本文速览

刚打开 Shadowrocket（小火箭）时，iPhone 可能会提示允许添加 VPN 配置。这个提示是在请求 iOS 授权建立本机 VPN 连接，不代表自动购买线路，也不代表所有网络流量都会受到同一种保护。本文会区分系统权限、代理转发和传统 VPN 服务，并说明怎样核对授权对象、连接状态与实际流量去向。涉及连接的操作以用户已有自己的订阅为前提。

一、看到“添加 VPN 配置”，系统在请求什么

Shadowrocket 需要通过 iOS 提供的 VPN 网络扩展处理设备的网络请求。首次启用连接时，系统可能显示“添加 VPN 配置”一类的授权提示；具体措辞会随系统版本和界面语言变化。这里的“配置”主要是 iOS 用来登记和管理 VPN 连接的系统项目，不是让你导入一个新的服务器，也不是要求你安装来源不明的设备管理描述文件。

系统授权后，Shadowrocket 才能请求建立本机的 VPN 隧道，并依照应用内当前选择的连接资料与路由方式处理流量。授权本身不等于隧道已经连接成功：还要在 Home 选择已有连接并打开连接开关，随后确认应用状态和系统状态。若你只是浏览设置页面，尚未主动开始连接，通常没有必要为了消除提示而反复确认。

授权前先确认操作是由你正在使用的 Shadowrocket 发起。iPhone 与 iPad 从 App Store 获取，Mac、Windows、安卓与 Linux 免费；正版核验信息包括开发者 Shadow Launch Technology Limited 和应用 ID 932747118。若提示出现时你并没有启动连接、界面来源不明，先取消并检查当前打开的应用及系统 VPN 项目，不要仅凭提示里出现“VPN”就确认。

1 项系统权限
允许应用请求建立本机 VPN 连接
2 个状态
应用连接状态与 iOS VPN 状态分别核对
不等于全流量
具体去向仍由 Global Routing 与规则决定

二、什么时候可以允许，授权后到哪里查看

如果你已从 App Store 安装 Shadowrocket，正在 Home 主动打开连接，并且提示来自 iOS 系统，那么允许该应用添加 VPN 配置通常是继续使用连接功能所需的步骤。允许后，系统可能要求使用设备密码或生物识别完成确认；按系统提示操作即可。若选择不允许，应用就不能按预期建立该 VPN 连接，但你可以稍后在确认操作来源后重新尝试。

系统设置中的菜单名称可能因 iOS 版本而略有差异。常见路径是 Settings → General → VPN & Device Management → VPN；部分界面会直接在 Settings 中显示 VPN 项目。进入后核对 VPN 配置的名称及连接状态。不要把“列表中存在一条配置”误当成“当前已连接”，也不要把系统状态图标当成规则逐条生效的证明。

  1. 核对应用来源

    确认 Shadowrocket 来自 App Store。正版产品页应显示开发者 Shadow Launch Technology Limited，应用 ID 为 932747118。

  2. 主动开始连接

    打开 Shadowrocket 的 Home，选择自己已有的连接资料，再打开连接开关。不要仅因系统弹出授权提示，就假定连接已经完成。

  3. 确认系统授权

    当 iOS 显示添加 VPN 配置的系统提示，且操作确由你刚才发起时，阅读提示后选择允许，并按要求完成设备验证。

  4. 检查连接状态

    返回 Home 查看连接开关及状态，再到 Settings → General → VPN & Device Management → VPN 核对对应项目是否显示已连接。

  5. 发起新请求

    打开一个新的网页请求或重新载入目标应用，再查看 Shadowrocket 的连接记录或流量变化。旧的长连接可能沿用原有会话，不能单独用它判断新设置。

系统菜单路径用于帮助定位，不同系统界面可能把 VPN 项目放在略有不同的位置。若设备上存在多个 VPN 配置，核对名称和当前状态，不要随意删除其他配置。移除或重置配置会影响对应连接，只有确认它属于 Shadowrocket 且确实需要重新授权时，才考虑在系统设置中处理。

三、VPN 配置权限不等于“所有流量都走代理”

VPN 状态说明 iOS 的 VPN 连接已建立或正在工作，但它不能单独说明某个网站最终使用哪条路径。Shadowrocket 还要根据 Home 中的 Global Routing、当前配置文件、匹配到的规则以及所选连接资料处理请求。规则可能让一部分请求走 PROXY，另一部分走 DIRECT；因此，看到系统 VPN 图标，并不表示每个应用、每个域名都必然经过远端代理。

