「添加 VPN 配置」是 Apple 系统为建立本地 VPN 配置而请求的授权，不是订阅导入提示，也不表示远端连接已经成功。首次连接、曾拒绝授权或删除系统配置后，可按本文顺序核对 Home、系统 VPN 列表与 Settings → On Demand，恢复配置后再检查实际访问。
首次连接为什么需要添加 VPN 配置
Shadowrocket（小火箭）使用系统提供的网络扩展能力处理连接。第一次在 Home 打开连接开关时，如果设备中还没有可用的对应 VPN 配置，应用会向系统请求保存配置，由系统显示授权提示。中文提示通常包含「想添加 VPN 配置」，英文标题为 “Shadowrocket” Would Like to Add VPN Configurations
；具体措辞随系统语言而异。
选择「允许」后，系统可能要求通过设备密码或生物识别确认。这个确认由系统完成，不需要把设备密码填到订阅、服务器或应用内的连接参数中。配置保存成功后，Shadowrocket 才能继续请求启动隧道；是否能访问目标网站，还取决于用户已有的连接资料、当前网络及路由设置。
授权框提醒 VPN 可能处理网络活动，是系统对这类能力的说明。它不能用来判断远端连接资料是否可靠，也不代表所有请求必然经由同一个远端出口。实际处理仍由 Global Routing、当前 Config 与规则决定；敏感资料的使用范围应在连接前自行确认。
系统 VPN 条目与 Config 不是同一份配置
在 iPhone 或 iPad 上，常见检查路径是「设置 → 通用 → VPN 与设备管理 → VPN」。进入后查找与 Shadowrocket 对应的条目，并核对当前连接状态。不同系统版本的入口文字可能略有差别，也可以在系统设置中搜索「VPN」，再进入配置列表，而不是仅查看搜索结果里的总开关。
日常所说的「VPN 描述文件」容易混合两个概念：应用通过系统接口保存的 VPN 配置，以及设备管理页面中另行安装的配置描述文件。Shadowrocket 的首次 VPN 授权不等同于安装设备管理描述文件，也不等同于信任某个证书。不能因为它们出现在相邻页面，就把所有条目都当成需要删除或重新安装的对象。
| 检查位置 | 保存或控制的内容 | 不能据此判断的内容 |
|---|---|---|
| 系统设置中的 VPN 列表 | 应用对应的系统 VPN 配置、连接状态及相关系统选项。 | 用户已有订阅是否有效、远端服务器是否可达。 |
| Shadowrocket → Home | 已有连接资料、当前选择与连接开关。 | 仅有列表记录不代表已完成系统 VPN 授权。 |
| Shadowrocket → Config | 供规则模式使用的配置内容，例如分流规则。 | 选中 Config 不等于已创建系统 VPN 条目。 |
| Shadowrocket → Settings → On Demand | 符合条件时自动触发连接的相关设置。 | 自动触发不能代替首次系统授权，也不能修复错误的连接参数。 |
例如，DOMAIN-SUFFIX、GEOIP、IP-CIDR、FINAL 属于规则配置内容，不是系统 VPN 授权框的选项。修改这些规则不会重新授予系统权限；反过来，重新添加系统 VPN 配置也不会自动纠正原有规则。
误点「不允许」后怎样重新授权
拒绝本次请求通常意味着系统没有保存所需的 VPN 配置，并不等于 Shadowrocket 内的已有资料被清空。先回到 Home 观察连接开关和当前选择，不要立刻删除应用，也不要为了让提示再次出现而连续点击连接。
- 结束当前连接尝试。如果 Home 开关仍显示正在连接，先关闭，等待状态稳定后再操作。
- 检查已有资料。确认 Home 中仍有用户自己的连接资料；不要把空列表或参数缺失误判为授权问题。
- 重新打开 Home 的连接开关。没有有效系统配置时，应用可再次请求添加。系统出现提示后，确认请求来自 Shadowrocket，再选择「允许」。
- 完成系统确认。如系统要求验证设备身份，在系统界面完成；中途取消可能导致配置未能保存。
- 回到系统 VPN 列表核对。确认相应条目已经出现，再返回 Home 检查连接状态及访问结果。
系统提示：“Shadowrocket” Would Like to Add VPN Configurations
原因与解法：应用正在请求保存系统 VPN 配置，这不是服务器报错。若上次选择了「不允许」，回到 Home 关闭后重新打开连接开关，在本次系统提示中选择「允许」，并完成设备身份确认。
