Shadowrocket（小火箭）首次启动连接时，需要通过系统授权创建 VPN 配置。本文适用于 iPhone 与 iPad：先区分系统 VPN 配置与应用内 Config 文件，再说明允许、拒绝、误删后的处理路径，最后按“配置是否存在、隧道是否连接、目标是否可访问”三个层次排查。
添加 VPN 配置提示的含义
Shadowrocket 使用系统提供的 VPN 能力处理连接。首次开启 Home 中的连接开关时，系统可能询问是否允许应用添加 VPN 配置。这一步是在设备上登记应用管理的 VPN 连接项目，不是购买确认，也不是订阅更新提示。
系统提示中的流量相关说明，应在授权前阅读。允许后，应用才具备建立相应 VPN 连接所需的配置条件。哪些连接使用 Proxy、Direct 或配置规则，仍由 Shadowrocket 的运行设置决定；单击允许不会自动补齐用户已有服务商提供的服务器地址、端口或认证资料。
提示原文：“Shadowrocket” Would Like to Add VPN Configurations
原因：英文系统下可出现这类添加 VPN 配置的授权提示。这是系统权限确认，本身不代表连接故障。
处理：确认提示中的应用名称为 Shadowrocket，再选择 Allow；若暂不准备授权，选择 Don’t Allow，稍后回到应用重新发起连接。中文系统显示对应的本地化文案。
仅在自己刚刚发起连接、且能够确认应用来源时完成授权。Shadowrocket 是闭源商业应用，唯一获取入口为 App Store，开发者为 Shadow Launch Technology Limited。购买方式为一次性买断，价格与系统要求以 App Store 页面标注为准。客户端买断 ≠ 线路套餐。
首次允许：从 Home 到系统确认
以下操作以用户已有自己的服务商与连接资料为前提。先在 Home 确认资料已经保存，再触发连接，可以把“未授权”和“连接资料错误”分开处理。若尚未完成资料导入，可先查看快速上手教程。
-
确认已有资料
打开 Shadowrocket → Home，检查准备使用的服务器条目。核对地址、端口、协议与认证信息是否来自用户已有的服务商，不要凭猜测填写。
-
开启连接
在 Home 选择需要使用的条目，然后开启顶部连接开关。首次建立系统配置时，系统会显示添加 VPN 配置的授权提示。
-
确认系统授权
核对应用名称后选择 Allow。若系统随后要求设备密码或身份验证，按系统当前提供的方式完成；不要把设备密码填入服务器认证字段。
-
核对连接状态
回到 Home 查看连接状态，再到系统 Settings → General → VPN & Device Management → VPN 核对对应项目。系统语言与版本不同，栏目显示可能略有差异。
授权成功不等于所有目标都能访问。系统配置已添加、隧道已启动、目标请求成功，是三个不同的检查结果。若系统已显示连接，但某个网站仍失败，应转向连接资料、DNS 与规则排查，而不是反复删除系统配置。
系统里新增什么：VPN 项目与 Config 文件的区别
完成授权后，系统 VPN 列表通常会出现由 Shadowrocket 创建的项目。它的作用是让系统识别并管理这项 VPN 连接。日常所说的“VPN 描述文件”在此主要指这项系统连接配置，不应与设备管理描述文件、证书或应用内的规则文件混为一谈。
判断：先定位故障所在层
系统列表没有对应项目时，先重新完成添加授权；项目存在但无法连接时，再核对 Home 中的连接资料。不要用重新授权代替服务器参数检查。
| 对象 | 查看位置 | 主要作用 |
|---|---|---|
| 系统 VPN 配置 | 系统 Settings → General → VPN & Device Management → VPN | 登记 VPN 连接及其与应用的关联，显示系统连接状态。 |
| 应用内配置文件 | Shadowrocket → Config | 保存分流规则等配置内容，例如 DOMAIN-SUFFIX、IP-CIDR、GEOIP、FINAL 规则。 |
| 连接资料 | Shadowrocket → Home | 保存用户已有的服务器条目与相关认证参数。 |
| 按需连接设置 | Shadowrocket → Settings → On Demand | 按条件触发连接，排查自动重连时需要单独检查。 |
