本文面向在 iPhone 或 iPad 上首次使用 Shadowrocket（小火箭）、曾拒绝 VPN 授权或误删系统 VPN 配置的用户。先区分系统 VPN 配置、应用内 Config 与订阅，再按步骤完成授权、查看系统记录和恢复连接。允许添加配置只是建立系统连接入口，不代表已有可用服务器，也不代表所有访问都会走代理。
一、添加 VPN 配置允许了什么
Shadowrocket 在 iPhone 和 iPad 上使用系统提供的 VPN 扩展能力接管网络流量。首次启动连接时，系统会询问是否允许添加 VPN 配置。点选 Allow（允许）后，系统保存这项连接配置；如系统要求验证，再使用设备密码或当前显示的认证方式完成确认。
这不是订阅导入确认，也不是每次打开网页都要授予的权限。它允许应用建立系统级网络隧道，因此系统提示会说明网络活动可能受到过滤或监控。应核对提示中的应用名称，并只在自己主动打开 Shadowrocket 连接开关时完成授权。不要把设备解锁密码填进订阅地址或服务器密码栏。
系统授权不包含线路套餐。用户仍需准备自己已有的服务商参数或订阅，并在 Home（首页）选择可用服务器。本站仅说明客户端配置与故障排查。连接授权完成后，实际访问路径还取决于 Global Routing（全局路由）和当前规则，不能仅凭 VPN 标识判断某个网站是否经过代理。
二、首次允许与拒绝后的重新授权
先完成服务器信息导入，再发起连接，便于把权限问题与服务参数问题分开。Home（首页）用于选择服务器和控制连接；Config（配置）用于选择配置文件；Settings（设置）用于调整应用行为。下列步骤针对系统 VPN 授权，不需要在系统设置中手工新建服务器。
-
检查服务器
打开 Shadowrocket → Home，确认已有服务器条目并选中目标。使用自己已有的服务信息；没有条目时，先按服务商提供的参数完成导入。
-
启动连接
在 Home 打开顶部连接开关。保持应用在前台，等待系统的添加 VPN 配置提示，不要连续反复切换开关。
-
确认授权
核对应用名称为 Shadowrocket，点选 Allow（允许）。如果系统要求设备认证，按系统界面完成，不要把服务商密码当作设备密码输入。
-
核对状态
返回 Home 查看连接状态，再到系统 Settings（设置）→ General（通用）→ VPN & Device Management（VPN 与设备管理）→ VPN 检查是否出现 Shadowrocket 条目。
如果首次点了 Don't Allow（不允许），通常只是本次添加请求被取消，不表示应用被永久禁止使用。返回 Home，将连接开关恢复为关闭后再打开，重新触发添加请求。如果开关状态没有复位，先退出当前连接流程，再关闭并重新打开应用。不要为此删除全部订阅或重置整台设备的网络设置。
系统提示：“Shadowrocket” Would Like to Add VPN Configurations
原因：系统尚未保存可用的 Shadowrocket VPN 配置，应用正在请求添加；这条提示本身不是服务器报错，中文措辞会随系统语言变化。
解法：在自己发起连接且确认应用名称后选择 Allow（允许），完成系统认证，再检查连接结果；如果刚才选择拒绝，重新从 Home 发起连接。
三、允许后在系统设置哪里查看
打开设备的 Settings（设置），不是 Shadowrocket 内的 Settings。进入 General（通用）→ VPN & Device Management（VPN 与设备管理）→ VPN。找到 Shadowrocket 对应条目，点选旁边的信息按钮查看详情。不同系统版本的入口名称和排列可能略有差异，也可以在系统设置顶部搜索“VPN”定位。
- 查看是否存在：能找到 Shadowrocket 条目，说明系统中保留着相应的 VPN 配置；不要求它始终处于连接状态。
- 查看是否连接：Connected（已连接）与 Not Connected（未连接）表示当前隧道状态，不是配置是否安装成功的评分。
- 查看自动连接：若详情中显示 Connect On Demand（按需连接），结合应用内 Settings → On Demand（按需连接）检查触发条件。
- 区分设备管理：同一页面中的管理描述文件与 VPN 条目不是同一种内容。不要为了恢复 Shadowrocket 而移除单位或学校的设备管理配置。
