Shadowrocket（小火箭）首次建立连接时，需要由 iPhone 或 iPad 的系统保存 VPN 配置。本文适合遇到授权弹窗、误点取消或删除 VPN 配置后无法连接的用户：先区分系统授权与应用内配置，再按步骤重新授权，最后判断问题是否已转到连接参数或规则层面。以下操作以用户已有自己的服务商与订阅为前提。
首次弹窗：系统正在请求什么权限
首次在 Shadowrocket 的 Home 打开连接开关时，系统可能显示添加 VPN 配置的确认框。这个提示由系统呈现，作用是允许应用保存并使用相应的 VPN 配置，而不是要求再次购买客户端，也不是导入订阅的提示。选择允许后，系统还可能要求使用设备密码或设备支持的身份验证方式确认。
提示：Would Like to Add VPN Configurations
原因：应用请求向系统添加 VPN 配置；这是正常的权限确认，不是连接失败报错。
处理：确认提示中的应用名称为 Shadowrocket，且弹窗紧接自己打开连接开关的操作后出现，再选择 Allow 并完成系统验证；不准备连接时可以选择 Don’t Allow。
提示文字会随系统显示语言变化。系统关于网络活动可能被过滤或监控的说明，是对 VPN 能力范围的提醒：进入隧道的数据需要由配置所指定的网络扩展处理。它不等于所有流量已经送往远端，也不能单凭这个提示判断当前规则、DNS 或远端服务是否正确。
授权意味着允许建立相应的网络通道，并不意味着网页一定能打开。系统配置保存成功、隧道启动成功以及目标网站访问成功，是三个需要分别核对的结果。若已经允许却仍连接失败，不应把反复点击授权当作通用修复方法。
首次授权：从 Home 到系统确认
开始前先确认 Shadowrocket 来自 App Store，并已准备好用户自己的连接信息。客户端购买与线路服务是两件事；允许系统 VPN 配置也不会自动生成可用的远端连接。以下步骤主要适用于 iPhone 和 iPad，系统要求以 App Store 页面标注为准。
-
核对连接项
打开 Shadowrocket → Home，确认已经导入自己的信息，并选中预期使用的连接项。不要仅凭系统授权成功就判断订阅内容有效。
-
打开连接
在 Home 打开顶部连接开关。留在当前页面等待系统响应，不要连续快速切换开关，避免把多个状态变化混在一起。
-
确认权限
在系统添加 VPN 配置的提示中核对 Shadowrocket，选择 Allow。若出现设备验证，按系统要求完成；这里需要的是设备验证，不是服务商密码。
-
核对系统项
进入系统 Settings → General → VPN & Device Management → VPN，查看是否存在对应的 Shadowrocket 项。不同系统版本的入口文字和层级可能略有区别，可在系统 Settings 搜索 VPN。
-
验证访问
回到 Home 核对连接状态，再访问一个平时能正常打开的网页。若系统项已存在但访问失败，记录当前网络与 Global Routing 选择，转向连接和规则排查。
如果第一次选择了 Don’t Allow，系统就没有完成这次配置添加。返回 Home 再次尝试连接，按实际出现的系统提示处理即可。若没有重新弹窗，先检查系统 VPN 列表中是否已经有该应用的配置，而不是直接删除应用。
VPN 配置、Config 与管理描述文件的区别
日常所说的“VPN 描述文件”容易混淆几种不同对象。Shadowrocket 使用的系统 VPN 配置，是系统管理隧道的记录；应用内 Config 保存的是分流等配置内容；同一系统设置页面中的设备管理描述文件，则可能由组织管理设备。三者不能互相替代，也不应一起删除。
| 对象 | 核对位置 | 主要作用 |
|---|---|---|
| 系统 VPN 配置 | 系统 Settings → General → VPN & Device Management → VPN | 保存应用关联的隧道配置，供系统建立和管理连接。 |
| 应用内 Config | Shadowrocket → Config | 管理应用使用的配置文件，包括适用的规则与相关设置。 |
| 设备管理描述文件 | 系统 Settings → General → VPN & Device Management | 可能包含组织部署的限制或设置，不属于本文建议删除的对象。 |
判断：只处理明确属于 Shadowrocket 的 VPN 项
需要重建授权时，先在 VPN 列表核对名称及应用归属；无法确认的组织管理项目应交由设备管理员处理，不要为了重置连接而移除整个管理描述文件。