Global Routing 中的 Proxy、Direct、Config、Scene 也不是四份系统授权。它们属于应用内的路由选择。更改这些选项不等于重新添加系统 VPN 配置；排查权限问题时，先记录当前选项，避免同时改动多处而丢失判断依据。
误点拒绝后：重新发起授权
选择 Don’t Allow 后，应用不能依靠这次请求完成系统 VPN 配置的添加。已有的 Home 条目通常仍在，拒绝系统授权本身不等于删除服务器资料，也不需要因此重新购买客户端。
-
回到 Home
关闭尚未完成的连接尝试，确认 Home 中仍保留要使用的条目，再次开启连接开关，让应用重新请求所需的系统配置。
-
查看系统列表
若没有再次弹窗，打开系统 Settings → General → VPN & Device Management → VPN。已有配置时，不重复弹出首次授权框可能是正常现象。
-
检查设备限制
如果列表无法修改，或系统明确提示操作受限制，检查设备是否由组织管理。受管理设备应由管理员确认 VPN 权限，不要删除组织下发的配置。
-
重试并记录
退出当前系统设置页，再打开 Shadowrocket 发起一次连接。仍失败时，记录系统提示原文、是否已有 VPN 项目，以及 Home 的连接状态。
不要在系统中手动新建一个名字相同的普通 VPN 项目来替代应用创建的配置。名称相同不代表连接类型和应用关联相同。也不要为了获得授权安装额外证书；添加 VPN 配置与信任证书是两种独立操作。
误删 VPN 配置后：保留资料再重新生成
如果只在系统 VPN 列表删除了 Shadowrocket 对应项目，通常被移除的是系统连接配置，而不是 Home 中的服务器条目或 Config 中的规则文件。先打开应用检查资料是否仍在，再重新开启连接，让应用重新创建所需的系统配置。
- 先处理自动连接：准备主动移除配置前，在 Shadowrocket → Settings → On Demand 暂停按需连接，并断开当前连接，避免排查时反复自动启动。
- 只操作对应项目：进入系统 VPN 列表，通过对应项目的信息按钮查看详情。确认确属 Shadowrocket 后再执行移除，不要批量清理其他配置。
- 返回应用重建：在 Home 重新开启连接。系统再次请求添加 VPN 配置时，确认应用名称并完成授权。
- 复核两个位置：确认系统 VPN 项目重新出现，并检查 Home 与 Config 中原有内容。重新创建系统配置不会替用户恢复已经丢失的服务商资料。
如果此前还删除了应用，或同时移除了应用内资料，情况就不再只是“系统 VPN 配置误删”。此时应使用自己保存的资料或原有备份重新配置。不要把重新安装作为首个步骤，否则可能扩大需要恢复的范围。
已允许仍无法连接：按现象继续排查
添加授权只解决系统能否保存并使用这项 VPN 配置的问题。Shadowsocks、VMess、VLESS、Trojan、Hysteria2、WireGuard 等协议各有自己的参数要求，允许系统配置不会验证这些参数是否正确，也不会检查服务商账户是否可用。
| 可观察现象 | 优先核对 | 下一步 |
|---|---|---|
| 点连接后仍停在授权阶段 | 是否选择 Allow，是否完成系统要求的身份验证 | 回到系统 VPN 列表确认项目是否建立，保留提示原文。 |
| 系统项目存在，但连接立即结束 | 所选条目、服务器地址、端口、认证参数及当前网络 | 对照自己已有服务商提供的资料逐项检查，每次只修改一项。 |
| 显示已连接，只有部分目标失败 | Global Routing 当前选择、Config 规则和 DNS 设置 | 记录失败目标与命中策略，不先删除已正常工作的系统配置。 |
| 手动断开后又连接 | Settings → On Demand 及系统中其他 VPN 的自动连接设置 | 暂停相关自动连接条件，再复现一次，区分手动操作与规则触发。 |
提交问题时，提供发生步骤、提示原文、系统 VPN 项目是否存在、是否仅某个网络下失败即可。截图或日志应遮盖订阅链接、密码、私钥和认证令牌。更多连接排查可查看常见问题中的故障排查说明。
恢复完成的判断系统 VPN 项目存在，Home 能建立预期连接，并且测试目标按当前路由设置正常访问，才说明这次恢复覆盖了完整链路。只看到授权弹窗消失，还不足以判断连接已经恢复。