Shadowrocket（小火箭）首次连接时，需要获得系统添加 VPN 配置的许可。这个许可用于建立由应用管理的网络隧道，不等于购买连接服务，也不等于安装设备管理描述文件。本文适合遇到首次授权、误点拒绝、删除配置后无法连接或关闭后自动重连的用户，按“确认配置归属、检查 On Demand、重建授权、验证连接”的顺序操作。
添加 VPN 配置：系统授权的用途
在 Home 打开连接开关后，Shadowrocket 会请求系统保存 VPN 配置。系统弹窗是 iPhone 或 iPad 对网络配置变更的确认，不是订阅导入提示。允许后，系统才能按这份配置启动应用的隧道扩展，将需要处理的流量交给 Shadowrocket。根据设备当前的安全设置，确认过程中可能需要设备密码或身份验证。
这里的 VPN 指系统网络隧道机制，不表示用户必须手动填写系统内置的 VPN 服务器表单。用户已有的服务器信息、Subscribe 订阅和 Config 规则仍在 Shadowrocket 内管理；系统设置中的条目负责承载连接授权与连接状态，不能代替这些应用内数据。
授权成功只代表系统允许建立隧道，不代表服务器参数有效，也不代表所有流量都会走代理。Global Routing 选择 Config 时，实际路径由当前配置中的规则决定；选择 Direct 时使用直接连接策略。系统显示 VPN 已连接，不能单独作为“请求已经通过所选服务器”的判断依据。
VPN 条目与设备管理描述文件的区别
打开系统“设置 → 通用 → VPN 与设备管理”，再进入 VPN 列表，查看与 Shadowrocket 对应的条目。不同系统版本可能调整入口名称或位置，可在系统设置中搜索“VPN”定位。确认条目的名称与应用归属，不要仅凭一个相似名称就删除配置。
用户常把这里的 VPN 配置统称为“VPN 描述文件”，但它与同一页面里可能出现的设备管理描述文件不是一回事。设备管理描述文件可能包含组织管理、证书或网络限制；Shadowrocket 的首次连接授权不会因此把设备加入组织管理。处理连接问题时，只检查对应的 VPN 条目，不要删除工作或学习用途的管理配置。
- 系统 VPN 配置：保存系统建立应用隧道所需的信息，可在系统中查看连接状态和进入详情。
- Home 内的服务器与 Subscribe：保存用户已有的连接资料。删除系统 VPN 条目不是清理订阅的方法。
- Config：管理规则与相关配置。重新授权系统 VPN，不会自动修正其中的规则顺序或策略选择。
- 设备管理限制：受管理设备可能禁止添加或修改 VPN。遇到限制应联系设备管理员，而不是反复删除条目。
首次授权与误点拒绝后的操作
操作前先确认 Shadowrocket 来自 App Store，且已有自己的服务器或订阅资料。应用购买与连接服务分别管理，客户端买断 ≠ 线路套餐。若只是误点拒绝，先回到应用再次发起连接，通常不需要卸载应用或清空数据。
-
核对应用
通过正版核验页核对开发者 Shadow Launch Technology Limited 与应用 ID id932747118。Shadowrocket 是 App Store 发行的一次性买断应用，系统要求以 App Store 页面标注为准。
-
检查资料
进入 Home，确认已有可用的服务器条目。使用自己的订阅时，通过 Home 右上角“+”进入添加页面，将 Type 设为 Subscribe，再填入自己的订阅链接并保存。
-
发起连接
选择需要使用的服务器，在 Home 打开连接开关。系统出现添加 VPN 配置的确认时，先核对请求应用为 Shadowrocket，再选择允许并完成系统要求的身份验证。
-
确认状态
回到 Home 查看连接状态，再到系统 VPN 列表核对条目是否建立。若刚才选择了不允许，返回 Home 再次尝试；仍无提示时，检查系统列表和设备管理限制。
删除配置并重新授权的步骤
当系统条目与应用状态不一致，或者现有条目删除后需要恢复时，可以重建系统 VPN 配置。重建应放在基础检查之后：先确认当前网络能够正常访问、没有其他个人 VPN 连接正在切换，并检查 Settings → On Demand。不要把重建当作所有连接故障的通用解法。
-
记录设置
记录 Home 选中的服务器、Global Routing 选项以及 Config 中正在使用的配置名称。确认自己的订阅资料仍可找回；记录时不要把完整订阅链接或凭据发到公开位置。
-
暂停按需
