本文适用于在 iPhone 或 iPad 上首次使用 Shadowrocket（小火箭）、误拒绝系统授权或删除 VPN 配置后无法连接的情况。先区分系统 VPN 配置、应用内 Config 与 Home 的连接开关，再按授权、启动、流量三个层次检查。以下操作以用户已有自己的服务商与连接配置为前提，不涉及配置来源的提供或推荐。
一、添加 VPN 配置提示代表什么
Shadowrocket 启动连接需要使用系统提供的 VPN 能力。首次发起请求时，iOS 或 iPadOS 会要求用户确认，允许应用添加 VPN 配置。这里的授权是让系统保存并使用该应用的 VPN 连接配置，不等于购买连接服务，也不等于应用已经成功连接到远端。
中文系统通常显示添加 VPN 配置的请求；英文系统可见下面的提示。它属于权限确认，并不是连接报错。应先核对请求由当前正在操作的 Shadowrocket 发起，再决定是否允许；不应在不明来源的弹窗中输入设备密码。
提示：“Shadowrocket” Would Like to Add VPN Configurations
原因与解法：应用正在请求系统 VPN 配置权限。确认正在进行首次连接或重建配置后，选择 Allow，并按系统要求完成设备身份验证；若选择 Don’t Allow，本次配置添加不会完成，可回到 Home 再次发起连接。
系统后续可能要求输入设备解锁密码或进行身份验证，具体界面以设备显示为准。这里不是要求输入连接配置的密码，也不是要求输入 App Store 购买凭据。验证结束后，仍需回到应用检查实际连接状态。
二、系统 VPN 配置、Config 与连接开关的区别
用户常把系统设置里的 VPN 条目称作「VPN 描述文件」。排查时更准确的叫法是系统 VPN 配置：它负责把应用的连接请求交给系统处理。它不是 Shadowrocket 的完整备份，也不能替代应用里的连接参数或规则文件。
Home 的开关表示发起或停止连接，不是永久授权开关。Config 中的文件用于控制应用内的相关行为，例如在 Global Routing 采用 Config 时按规则处理请求。系统 VPN 配置则属于系统层。删除其中一个对象，不能简单推断另外两个对象也一起消失。
判断：先确定停在哪一层
系统里找不到 Shadowrocket 的 VPN 条目，优先检查授权；条目存在但无法保持连接，检查启动阶段；连接保持而网页失败，再检查已有配置、规则与 DNS。不要在授权尚未完成时反复修改规则。
三、首次允许后的核对步骤
建议从 Shadowrocket 的 Home 发起首次连接，而不是先在系统设置中反复切换 VPN。这样可以把当前选择的连接项目、应用反馈与系统状态对应起来。系统菜单名称可能随语言和系统版本变化，以下路径用于定位，实际以设备显示为准。
- 打开 Home，确认已有连接项目存在且已选中。如果列表为空，先按已有配置资料完成导入或录入；系统授权本身不会填充列表。
- 打开连接开关，等待系统添加 VPN 配置的请求。确认应用名称后选择「允许」，按提示完成身份验证，期间不要连续点击开关。
- 回到 Home 查看状态是否保持。若开关立即回到关闭，先记录同时出现的提示，再进入系统设置检查是否已经保存 VPN 条目。
- 打开设备「设置」→「通用」→「VPN 与设备管理」→「VPN」，寻找 Shadowrocket 对应条目；部分系统也可能提供更直接的 VPN 入口。
- 确认连接保持后，再测试一个平时能够访问的网页。把「系统已连接」和「目标页面能打开」作为两个独立检查项记录。
仅凭状态栏是否出现 VPN 标识不能完成判断：不同设备与显示场景的标识位置可能不同。应结合 Home 的状态与系统 VPN 页面核对。系统显示连接成功，也不代表每个目标都会经由相同路径访问。
四、拒绝授权或误删 VPN 配置后如何重建
误点「不允许」不等于必须重新购买或重新安装。首先回到 Home，再次打开连接开关，观察系统是否重新请求授权。若系统未弹窗，不要假定应用已经得到权限，应先查看系统 VPN 列表中是否已有条目。
- 先关闭 Home 的连接开关。如果连接会自动恢复，进入 Shadowrocket 的 Settings → On Demand 检查并暂时关闭按需连接，再回到 Home 停止连接。
- 检查 Home 中已有连接项目与 Config 中的文件是否仍在。仅删除系统 VPN 条目通常不等于删除应用内数据，但仍应以实际列表为准。
- 回到 Home 发起连接，让应用重新请求创建系统 VPN 配置。出现授权请求后完成确认，再检查系统列表是否恢复对应条目。
- 若仍无响应，正常退出并重新打开应用后再试；同时记录系统 VPN 页面的状态及应用提示。不要把删除应用作为第一步，避免丢失未备份的本地设置。