也要分清“系统把网络请求交给应用处理”与“请求随后如何出站”。前者涉及 iOS 授权和隧道状态，后者取决于 Shadowrocket 的路由设置。若 Global Routing 选择 Config，具体去向要看配置中的规则顺序及兜底项；若选择 Proxy 或 Direct，则是另一种路由姿态。已建立的长连接还可能暂时保持旧路径，验证设置时应重新发起请求。

系统权限与连接

授权对象
iOS 中的 VPN 连接配置
核对入口
Settings → General → VPN & Device Management → VPN
能说明什么
系统允许应用请求建立 VPN 连接
不能单独说明
每个请求都经过远端代理

授权、连接成功和流量策略是三个不同的核对结果。

应用路由与请求去向

主要入口
Home → Global Routing
Config
按当前配置中的规则处理
Proxy / Direct
分别检查代理或直连路径
验证方式
重新发起请求并查看记录

状态栏图标不是逐条规则的测试结果。

授权 VPN 配置本身也不是对所有网络风险的保证。它不会自动替你判断 Wi-Fi 是否可信，不会替代账户安全、系统更新或网站自身的加密，也不能保证目标服务一定可访问。连接是否能建立、请求是否按预期分流，还会受到网络状况、连接资料、规则和目标服务响应等因素影响。

四、Shadowrocket 代理工具与传统 VPN 服务有什么不同

“VPN”一词既可能指 iOS 中建立网络隧道的系统机制，也常被用来称呼提供远端网络出口的服务。两者容易混淆。Shadowrocket 是全平台代理客户端：iPhone / iPad 在 App Store 一次性买断，Mac、Windows、安卓、Linux 在本站下载页免费。在 iPhone 与 iPad 上，它通过 iOS 的 VPN 能力接收和处理网络请求，再依照用户已有的连接资料及路由设置决定请求如何转发。系统提示中的 VPN，不等于 Shadowrocket 自动附带了远端线路或网络服务。

传统 VPN 服务通常由服务提供方管理远端接入点和相关服务；使用 Shadowrocket 时，用户需要自行准备可用的连接资料或订阅。购买客户端与获得线路服务是两回事。客户端授权并不会自动生成服务器地址、协议参数或可用订阅，也不会替用户选择服务来源。

结论：把授权、隧道和代理路径分开验证

先确认 iOS 授权是否完成，再看 Home 与系统设置中的连接状态，最后用新请求和连接记录核对实际路径。三项结果分别记录，比只看 VPN 图标更能定位问题。

五、授权后连不上或不确定流量是否生效

如果已经允许添加配置，但 Home 仍显示未连接，先不要重复删除和添加系统项目。依次检查 Home 是否选中了已有连接、连接开关是否开启，以及当前网络能否正常访问互联网。使用订阅的用户还应确认自己的连接资料仍有效；系统授权成功并不能修复过期或填写错误的连接参数。

如果系统设置显示已连接，但网页访问结果与预期不同，先记录 Global Routing 当前选择，再确认 Config 中选中的配置和相关规则。只有规则明确把测试域名指向某种策略时，才按该策略预期判断。若使用 Config，沿规则顺序查找首次匹配项，并查看是否存在 FINAL 兜底；不要只看配置文件已导入，就认为它正在生效。

我点了允许，为什么还是显示未连接？

允许只是完成系统授权，不代表隧道已启动。回到 Home，选择已有连接并打开连接开关；再检查系统 VPN 项目是否显示已连接。如果仍失败，检查网络和连接资料状态。

状态栏有 VPN 图标，是不是所有应用都走代理？

不能这样判断。打开 Home 查看 Global Routing，再按当前模式检查规则与连接记录。用新请求验证目标，不要仅凭图标推断流量路径。

我拒绝过提示，现在怎样重新授权？

确认 Shadowrocket 来源可靠后，从 Home 主动发起连接；若 iOS 再次显示系统授权提示，按提示完成确认。若没有提示，先在系统 Settings → General → VPN & Device Management → VPN 查看现有配置状态，不要随意删除其他 VPN 项目。

授权 VPN 配置后，Shadowrocket 会自动提供线路吗？

不会。授权只允许应用请求使用系统 VPN 能力；连接仍需要用户已有的连接资料或订阅。客户端购买不包含线路服务。

日常核对可以采用固定顺序：确认 App Store 来源与应用身份，检查系统授权，确认 Shadowrocket 和 iOS 都显示连接，再检查 Global Routing 与配置规则，最后重新发起请求观察记录。每次只改变一个设置，并记下改变前后的状态，能够避免把权限问题、连接问题和分流问题混在一起。