删除系统 VPN 项通常不会同时清空 Shadowrocket 内 Home 的连接信息或 Config 中的文件，但这不应代替备份。操作前应确认自己的原始订阅或配置仍可恢复。尤其不要把“删除 VPN 配置”和“删除应用及其数据”混为一步，后者对本地内容的影响范围更大。
误删之后：重新建立系统 VPN 配置
系统 VPN 配置被删除后，应用需要再次保存可用的系统配置才能启动隧道。重建时仍从 Shadowrocket 发起，不需要在系统页面手工拼写服务器地址、账户或协议类型。手工创建的通用 VPN 项不能代替应用自己的网络扩展配置。
-
暂停按需
进入 Shadowrocket → Settings → On Demand，暂时关闭已启用的按需连接设置，再回到 Home 关闭连接。这样可以减少操作期间系统自动重新连接造成的干扰。
-
确认删除项
若原配置已经删除，直接继续下一步；若正在主动重建，进入系统 VPN 列表，打开明确属于 Shadowrocket 的项目详情，选择 Delete VPN。不要删除名称或归属不明的项目。
-
重新连接
回到 Shadowrocket → Home，确认原有连接项仍在，再打开连接开关，让应用重新请求保存系统 VPN 配置。
-
完成验证
若系统再次显示添加提示，选择 Allow 并完成设备验证。之后回系统 VPN 列表确认对应项目已恢复，再检查 Home 的连接状态。
-
恢复按需
先完成一次手动连接和网页访问验证，再按原来的使用需求恢复 Settings → On Demand。不要在手动连接尚未正常时同时修改多个按需条件。
若开关立即回到关闭状态，先确认授权是否被取消，以及系统 VPN 列表能否保存对应项目。若设备受组织管理且没有删除或添加权限，应向管理员确认网络扩展相关限制。反复删除、重装或重启不能替代对管理策略的核对。
授权之后：系统隧道与规则如何衔接
系统授权解决的是应用能否建立相应隧道的问题；具体流量怎样处理，还取决于 Shadowrocket 当前的 Global Routing 和配置。下面的流程是使用 Config 并进行规则分流时的概念说明，不代表每一条请求都会经过远端代理。
- Proxy：使用代理路由姿态。系统已授权但远端连接参数有误时，仍可能无法正常访问。
- Direct：使用直连路由姿态。不能仅凭系统 VPN 显示已连接，就判断流量一定经过远端代理。
- Config：依据选中的配置处理规则，例如
DOMAIN-SUFFIX、IP-CIDR、GEOIP与兜底的FINAL。应检查实际规则顺序与目标策略。 - Scene：按所配置的场景设置处理。排查时需要核对当前场景，而不是仅记录这个选项的名称。
因此，系统 VPN 项存在但网页失败时，应分开检查本地网络、当前连接项、DNS 以及规则策略。权限重建不会自动修正服务器地址、端口、认证信息或传输设置；修改这些参数也不会替代系统授权。每次只改变一个条件，才能知道是哪一项影响了结果。
常见情况：取消、反复提示与自动重连
刚才点了不允许，要重新购买吗？
不需要。购买记录与系统 VPN 授权是两件事。回到 Home 再次打开连接开关，按系统实际提示确认；若没有弹窗，先到系统 VPN 列表检查是否已经保存配置。
为什么每次打开都让我添加？
先完成一次授权后立即查看系统 VPN 列表，确认项目是否真正保留。若未保留，核对设备验证是否完成、设备是否受管理限制；若已保留，记录重复提示出现前的操作，不要继续盲目删除配置。
关了连接，怎么又自己连上了？
进入 Shadowrocket → Settings → On Demand 检查按需设置，排查时先暂停，再观察手动断开是否能保持。On Demand 是连接触发机制，不是另一份订阅，也不表示连接参数已经正确。
允许之后还需要信任证书吗？
建立普通 VPN 连接不以额外安装并信任根证书为前提。证书信任与系统 VPN 授权是不同操作，不应为了消除添加提示而随意更改证书信任设置。
已经 Connected，但网页打不开怎么办？
先确认当前网络能正常访问，再记录 Home 中所选连接项及 Global Routing。系统隧道已建立时，应继续检查参数、DNS 和规则；向支持人员反馈时遮盖订阅链接、密码及认证信息。
提交故障信息时，保留三项最有用的观察：授权后系统 VPN 项是否存在、Home 连接开关能否保持开启、失败发生在所有网站还是个别目标。记录 Wi-Fi 或蜂窝网络等测试条件，并说明是否暂停了 On Demand。这样可以把权限保存问题与连接质量问题分开，而不必公开自己的完整配置。