Shadowrocket（小火箭）首次建立连接，需要先取得系统添加 VPN 配置的授权。这份系统配置负责连接入口，不等于应用中的 Config 文件，也不包含一份自动可用的连接服务。本文面向已经拥有自己的服务商与配置、但卡在授权或系统 VPN 设置的 iPhone、iPad 用户，按首次允许、误点拒绝、误删恢复与反复断开四种情况说明检查顺序。
一、为什么首次连接需要添加 VPN 配置
先说结论：如果提示是在你主动打开 Shadowrocket 的 Home 连接开关后出现，且提示中的应用名称正确，那么它是系统建立 VPN 配置的授权步骤。只完成应用安装、导入订阅或选中一条连接，并不等于系统已经允许应用建立网络隧道。
Shadowrocket 使用系统提供的网络扩展能力处理流量。系统 VPN 配置把应用的网络扩展与设备上的 VPN 连接入口关联起来；应用内部再按照当前 Global Routing 与配置决定如何处理进入隧道的请求。系统使用 VPN 这一名称，不意味着每个请求都会发往同一个远端，也不意味着所有流量都采用同一种出站方式。
允许添加后，系统仍可能要求通过设备密码或系统认证确认，具体呈现由系统决定。此处使用的是设备的认证方式，不是订阅密码，也不应把服务商提供的连接密码填入系统认证提示。只有在自己发起连接时处理这一步；若提示来源或出现时机不明，先取消，再回到应用核对。
二、系统 VPN 配置、描述文件与 Config 的区别
用户常把系统设置中看到的 VPN 条目统称为“VPN 描述文件”。排查时应进一步区分：VPN 连接配置、设备配置描述文件，以及 Shadowrocket 的 Config 是三个不同层面的对象。它们可能在相邻的系统设置页面出现，但不能互相替代。
| 对象 | 查看位置 | 主要作用 |
|---|---|---|
| 系统 VPN 配置 | 系统 Settings → General → VPN & Device Management → VPN | 保存系统连接入口与对应网络扩展的关联，供系统启动、停止或按需触发连接。 |
| 设备配置描述文件 | 系统 Settings → General → VPN & Device Management | 可由组织用于下发设备设置、证书或 VPN 等管理内容，不是每次应用连接都需要安装的文件。 |
| 应用内 Config | Shadowrocket → Config | 用于配置规则、DNS 等应用层行为；是否参与分流还要结合 Global Routing 判断。 |
系统显示中文时，上述路径通常对应“设置 → 通用 → VPN 与设备管理 → VPN”；部分系统还会提供更直接的 VPN 入口，以设备实际显示为准。打开条目时，应核对名称及其关联的应用，而不是只看列表中是否存在任意一个 VPN。
判断：先确认缺的是哪一层
系统列表没有 Shadowrocket 对应条目，就回应用重新触发授权；条目存在且能够连接，但指定网站行为不符，再检查 Global Routing 与 Config。不要用反复删除系统条目的方式修正规则。
三、首次允许添加的操作顺序
下面的步骤以已经拥有自己的服务商与可用配置为前提。购买客户端与取得连接服务是两件事；系统授权也不会补齐服务器地址、端口、凭据或规则。第一次操作时，先保留应用内当前配置，避免同时更改多个变量。
-
核对现有配置
打开 Shadowrocket → Home，确认自己的连接条目已导入，并选中准备使用的条目。只导入了 Config，不代表已经具备可用的远端连接参数。
-
打开连接开关
在 Home 打开连接开关，等待系统显示添加 VPN 配置的提示。不要在提示尚未处理时连续切换开关。
-
确认系统授权
核对提示中的 Shadowrocket 名称，选择允许；若系统要求认证，按设备提示完成。取消认证时，本次添加可能不会完成。
-
查看系统条目
进入系统 Settings → General → VPN & Device Management → VPN，检查对应条目及状态，再回 Home 确认连接状态。
-
验证实际访问
访问自己熟悉且有权访问的页面，记录是否成功。系统显示已连接只说明隧道状态，不能代替对 DNS、规则及远端服务的检查。
首次授权后，正常的后续连接一般会复用已保存的系统配置，而不是每次都要求重新添加。若以后频繁出现添加提示，应先核对系统条目是否被删除、应用能否保存设置，以及设备是否受到管理策略限制。
四、误点「不允许」或误删后如何恢复
误点“不允许”通常表示本次没有完成添加，不等于订阅失效。先回到 Shadowrocket → Home，确认当前连接开关已经关闭，再主动打开一次，让应用重新尝试建立或保存系统 VPN 配置。若仍没有提示，先去系统 VPN 列表核对：可能已经有对应条目，此时不需要再次添加。
- 提示重新出现：核对应用名称，选择允许并完成系统认证，然后查看连接状态。
- 误删的是系统 VPN 条目：保留应用内数据，返回 Home 再次打开连接开关，让应用重建关联配置。
- 误删的是应用内 Config：系统 VPN 条目不会自动恢复规则文件；应从自己的备份或原有配置来源恢复，再核对当前选中项。
- 误删的是 Home 中的连接：需要用自己原有的服务参数或订阅重新导入；仅重新允许系统 VPN 授权不能找回该条目。
删除系统 VPN 条目通常不会同步删除 Shadowrocket 内的 Home 条目与 Config，但应当实际打开应用检查，不能把“系统里删掉了”理解为“所有应用数据都清空了”。反过来，重装应用可能影响本地数据，不应作为第一步；恢复前先保存自己有权保留的配置，避免把授权问题扩大成数据恢复问题。
五、授权失败与连接失败分开检查
授权阶段的问题，是系统配置未能添加或启用；连接阶段的问题，是已有配置启动后无法维持连接，或者请求无法完成。两者检查顺序不同。先观察系统 VPN 列表能否看到对应条目，再记录 Home 开关是否立即回落、系统状态是否持续连接、页面是否可以打开。
报错：The VPN configuration is invalid.
