Shadowrocket 首次连接提示「添加 VPN 配置」:权限弹窗与 VPN 描述文件说明

一、先核对应用，再理解系统授权

Shadowrocket 是 Apple 平台上的付费客户端，唯一获取入口是 App Store。产品页可核对开发者 Shadow Launch Technology Limited、应用 ID 932747118 与一次性买断信息；系统要求以 App Store 页面标注为准。需要重新核验来源时，先看App Store 正版核验说明，不要把网络上看到的任意配置提示都当成本应用的操作。

首次在 Home（首页）打开连接开关时，iOS 或 iPadOS 可能显示请求添加 VPN 配置的系统弹窗。这是在请求允许应用建立系统网络扩展所需的 VPN 配置，不是再次购买客户端，也不是要求填写 App Store 付款信息。系统弹窗的完整措辞、按钮语言与验证方式会随系统语言和设备状态变化。

授权前应确认提示由刚刚主动打开的 Shadowrocket 触发，且弹窗中的应用名称相符。如果提示出现的时机与操作不符，可以先取消，返回 Home 核对后再试。系统有关流量可能经过 VPN 的提醒说明了授权范围，不表示每条连接必定都经远端代理，也不能据此认定已经建立了可用连接。

二、首次添加 VPN 配置的操作步骤

下面的操作从应用内发起，不需要先在系统设置中手工填写 VPN 服务器。系统设置中的手动 VPN 表单与 Shadowrocket 使用的网络扩展不是同一个配置入口；将订阅地址粘贴到手动表单中，不能替代应用内导入。

1. 核对已有配置

   打开 Shadowrocket → Home（首页），确认已有可选的连接项目。若尚未配置，先按自己的服务商提供的参数完成导入；订阅凭据留在本机，不贴到公开截图或求助文字中。

2. 发起连接

   在 Home 选择要使用的连接项目，再打开顶部连接开关。观察此时出现的是系统添加 VPN 配置请求，还是应用内的其他提示，不把两种情况混为一谈。

3. 允许系统添加

   核对弹窗里的应用名称，选择 Allow（允许）或系统当前语言对应的允许按钮。若系统接着要求设备验证，按屏幕提示完成；不要把订阅密码当作设备解锁密码输入。

4. 检查连接状态

   返回 Home，观察连接开关和状态显示。若仍处于关闭状态，再手动发起一次连接；若已显示连接，继续验证实际访问，不以授权弹窗消失作为成功依据。

5. 核对系统条目

   打开系统 Settings（设置）→ General（通用）→ VPN & Device Management（VPN 与设备管理）→ VPN，查找与 Shadowrocket 对应的条目。菜单译名可能略有差异，以设备显示为准。

设备解锁验证属于系统操作。若设备有组织管理限制、屏幕使用时间限制或其他禁止更改网络配置的策略，反复打开开关不能解除这些限制。应先确定这台设备是否允许自行添加 VPN 配置，再由设备管理人员处理对应策略。

三、VPN 配置、订阅与描述文件的区别

“VPN 描述文件”常被当作所有 VPN 条目的统称，但在排查时需要分开看。Shadowrocket 通过系统接口创建的 VPN 配置，不等于通过网页安装的配置描述文件，也不等于设备管理描述文件。它们可能出现在相邻的设置区域，却有不同的来源、作用和删除后果。

允许系统添加 VPN 配置，不会替你导入订阅；删除系统 VPN 条目，通常也不会直接清空 Home 中的数据。卸载应用则是另一种操作，可能影响应用本地资料，因此不应把“卸载重装”放在权限问题的第一步。

四、拒绝授权或误删后如何恢复

第一次点了 Don’t Allow（不允许）时，先回到应用确认连接开关已经关闭，再重新发起连接。不要先到系统 VPN 页面随意新建一个同名条目；名称相同不代表它与应用的网络扩展关联正确。

1. 暂停自动触发

   若此前启用过按需连接，先检查 Shadowrocket → Settings（设置）→ On Demand（按需连接），记录原有选项并临时关闭相关触发，避免排查过程中连接自动重新启动。

2. 检查系统记录

   进入系统 Settings → General → VPN & Device Management → VPN，确认 Shadowrocket 的条目是否存在。只查看与本应用有关的记录，不删除其他配置来试错。

3. 重新发起授权

   回到 Home，选择已有连接项目并打开开关。条目缺失时，按重新出现的系统添加请求完成允许和设备验证；若没有弹窗，先核对系统中是否已经保存了配置。

4. 验证恢复结果

   再次查看系统 VPN 条目与 Home 状态。若授权完成但连接失败，保留现有配置，转到连接参数和 Log（日志）排查；若仍无法添加，检查设备管理限制后再决定下一步。

如果误删的是 Home 中的订阅，而不是系统 VPN 条目，重新允许系统授权不会找回订阅内容。应使用自己保存的订阅资料恢复；恢复时只核对服务商原有信息，不把完整链接发送给无关人员。若删除的是 Config 中的规则配置，也应单独恢复该层，避免把规则问题误诊成系统权限丢失。

五、已授权仍无法连接：按状态分层检查

排查时先记下三个现象：系统 VPN 列表是否有条目、Home 的连接开关是否保持开启、实际访问是否失败。这三个观察值比“弹过窗口”更能区分问题。系统已有条目且能够进入连接阶段时，应把注意力转向连接记录，而不是重复删除并添加授权。

• 系统条目不存在：优先检查是否完成允许和设备验证，再查看是否存在组织策略限制。此阶段修改路由规则通常不能解决配置添加失败。
• 条目存在但连接立即断开：核对当前选择的连接参数是否完整、服务是否有效，并查看 Log 中同一次尝试对应的记录。保留必要错误文字，分享前遮去服务器地址、账号和凭据。
• 连接保持但部分访问失败：检查 Home → Global Routing（全局路由）当前选项。Direct（直连）不代表通过所选代理出站；Config（配置）会依据当前规则决定去向，不能把“已连接”直接理解为“所有流量均使用代理”。
• 关闭后又自行连接：检查 Settings → On Demand，并核对系统对应 VPN 条目中是否显示 Connect On Demand（按需连接）相关选项。它是触发行为，不是重新出现了购买或授权流程。

Proxy（代理）、Direct（直连）、Config（配置）与 Scene（场景）属于 Global Routing 的路由姿态，不是四种系统授权等级。更换姿态不会免除系统 VPN 配置要求。排查期间每次只改一项，并记录修改前后的状态，才能区分规则选择、远端连接与权限问题。

六、系统 VPN 隧道如何参与连接

从操作顺序看，应用先请求建立系统 VPN 配置，系统在用户允许后保存相关信息；连接启动时，网络扩展根据配置处理进入其范围的流量。后续是否使用远端代理，由应用当前路由、规则与连接设置共同决定，不能从状态栏的 VPN 标记推断具体出站路径。

VPN 状态标记说明系统连接状态，不是匿名性或可访问性的证明。DNS 解析、目标服务状态及用户已有服务的连接能力仍可能影响访问。也正因为这些环节彼此独立，恢复系统配置时无需顺带更换协议或批量修改规则；先恢复授权，再检查后续链路，排查范围更明确。

七、首次授权的常见疑问