如果重新尝试后没有弹窗，先看系统 VPN 列表是否已经存在对应条目。已有配置时不必每次重新授权。若条目不存在、设备又属于单位或学校管理，应先核实是否有管理策略限制新增 VPN；此类限制不能靠修改订阅或切换协议解决，应联系设备管理员确认。
误删系统 VPN 配置后的恢复顺序
只删除系统 VPN 条目，与删除 Shadowrocket 应用不是同一操作。系统条目消失后，应用内 Home 的连接记录和 Config 内容通常仍然存在；应以实际检查结果为准。恢复的重点是让应用重新创建系统配置，而不是先清空本地资料。
- 检查 Home 与 Config。确认已有记录仍在，记录当前使用的连接与 Config 名称。若这些内容也已消失，单纯恢复系统授权无法把它们找回，需要使用自己保存的资料或备份恢复。
- 暂时停用自动触发。若设备不断尝试连接，先在 Settings → On Demand 暂停相关设置，避免手动恢复时被自动行为干扰。
- 从 Home 发起连接。让 Shadowrocket 请求重新添加 VPN 配置，选择「允许」并完成系统确认。不要手动新建一个名称相同、类型不同的 VPN 条目来替代。
- 核对系统条目与状态。回到「设置 → 通用 → VPN 与设备管理 → VPN」，确认对应配置已重新出现。
- 验证后再恢复 On Demand。先完成一次手动连接与实际访问检查，再按原有需求恢复自动连接条件。
卸载并重新获取应用不是这一问题的首选修复方法，因为它可能影响本地保存的资料。对于单独丢失的系统 VPN 配置，优先完成上述重建流程；只有在明确需要进一步处理应用本身时，才先做好资料备份并继续排查。
已允许但仍不能访问：分清三个检查位置
授权完成后，如果 Home 能保持连接而目标网页仍打不开，应把排查重点从「有没有允许」转向「连接与规则是否正确」。重复删除系统 VPN 配置通常无法修复远端地址、端口、认证参数或规则中的错误。
判断：系统条目已存在时，先验证连接，不重复重建
先暂停 On Demand 并手动连接一次；如果对应系统 VPN 状态能保持已连接，再检查 Home 的 Connectivity Test 与 Global Routing。只有明确发现配置丢失或保存失败，才返回授权恢复流程。
Global Routing 中，Proxy、Direct、Config、Scene 是不同的路由姿态，不是四种授权级别。Proxy 使用代理处理的总体姿态，Direct 使用直连处理的总体姿态，Config 按选定配置分流；Scene 则应结合所选场景核对实际配置。排查时先记录当前选项，不要在不了解场景内容时只凭名称切换。
- Connectivity Test 失败：核对用户已有连接的地址、端口和协议参数，并确认当前网络可用。端口必须与自己的服务配置一致，不能因为常见 HTTPS 使用
443就把所有连接都改成该端口。 - 只有部分网站失败：在 Config 模式下检查相应域名或 IP 命中的规则，以及未命中时的
FINAL处理。不要用重建系统配置替代规则核查。 - 手动断开后自动连接：检查 Settings → On Demand 及系统对应 VPN 条目中的按需连接状态；先暂停触发条件再复测，避免把自动连接误认为关闭失败。
- 订阅更新失败：更新属于已有连接资料的获取过程，与系统 VPN 配置授权不同。核实自己的订阅链接与访问条件，不要因更新失败就删除系统条目。
常见问题：权限、证书与自动连接
点过「允许」，以后每次连接都要再点吗？
通常不需要。系统已保存有效配置后，日常连接可以直接使用该配置。若每次都出现添加提示，先在系统 VPN 列表检查条目是否真正保存，并确认是否有设备管理策略或其他操作在移除配置。
允许添加 VPN 配置，是不是也允许安装证书了？
不是。VPN 配置授权与证书安装、证书信任是不同操作。恢复普通 VPN 连接时，不要额外导入证书作为通用修复办法；如果自己的特定功能确实需要证书，应单独核实用途与信任范围。
系统显示已连接，是不是所有流量都走代理？
不能这样判断。先回到 Shadowrocket 查看 Global Routing；若使用 Config，还要检查选中的规则配置。系统「已连接」反映隧道状态，不会逐条展示请求最终采用 Direct 还是代理处理。
为什么删掉配置后，订阅没有跟着消失？
系统 VPN 配置与应用内保存的连接资料分开管理。先在 Home 核对已有记录，再通过连接开关重新请求系统授权；不需要仅为恢复权限而重新导入一遍相同资料。
换到另一台 iPhone 或 iPad，还需要授权吗？
需要以新设备中的实际 VPN 配置状态为准。首次在新设备连接时，若系统要求添加配置，应在该设备完成确认；原设备曾经允许，不代表新设备也已经完成授权。兼容性与系统要求以 App Store 页面标注为准。