原因与解法：这是系统 VPN 配置无效这一类错误的英文描述，具体显示语言及呈现位置可能不同。若诊断信息出现此文案，先停止连接并核对系统中的对应条目；保存应用内配置后，仅重建 Shadowrocket 对应的系统 VPN 条目，再重新授权。不要仅凭这条错误就修改订阅链接或远端端口。
误点“不允许”是一次授权选择，不应把它记录成上述配置无效错误。排查时应保留屏幕真正显示的文案；没有出现错误文字，就记录可观察状态，例如“允许后列表新增条目，但连接开关立即关闭”，不要为现象补写一个并未出现的错误码。
| 可观察现象 | 优先检查 | 下一步 |
|---|---|---|
| 拒绝后没有系统条目 | 添加授权是否完成 | 回 Home 重新打开连接开关，处理系统提示。 |
| 条目存在，开关立即关闭 | 系统配置、网络扩展启动与诊断记录 | 记录错误原文，停止其他个人 VPN 连接后单独测试。 |
| 系统已连接，页面无法打开 | 远端参数、DNS、Global Routing 与规则 | 核对用户已有服务状态和应用当前配置，不先删除系统条目。 |
| 手动关闭后又自动连接 | On Demand 与其他自动连接策略 | 先检查 Settings → On Demand，暂时停用后再验证手动开关。 |
Global Routing 选择 Config 时，应继续查看 Config 中的规则；Proxy 与 Direct 代表不同的全局处理姿态，不能只因连接开关开启就认定所有请求都走代理。On Demand 则决定满足条件时是否自动建立连接，不是授权失败的替代解决办法。测试前记录当前选项，每次只改一项，才能判断哪个设置影响了结果。
六、权限与描述文件的常见追问
点了允许，是不是订阅就能用了？
不是。允许只完成系统连接入口的授权。回 Home 核对自己的连接条目，再按原有服务信息检查地址、端口、凭据及有效状态。订阅能更新，也不代表其中每条连接当前都能成功出站。
为什么找不到一个可下载的 VPN 描述文件？
本流程由 Shadowrocket 在你打开连接开关时向系统申请添加 VPN 配置，不要求另外取得描述文件。先检查系统 VPN 列表与 Home 状态，不要把网页要求安装的证书或设备管理描述文件当作这一步。
关掉后又连上，是不是授权没关掉？
系统保存配置与当前是否连接是两件事。先在 Shadowrocket → Settings → On Demand 检查按需连接，再查看系统中对应 VPN 条目的按需连接设置（若有）。暂停自动连接后再手动关闭，观察是否还会重连。
重启设备以后，还需要再允许一次吗？
重启本身通常不会删除已经保存的系统 VPN 配置。若再次要求添加，进入系统 VPN 列表核对条目是否仍存在；记录是否曾删除条目、重新安装应用或更改设备管理设置，不要仅凭重启就判断配置损坏。
其他 VPN 也在列表里，要全部删掉吗？
不需要批量删除。先停止其他个人 VPN 连接，避免测试时互相切换，再只启动 Shadowrocket。涉及组织管理的连接先向管理员确认；只有明确定位到本应用条目需要重建时，才处理该条目。
七、仍未恢复时应记录什么
如果按上述顺序仍不能恢复，整理信息比重复允许、删除、重装更有用。把“添加不成功”“启动失败”和“已连接但访问失败”分别记录，才能把问题交给正确的检查环节。需要进一步排查时，可使用本站的故障排查说明。
- 设备与系统：记录 iPhone 或 iPad 型号及设备实际系统信息；系统要求以 App Store 页面标注为准。
- 触发步骤：说明从 Home 打开连接后，是未出现提示、点允许后失败，还是连接一段时间后断开。
- 系统状态：记录系统 VPN 列表是否有对应条目、连接状态，以及 Settings → On Demand 是否开启。
- 诊断内容：保留错误原文和发生时间；分享前移除订阅完整地址、访问令牌、密码、服务器信息及其他个人数据。
Shadowrocket 是 App Store 发行的付费客户端，采用一次性买断；客户端买断 ≠ 线路套餐。购买前核对开发者 Shadow Launch Technology Limited 与应用 ID 932747118。本文的系统授权操作以 iPhone、iPad 为主，兼容性及系统要求以 App Store 页面标注为准。