Shadowrocket（小火箭）首次开启连接时，需要得到系统授权才能建立 VPN 配置。本文适合遇到授权弹窗、开关立即回落、误删 VPN 条目或关闭后自动连接的 iPhone/iPad 用户：先区分系统配置与应用内服务器参数，再按步骤恢复授权，最后核对 On Demand 与连接结果。以下操作以用户已有自己的服务商与连接参数为前提。
添加 VPN 配置：授权的是系统连接能力
Shadowrocket 的 Home 连接开关不是普通的页面选项。开启连接需要通过 Apple 平台的网络扩展机制，在系统中保存 VPN 配置，并启动对应的隧道。因此，首次连接通常会出现「添加 VPN 配置」确认框；英文系统中可见 “Would Like to Add VPN Configurations”。这是系统权限流程，不是购买提示，也不表示服务器已经连接成功。
允许后，系统会保存与 Shadowrocket 关联的 VPN 条目，并可能要求完成设备认证。确认框中的网络活动提示说明了 VPN 的权限范围：启用后，进入隧道的流量将由对应网络扩展处理。只有在确认发起应用是自己刚打开的 Shadowrocket、且了解当前配置来源后，才继续授权。
结论：先确认条目，再判断网络
如果系统 VPN 列表尚未出现 Shadowrocket 条目，优先处理授权或设备限制；如果条目存在且已连接，再检查应用内参数、路由和 DNS，不要反复删除系统配置。
VPN 描述文件、Config 与连接开关的区别
日常所说的「VPN 描述文件」，在这个场景通常指系统 VPN 列表中由应用创建的配置条目。它不等于从设备管理页面安装的通用描述文件，也不等于 Shadowrocket 的 Config 文件。相似的名称容易让人误以为三者必须一起删除，实际上应分开核对。
| 位置 | 保存或控制的内容 | 不能据此证明什么 |
|---|---|---|
| Shadowrocket → Home | 服务器条目、当前选择及连接开关 | 存在服务器条目，不代表系统已授权 |
| Shadowrocket → Config | 配置文件中的规则、DNS 等设置 | 选中配置文件，不代表隧道已经启动 |
| 系统 Settings → VPN | 由应用保存的 VPN 配置及连接状态 | 显示已连接，不保证目标网站可访问 |
| Shadowrocket → Settings → On Demand | 符合条件时自动触发连接的行为 | 启用自动触发，不会修正错误的认证参数 |
在 iPhone/iPad 上，可从系统 Settings（设置）→ General（通用）→ VPN & Device Management（VPN 与设备管理）→ VPN 查看条目。部分系统界面还会提供 VPN 快捷入口，名称与位置可能随系统语言和布局变化；找不到时可使用系统设置搜索「VPN」。
应用内开关发起启动或停止请求，系统 VPN 页面显示对应配置的实际状态，两处并不是互不相关的两条连接。状态切换期间可能有短暂延迟，应等连接过程结束后再判断。如果系统中存在多个 VPN 条目，务必核对当前启用的是哪一项，而不是只看总开关。
首次连接：按顺序完成系统授权
开始前，先在 Home 核对当前选中的服务器来自用户已有的服务商，参数已经保存。系统授权只能解决「是否允许启动」的问题，不能自动补全地址、端口或认证内容。排查时先使用手动连接，避免自动触发行为干扰观察。
-
暂停自动触发
打开 Shadowrocket → Settings → On Demand，记录当前设置并暂时关闭自动触发。这里的调整用于建立可重复的手动测试条件，完成排查后再按原需求恢复。
-
核对当前条目
返回 Home，确认选中的是准备测试的服务器。对照服务商参数检查 Type、服务器地址、端口和认证字段；例如服务商指定端口为
443时，应核对保存值是否一致，不要因授权弹窗而自行改成其他端口。 -
开启连接
打开 Home 的连接开关，等待系统弹出添加 VPN 配置请求。不要连续点击开关，也不要在弹窗出现后立即切换到其他应用。
-
完成设备认证
确认请求来自 Shadowrocket 后选择 Allow（允许），再按系统实际提示完成设备认证。设备密码仅在系统认证界面输入，不填入服务器密码或订阅字段。
-
检查连接状态
回到 Home 等待连接结果，再到系统 Settings → General → VPN & Device Management → VPN 查看 Shadowrocket 条目。分别记录「条目是否存在」与「是否已连接」，随后访问一个已知可用的页面验证请求结果。
拒绝授权或误删条目后，怎样恢复
首次选择不允许，通常意味着本次保存 VPN 配置的请求没有完成，并不表示应用内的服务器参数已经被删除。先返回 Shadowrocket → Home 再次发起连接；如果系统重新出现确认框，就按上一节完成授权。VPN 配置授权不是普通通知权限，不必到通知设置中寻找开关。
如果曾在系统 VPN 页面手动删除 Shadowrocket 条目，应用下次启动连接时可能需要重新创建配置并再次获得允许。此时先确认 Home 中的服务器与 Config 中所需配置仍在，不要立即重新导入所有内容；重复导入可能增加同名条目，使后续判断更困难。
- 条目不存在：回到 Home 发起连接，观察是否出现添加请求。若没有出现，先将应用内开关恢复关闭，重新打开应用后再试，并检查设备是否受管理限制。