进入 Settings → On Demand，暂时关闭按需连接，再返回 Home 关闭连接开关。这一步用于避免系统在删除前按照已有条件自动发起重连。
-
删除条目
进入系统“设置 → 通用 → VPN 与设备管理 → VPN”，打开确认属于 Shadowrocket 的条目详情，执行“删除 VPN”并确认。不要删除其他应用条目或设备管理描述文件。
-
重新授权
回到 Shadowrocket 的 Home，重新打开连接开关。系统再次请求添加 VPN 配置时选择允许，并完成身份验证。如果没有弹窗，先检查 VPN 列表中是否仍有对应配置。
-
复测连接
确认 Home 与系统 VPN 状态后，访问一个自己熟悉的目标，检查应用中的连接记录。连接稳定后，再按实际需要恢复 Settings → On Demand 的设置。
删除系统 VPN 配置通常不会删除 Home 里的订阅和 Config 文件，但它也不是应用数据备份。不要为了重建授权而先卸载 Shadowrocket；卸载会引入额外的数据恢复问题。若“删除 VPN”不可用或添加始终被拒绝，应检查设备是否受管理，并交由管理员确认相关策略。
授权完成但连接失败：按故障阶段排查
先区分问题发生在“允许添加之前”“隧道启动期间”还是“已经连接但目标不可达”。前一阶段重点检查系统授权，后一阶段才检查服务器、DNS 和规则。下列英文是系统连接错误中可能出现的文本，仅在实际提示一致时对照；弹窗措辞会受系统语言和连接类型影响，不是 Shadowrocket 固定报错清单。
报错：The VPN server did not respond.
原因：系统未得到预期的连接响应，可能涉及当前网络、连接目标或正在使用的 VPN 配置，不能据此认定是授权丢失。
解法：先确认触发错误的是哪一个 VPN 条目，再检查 Home 所选服务器的地址、端口和当前网络；仅在对应系统配置异常时重建授权。
报错：User authentication failed.
原因：当前连接的身份验证未通过；它与首次添加配置时输入设备密码的系统验证属于不同环节。
解法：先确认错误所属连接，再按自己的服务资料核对认证字段及有效状态；重建系统 VPN 条目不能修复错误的服务凭据。
若 Home 已显示连接，但网页打不开，检查 Global Routing 与 Config 中的实际规则。比如 DOMAIN-SUFFIX,example.com,DIRECT 会让匹配域名采用 DIRECT；FINAL,PROXY 是未被前面规则匹配时的兜底策略。规则应结合当前配置解释，不应仅为测试而盲目覆盖整份配置。
- 开关立即回落：检查系统是否允许保存配置、是否有管理限制，以及应用是否给出隧道启动错误。
- 连接后目标不可达：核对服务器参数、服务有效状态、DNS 与规则命中情况，不要重复点击系统授权。
- 关闭后又连接：优先检查 Settings → On Demand，观察关闭按需连接后现象是否消失。
- 切换网络后异常：分别记录 Wi-Fi 与蜂窝网络下的结果，每次只改变一个条件，避免同时重建配置和更换全部参数。
删除、重连与换机的常见问题
点了不允许，是不是要重新购买？
不需要因拒绝 VPN 授权而重新购买。购买记录由 App Store 管理，VPN 授权由当前设备管理。回到 Home 再次发起连接；若没有提示，检查系统 VPN 列表及设备限制，再决定是否重建。
删除 VPN 后，订阅也要重新添加吗？
先打开 Home 检查已有条目，再到 Config 检查配置是否保留。只删除系统 VPN 条目通常不会清除这些数据。若条目仍在，直接重新授权，不要重复导入同一订阅。
为什么关掉开关，过一会儿又连上？
先进入 Settings → On Demand 暂时关闭按需连接，再回 Home 断开并观察。On Demand 会按已设条件触发连接；如果关闭后仍重连，检查系统中其他 VPN 条目及设备管理策略。
换到 iPad，还需要再允许一次吗？
每台设备分别管理 VPN 授权。使用购买时的 Apple ID 从 App Store 的已购项目获取应用，检查并导入自己已有的连接资料，再在 iPad 首次连接时完成系统授权。兼容性与系统要求以 App Store 页面标注为准。
向支持人员描述问题时，提供发生阶段、系统提示原文、Home 连接状态、Global Routing 选项和当前网络类型即可。若附带连接记录，应先遮盖服务器认证信息、完整订阅链接与个人网络信息。清楚区分“无法授权”和“授权后不可达”，比反复删除配置更有助于定位原因。