这里常被统称为“VPN 描述文件”，但 Shadowrocket 发起的是应用创建 VPN 配置的系统授权，不需要另行从网页下载描述文件。系统详情也不是修改 Shadowsocks、VMess、VLESS 或 Trojan 服务器参数的位置。服务器地址、端口和凭据应回到应用内检查。
四、误删 VPN 配置后的恢复步骤
在系统 VPN 详情中执行 Delete VPN（删除 VPN）后，删除的是系统连接配置。这个操作通常不会同时清空 Shadowrocket 内的服务器、订阅和 Config 文件。先打开应用核对数据是否仍在，不要把“删除系统配置”与“删除应用及其数据”当作同一件事。
-
暂停自动连接
如应用内启用了 Settings → On Demand，先记录原条件并临时关闭，避免排查时网络变化反复触发连接。
-
保留现有数据
进入 Home 核对服务器与订阅，再到 Config 核对当前配置。条目仍在时继续使用，不必重新导入，也不要先卸载应用。
-
重新添加
回到 Home，关闭残留的连接开关后再打开。出现系统添加 VPN 配置提示时选择 Allow（允许），按要求完成设备认证。
-
验证后恢复
在系统 VPN 列表确认条目已重新出现，先手动连接并访问已知网站。手动连接正常后，再恢复原先需要的 On Demand 条件。
如果删除的是整个应用，恢复范围就不同了。重新安装应用并不保证本地服务器或配置文件自动回来，需要使用自己保留的配置备份或已有订阅重新导入。订阅地址通常含访问凭据，截图求助时应遮挡完整链接、密码和标识信息。
五、不弹提示、自动重连与无法上网的区别
按“系统有没有配置、隧道能不能建立、目标能不能访问”三层检查。已有系统配置时不再弹出授权提示通常是正常现象；配置消失且请求无法完成，才应继续检查系统限制。连接成功但网页打不开，则不应反复添加同一个 VPN 配置。
开关打开了，为什么没再弹出允许？
先到系统 Settings → General → VPN & Device Management → VPN 查看。若已有 Shadowrocket 条目，系统通常直接使用现有配置。返回 Home 检查连接结果，不要把“没有弹窗”单独判定为权限失败。
刚关掉 VPN，怎么又自己连上了？
打开 Shadowrocket → Settings → On Demand，检查是否启用了符合当前网络的触发条件。先临时关闭按需连接，再从 Home 断开；需要恢复时按记录重新启用。不要只在系统列表中反复关闭开关。
条目已删除，重新连接仍不能添加？
先重开应用并再次手动连接，再检查设备是否由组织管理。受管理设备可能限制 VPN 配置，应联系管理员确认允许范围。若系统选项不可操作，记录提示原文和操作路径，不要移除管理配置来绕过限制。
显示已连接，为什么网站还是打不开？
先断开 Shadowrocket，确认当前 Wi-Fi 或蜂窝网络本身可用；再连接并核对 Home 中选中的服务器。随后检查 Global Routing 与当前 Config，最后检查 DNS。每次只改一项并复测，以免失去对照。
Global Routing 下的 Proxy（代理）、Direct（直连）、Config（按配置）和 Scene（场景）决定路由姿态，不替代系统授权。尤其是 Direct，不代表 VPN 配置被删除；Config 下的 DOMAIN-SUFFIX、IP-CIDR、GEOIP 与 FINAL 等规则也可能让不同目标使用不同路径。排查权限问题时，先保留原规则，避免同时修改路由造成新的变量。
六、恢复完成后的检查清单
恢复的目标是让系统配置、应用连接状态和实际访问结果相互对应，而不是让 VPN 图标一直显示。状态栏的呈现会受设备布局影响，不能只靠一个图标判断。完成下面的检查后，再处理订阅更新或个别网站访问问题。
- 系统 VPN 列表能找到 Shadowrocket，且没有误删其他业务所需的配置。
- Home 中服务器选择正确，连接开关能按预期打开和关闭。
- 断开时基础网络可用，连接后实际目标能按所选路由访问。
- Config 仍选中预期文件，没有因排查而清空规则或 DNS 设置。
- 如果使用 On Demand，恢复条件后检查一次网络切换，确认自动连接行为符合预期。
仍需求助时，记录设备系统信息、提示原文、系统 VPN 条目是否存在，以及问题发生在“授权前”“建立连接时”还是“连接后”。这些信息比只描述“不能用”更便于定位。分享截图前遮挡服务器地址、订阅凭据和个人信息；不要发送设备密码。