Shadowrocket（小火箭）请求添加 VPN 配置，是让 Apple 系统保存并管理应用使用的 VPN 连接条目，不等于导入服务商配置，也不表示已经连接成功。本文适合首次授权、误点拒绝、删除系统条目后无法连接的用户；按“确认应用来源、完成授权、核对系统条目、检查实际连接”的顺序操作即可定位问题。
添加 VPN 配置：授权的是系统连接能力
在 iPhone 或 iPad 上，Shadowrocket 首次启动连接时，需要请求系统保存 VPN 配置。系统弹窗会标明发起请求的应用，并说明 VPN 对网络流量的影响。只有确认这是刚刚在 Shadowrocket 内主动触发的操作，才继续授权；若提示出现的时机与操作不符，先取消并核对应用。
这里的“允许”是允许创建系统 VPN 条目，不是购买服务，不会替用户填写服务器地址或账户信息。后续能否连接，还取决于应用内已有的连接参数、当前网络和所选配置。本文以用户已有自己的服务商与订阅为前提，本站不提供、不销售、不推荐节点或订阅。
这几个阶段不能互相替代：看到授权弹窗，只能说明应用正在申请权限；看到系统条目，只能说明配置已保存；看到连接状态发生变化，才进入隧道运行的检查阶段。即便系统显示已连接，也仍需验证目标网站或应用是否能正常访问。
VPN 条目、描述文件与 Config 不是同一份配置
搜索“Shadowrocket VPN 描述文件”时，容易把系统 VPN 条目、设备管理描述文件和应用内 Config 混为一谈。三者都可能被称为“配置”，但保存位置、用途和删除后的影响不同。普通首次连接流程由 Shadowrocket 发起系统授权，不需要先去系统设置手工新建一种通用 VPN 类型。
| 对象 | 查看位置 | 主要用途 | 不能据此判断 |
|---|---|---|---|
| 系统 VPN 条目 | 系统 Settings → General → VPN & Device Management → VPN | 记录应用创建的 VPN 连接配置与连接状态 | 服务商参数是否正确、远端服务是否可用 |
| 设备管理描述文件 | 系统 Settings → General → VPN & Device Management 中的描述文件区域 | 承载由组织等下发的设备设置或管理策略 | 是否完成 Shadowrocket 应用内配置 |
| 应用内 Config | Shadowrocket → Config | 保存并选择规则等应用配置内容 | 系统是否已授予 VPN 配置权限 |
| 已有订阅与连接项目 | Shadowrocket → Home | 管理用户自行导入的连接资料 | 系统隧道是否已经启动 |
系统语言和系统版本可能改变菜单显示名称，上表采用英文菜单名定位。系统要求以 App Store 页面标注为准。不要因为某一层没有显示独立描述文件，就认定 VPN 权限失效；应进入 VPN 列表核对实际连接条目。
判断：先确认缺的是哪一层
Home 中连接资料仍在、Config 也仍可选，但系统 VPN 列表没有对应条目时，优先重新触发系统授权，不要先清空订阅或覆盖已有规则。
首次允许：从 Home 发起，再去系统设置核对
开始前先确认已从 App Store 获取 Shadowrocket，并核对开发者为 Shadow Launch Technology Limited。Shadowrocket 主要用于 iPhone、iPad；其他 Apple 设备的兼容性、系统要求与购买适用范围以 App Store 页面标注为准。下面的路径针对 iPhone、iPad，不需要照着其他设备的设置界面寻找同名按钮。
-
核对资料
打开 Shadowrocket → Home，确认用户自己的连接项目已保存并选中。若使用 Config，先确认当前选择的是预期配置；不要用授权操作代替连接资料导入。
-
启动连接
在 Home 打开顶部连接开关。系统尚未保存所需 VPN 配置时，会出现添加 VPN 配置的授权提示；已有有效条目时，不必每次重复弹出。
-
确认授权
核对弹窗中的应用名称后选择 Allow；若系统继续要求设备解锁验证，按系统提示完成。验证方式以设备当时显示的要求为准。
-
查看条目
进入系统 Settings → General → VPN & Device Management → VPN，检查与 Shadowrocket 对应的条目及状态。不要只看状态栏图标判断是否成功。
-
验证访问
返回 Shadowrocket，核对 Home 的连接状态，再访问自己需要使用的网站。若系统已连接而访问仍异常，转向连接资料、DNS 与规则检查，不要反复删除系统条目。
授权成功后仍显示未连接，并不一定是权限没有保存。应用可能尚未完成启动、当前连接资料不可用，或者连接被其他网络设置影响。先确认系统条目是否存在，再判断问题属于“保存失败”还是“连接失败”。
误点拒绝或误删条目：重新发起授权