只有在已确认条目异常、知道如何恢复且已有配置得到妥善保存时，才考虑移除系统中对应的 Shadowrocket VPN 条目再重建。操作前要核对名称，避免误删其他用途的 VPN 配置。删除系统条目不是更换规则文件的方式，也不能修复错误的服务器地址或端口。
点了「不允许」，还可以重新允许吗？
可以先回到 Home 再次发起连接，并检查系统是否重新弹出请求。若没有弹窗，进入设备设置的 VPN 列表确认条目是否已存在，再按当前状态继续检查。
系统里的 VPN 条目删了，订阅也没了吗？
系统 VPN 配置与 Home 内保存的订阅、连接项目不是同一个对象。先打开 Home 核对已有内容，不要立即重复导入；若应用内内容仍在，优先重建系统授权。
重建 VPN 配置要再买一次应用吗？
重建系统 VPN 配置属于连接授权操作，不是应用购买步骤。如确实需要重新获取应用，先查看 App Store 中当前 Apple 账户的已购记录，购买适用性以商店页面标注为准。
关掉后又连上，是开关失灵了吗？
先检查 Settings → On Demand，以及系统中该 VPN 条目的按需连接设置。暂时关闭按需行为后再手动测试，区分自动触发与手动开关异常。
五、连接开关无反应时按现象排查
「无反应」可能指没有权限弹窗、开关立即回落、一直处于连接过程，或连接成功但网页不通。这些现象对应不同环节。每次只改变一个条件，保留原始选择和提示，才能判断哪一步影响了结果。
| 观察到的现象 | 先检查什么 | 下一步操作 |
|---|---|---|
| 首次打开，没有授权请求 | 系统 VPN 列表是否已有 Shadowrocket 条目 | 已有条目时查看连接状态；没有条目时重新打开应用发起连接，并核对设备管理限制 |
| 允许后开关立即关闭 | 应用提示、当前选中项目与系统条目 | 记录提示，核对已有配置完整性，再进行一次手动连接 |
| 手动关闭后自动恢复 | Settings → On Demand 与系统按需连接设置 | 暂时关闭按需连接，再观察手动开关是否能保持关闭 |
| 另一条 VPN 正在连接 | 系统 VPN 页面中的当前活动连接 | 先停止另一条手动连接，再回到 Home 测试，避免交替切换导致判断混乱 |
| 系统显示已连接，但网页失败 | 已有连接参数、Global Routing、DNS 与目标地址 | 转入流量排查，不要仅因网页失败就删除系统 VPN 配置 |
若只有某个 Wi-Fi 下失败，可以在具备可用网络条件时切换到另一网络复测，记录两次结果是否相同。不要在切换网络的同时修改协议、DNS 和规则，否则无法判断故障来自网络环境还是配置变化。向支持人员描述问题时，用「开关回落」或「已连接但访问失败」替代笼统的「不能用」。
六、已连接但不能访问，不要重复处理授权
系统 VPN 条目存在、连接状态能够保持时，通常已经越过了添加配置这一关。接下来应核对 Home 的选中项目与 Global Routing。Proxy、Direct、Config、Scene 属于路由选择，不是四种系统授权；切换它们不会代替「允许添加 VPN 配置」。Scene 还需结合已有场景设置判断，不适合在未知条件下作为通用修复选项。
- 核对连接参数：按用户已有资料逐项检查服务器地址、端口及认证信息。Shadowsocks、VMess、VLESS、Trojan、Hysteria2、WireGuard 的参数不能相互套用；不要为了排查授权问题随意更换协议。
- 核对路由选择：Direct 用于直接连接，Proxy 用于代理路由，Config 按所选配置处理。若结果与预期不同，先记下当前模式，再检查对应设置。
- 核对规则文件：Config 中的 DOMAIN-SUFFIX 匹配域名后缀，GEOIP 与 IP-CIDR 涉及目标地址判断，FINAL 用于前面规则未命中时的最终处理。规则错误与系统授权是不同问题。
- 核对 DNS：延迟测试有结果只说明该测试条件下获得响应，不保证网页的域名解析、目标连接和后续传输都正常。保留失败域名与测试时的网络条件，再检查 DNS 设置。
- 谨慎更新订阅：先确认问题确实涉及已有配置失效，再更新用户自己的订阅。更新订阅不会重建系统 VPN 授权，也不应作为每次开关异常的固定步骤。
提交排查信息时，可记录设备类型、系统版本、授权是否弹出、系统条目是否存在、Home 的状态、Global Routing 当前选择，以及切换网络前后的差异。不要公开完整订阅地址、认证密码或私钥；截图中的敏感字段应先遮蔽。系统要求与兼容性以 App Store 页面标注为准。
结论：把授权检查与访问检查分开
先取得「系统条目存在、连接状态保持」这两个结果，再调整流量相关设置。若两项都成立，下一步应核对已有配置与失败目标，而不是反复删除 VPN 条目。