- 条目存在但未连接：先进行一次正常手动连接，观察开关是否立即回落。条目存在说明配置已保存，不代表认证、服务器可达性和隧道启动都已通过。
- 出现多个相似条目：先关闭当前连接，确认每个条目的归属。只处理能够确认属于 Shadowrocket 且确实不再使用的条目，不批量清理其他 VPN 配置。
- 仍需重建配置：先保存应用内必要配置，再关闭 On Demand 和当前连接；仅删除已确认的 Shadowrocket VPN 条目，随后回应用手动开启并重新授权。
不建议把「重置网络设置」作为第一步。它可能同时影响已保存的 Wi-Fi 等网络设置，带来额外恢复工作。若问题只发生在某一服务器，而系统 VPN 条目能正常建立，更应检查该服务器参数与网络条件，而不是重置整个设备的网络状态。
常见提示与开关回落：按现象分支排查
添加请求、未连接状态与真正的连接错误不是同一类信息。下面保留常见英文提示中的关键原文，系统语言不同会显示对应译文；其中前两项本身不是服务器报错。记录现象时，还应记下发生在「允许之前」「允许之后」还是「已连接后访问网页」阶段。
提示："Shadowrocket" Would Like to Add VPN Configurations
原因：系统正在请求允许应用保存 VPN 配置，尚未完成授权。
解法：确认发起应用与当前操作一致后选择 Allow，并完成设备认证；如果本次不准备连接，可取消，之后从 Home 重新发起。
状态：Not Connected
原因：当前 VPN 配置没有处于连接状态；仅凭这个状态无法区分手动关闭、启动失败或远端不可达。
解法：返回 Home 手动连接一次，结合应用实际错误提示判断；若条目始终存在，不要把未连接直接当成授权丢失。
开关立即回落，但没有再次弹窗
先检查系统条目是否仍在，再查看 Shadowrocket 当次连接给出的错误信息。授权已经完成时，后续失败可能发生在网络扩展启动、连接建立或认证阶段。应记录错误原文，而不是仅凭「开关关了」判断是哪一层出了问题。
- 参数核对：检查协议类型与服务商提供内容是否一致，再核对端口、密码或 UUID。使用 TLS 的连接还需按服务商要求核对相关设置，不通过关闭验证来掩盖配置错误。
- 网络对照：保持同一服务器和配置，仅在 Wi-Fi 与 Cellular 之间切换一次。只有某个网络失败时，重点检查该网络的访问限制和连通性。
- 状态冲突：观察是否有其他 VPN 配置或自动连接行为正在启动连接。先停止不参与本次测试的连接，再单独验证 Shadowrocket。
已连接，但网页打不开
这通常已经越过「能否添加系统配置」的阶段。接下来要检查 Home → Global Routing 当前采用的姿态，以及 Config 中的规则和 DNS。不要为了修复网页访问反复接受系统授权，也不要把服务器延迟测试通过视为所有请求都能成功。
Proxy、Direct、Config、Scene是 Global Routing 中不同的处理姿态，不是系统授权等级。- 使用
Config时，应核对当前配置文件及请求实际命中的规则；系统 VPN 开关只说明连接状态，不显示每个请求的最终去向。 - 先保留错误出现时的配置，再一次只调整一个变量。验证完成后恢复原设置，避免将临时测试状态长期保留。
关闭后自动连回：检查 On Demand
如果手动关闭后又出现 VPN 连接，不一定是开关失效。Shadowrocket → Settings → On Demand 中的自动触发设置，可能在符合网络条件时再次请求连接。系统 VPN 条目详情中也可能显示 Connect On Demand；应结合当前应用设置与系统实际选项核对。
- 在 Settings → On Demand 记录原有条件，暂时关闭自动触发。
- 返回 Home 关闭连接，等待系统 VPN 页面显示未连接。
- 在同一网络下重新打开一个普通页面，观察连接是否自行恢复；如需切换 Wi-Fi 或 Cellular，单独记录切换后的结果。
- 若不再自动恢复，按实际使用需求恢复 On Demand 条件，再验证触发行为。若仍恢复，继续核对其他 VPN 条目或设备管理策略。
结论：手动测试通过后再恢复自动连接
先完成一次稳定的手动连接、访问与断开，再恢复 On Demand。这样能够把「触发条件让连接重启」与「隧道本身无法启动」分开，避免在两个问题之间来回修改设置。
提交故障信息前，保存哪些记录
完成上述检查后仍无法恢复，提供可复现的操作顺序比只描述「连不上」更有用。记录应覆盖授权、系统状态与应用状态三个位置，但不包含能让他人使用连接服务的秘密信息。
- 操作顺序：例如「Home 开启连接 → 允许系统请求 → 认证完成 → 开关回落」，并注明系统 VPN 条目是否生成。
- 设备环境：记录设备型号、实际系统版本、Wi-Fi 或 Cellular，以及设备是否受管理；不要凭印象填写系统版本。
- 配置状态：记录当前 Global Routing 姿态、On Demand 是否开启、所用协议类型和应用显示的错误原文。
- 隐私处理：隐藏服务器认证信息、UUID、密码、订阅地址中的 token 和个人网络信息；不要公开完整配置或完整订阅链接。
Shadowrocket 是 Apple 平台上的付费客户端，主要用于 iPhone/iPad，唯一获取入口为 App Store。客户端买断 ≠ 线路套餐；本文不提供连接服务。价格、系统要求及其他 Apple 设备的通用购买适用性，以 App Store 页面标注为准。