首次拒绝添加 VPN 配置后，系统不会因为已经购买应用就自动补上权限。通常可以返回 Shadowrocket，再次主动开启连接，让应用重新请求保存配置。若一次操作没有弹出提示，先确认开关已回到关闭状态，再进行下一次尝试，避免连续点击造成状态难以判断。
-
保留应用资料
先在 Home 与 Config 检查已有资料是否仍在。不要把删除系统 VPN 条目当成清空应用数据，也不要为恢复权限先卸载应用。
-
暂停自动触发
若此前启用了自动连接，先进入 Shadowrocket → Settings → On Demand 检查并暂时关闭相关设置，再停止当前连接，以免排查时再次自动启动。
-
再次启动
返回 Home，重新打开连接开关；出现添加 VPN 配置提示后完成 Allow 与系统验证。若系统条目已被删除，这一步用于让应用重新创建所需条目。
-
检查系统限制
仍不能保存时，查看系统 VPN 列表和设备管理信息。受组织管理的设备可能限制 VPN 配置，应由设备管理员确认策略，不要自行移除组织描述文件。
删除系统条目并不等同于删除 Home 内的订阅或 Config 文件；反过来，重新生成系统条目也不会自动修复已失效的订阅。两类操作应分别处理。只有在确认连接已停止、已有资料已妥善保存后，才考虑针对明确损坏的条目做进一步处理。
允许后仍连不上：按权限、状态与访问分层检查
先记录故障发生在哪一步：没有弹窗、弹窗被取消、条目已保存但启动失败，还是系统已连接但网页打不开。记录完整提示和触发动作，比只描述“VPN 不行”更有助于定位。不要把所有启动错误都归因于服务商，也不要把所有访问问题都归因于系统授权。
报错：permission denied
原因与解法：若启动或保存配置时的错误详情包含此原文，表示相关操作被拒绝，但不能仅凭这两个词确定拒绝来源。先回到 Home 主动重试授权，再检查系统设备管理限制，并保留完整错误上下文。
报错：Authentication failed
原因与解法：若连接记录包含此原文，应检查其对应的认证环节与连接项目；它不等同于“未允许添加 VPN 配置”。先确认系统条目存在，再核对用户已有连接中的认证资料，不要用重复系统授权替代参数检查。
以上仅用于识别错误详情中实际出现的原文，不表示每次失败都会显示同一提示。显示内容会随失败环节变化，应以当次系统弹窗或应用记录为准。系统列表中的 Not Connected 是状态，不是指出某个根因的错误代码。
- 系统没有对应条目：返回 Home 发起连接，观察是否出现系统授权；无法创建时检查设备限制。
- 条目存在但持续启动失败：停止重复开关，保存错误原文，确认当前选中项目和网络是否符合已有连接要求。
- 已连接但目标无法访问：查看 Home → Global Routing 的当前选择，再核对 Config 中的规则与 DNS 设置。
- 手动关闭后又连接：检查 Settings → On Demand，并核对系统对应 VPN 条目的 Connect On Demand 设置；不是靠反复删除条目排查。
Global Routing 中选择 Direct 与 Config 的流量处理含义不同。Config 下的规则还可能把不同目标交给不同策略；例如 FINAL,DIRECT 表示此前规则均未命中时使用 DIRECT。这个规则不会创建系统 VPN 权限，也不能证明所有访问都经由同一出口。排查时应记录当前姿态，不要为了测试同时改动授权、规则和连接资料。
常见问题：密码、自动连接与卸载影响
允许时为什么还要输入设备密码？
这是系统对配置变更的确认流程。仅在系统授权界面按提示验证，不要把设备密码填入 Home 的连接密码或订阅地址字段。连接资料里的密码与设备解锁密码用途不同。
允许以后，所有访问都会经过代理吗？
不以“是否允许”单独决定。先查看 Home → Global Routing；使用 Config 时，再检查当前配置的规则及实际命中策略。系统 VPN 状态描述隧道状态，不等于每个请求都使用 PROXY。
为什么关掉之后过一会儿又连上？
先检查 Shadowrocket → Settings → On Demand，再查看系统 VPN 条目中的 Connect On Demand。自动连接条件与手动开关是不同层面的设置，排查期间可暂时关闭自动触发，再测试手动启动与停止。
重装应用能直接恢复所有配置吗？
不要把重装作为首选恢复步骤。重装可能影响应用内保存的资料，系统授权也可能需要重新完成。先确认自己的配置备份、订阅来源与认证信息可用，再决定是否需要重装；恢复购买本身不等于恢复连接资料。
公司设备不允许添加，应该删管理描述文件吗？
不要自行移除。先在系统 Settings → General → VPN & Device Management 确认设备管理情况，把失败时的提示、操作路径和时间交给管理员，由管理员核对 VPN 使用策略。
处理完成后，建议做一次可重复验证：关闭连接，确认系统状态变化；从 Home 再次启动，确认无需重复授权且状态正常变化；最后测试实际访问。若只有某个网站失败，应保留当时的 Global Routing、所选 Config 与错误记录，继续检查访问链路，而不是重新进行首次授权。