因為已完成授權的設定不需要每次連線都重新詢問。
關閉後又自動連線：檢查 On Demand
先前往 Shadowrocket 的 Settings → On Demand，確認是否啟用按需連線及其觸發條件。請分清「允許加入 VPN 設定」與「允許依條件自動連線」：前者會建立系統連線記錄，後者則決定是否在特定網路條件下自動發起連線。首次授權本身不代表已開啟所有自動連線條件。
- 若要觀察手動連線的狀況，請先在 Settings → On Demand 暫停按需連線，再返回 Home 關閉連線。
- 前往系統 VPN 清單，點選對應項目的資訊按鈕；若該頁面提供「按需連線」選項，也請一併確認其狀態。
- 在相同的網路環境下觀察，確認不再自動連線後，再逐項恢復需要的條件。
- 測試 Wi-Fi 與行動網路切換時，每次只變更一項條件，並記錄切換前後的狀態，避免把自動重新連線誤認為無法關閉。
On Demand 的用途是讓系統依條件觸發連線，並不保證遠端服務一定連得上。即使能自動啟動，服務參數錯誤或目前網路無法連到遠端服務時，仍可能連線失敗。暫時排查完畢後，請依實際使用需求恢復設定，不要未經判斷就長期固定某種狀態。
已允許但無法存取：分開檢查權限與流量路徑
系統 VPN 頁面顯示已連線，代表通道已啟動，不表示所有要求都會經由代理轉送。在 Home 查看 Global Routing 目前的選項，再檢查 Config 中選取的設定。排查時先記下原有設定，逐項檢查後再還原，避免暫時變更影響原本的區域網路或依網域分流需求。
- Proxy：依全域代理模式處理要求，還需確認目前選取的遠端連線項目可正常使用。
- Direct：依直接連線模式處理要求，不能只因 VPN 已連線就認定流量經過遠端代理。
- Config：依目前設定中的規則處理要求。請檢查符合條件的策略與規則順序，而非重新申請權限。
- Scene：確認實際生效的場景設定，不要將它視為 Config 的同義詞。
例如，Config 中的 DOMAIN-SUFFIX,example.com,DIRECT 表示符合該網域後綴的要求會使用 DIRECT；末尾的 FINAL,PROXY 則處理未符合前面規則的要求。這些設定決定流量如何處理，與系統授權是否完成無關。規則欄位可參閱設定欄位說明，首次連線步驟可參考使用教學。
常見問題：設定保留、權限範圍與復原方式
每次開啟都要允許嗎？
系統記錄正常保留時，通常不需要每次重新加入。若提示一再出現，請先到系統 VPN 清單確認項目是否在每次操作後仍存在，並檢查是否有裝置管理限制或刪除設定的操作。
需要另外安裝描述檔嗎？
首次連線所需的系統 VPN 設定由 Shadowrocket 發出加入要求。請先在 Home 開始連線並完成系統授權，不必為了這個提示另外尋找檔案。若裝置受組織管理，相關限制請洽管理員確認。
刪除 VPN 會刪掉訂閱嗎？
系統 VPN 記錄與 App 內的訂閱分屬不同項目。請先確認 Home 中的訂閱仍存在，再重新連線以加入系統記錄；不要因為缺少系統項目就立即清除 App 資料。
允許後，所有流量都會加密嗎？
授權只允許建立系統通道，並不保證所有網路路徑都會加密。請先檢查 Global Routing 與符合條件的規則，再確認使用的協定及目標網站本身的 HTTPS 狀態；不能只根據 VPN 標示下結論。
Shadowrocket 是 Apple 平台上的閉源商業 App，主要供 iPhone 與 iPad 使用，唯一取得管道為 App Store。系統需求請以 App Store 頁面標示為準。用戶端一次買斷與使用者自己的連線服務方案分別計費；本站不提供、不販售也不推薦節點或訂閱。若問題涉及遠端帳戶、有效期限或參數變更，請向使用者自己的服務商確認。