Shadowrocket（小火箭）的连接开关需要系统 VPN 配置授权。本文适合遇到首次授权、误点拒绝、系统 VPN 条目消失或反复要求授权的用户：先分清系统 VPN 配置与 Config 文件，再核对系统条目，最后按需重建授权；如果已经连接却不能访问，则转查已有服务参数、DNS 与规则，不反复删除配置。
系统 VPN 配置与 Config 文件的区别
首次在 Home 打开连接开关时，系统可能提示 Shadowrocket 希望添加 VPN 配置。这个弹窗由系统提供，用于允许应用保存 VPN 连接设置，并通过系统网络扩展建立隧道。它不是购买确认，也不是订阅更新提示。允许授权表示系统可以建立这项连接，并不表示远端服务参数已经验证通过。
日常所说的“VPN 描述文件”容易混指两种对象：应用创建的系统 VPN 配置，以及在设备管理页面安装的配置描述文件。Shadowrocket 正常建立连接所需的是前者；不能因为它们都出现在系统设置附近，就把不相关的管理描述文件当作修复材料。
| 对象 | 核对位置 | 负责的内容 |
|---|---|---|
| 系统 VPN 配置 | 系统 Settings 内的 VPN 列表 | 保存连接配置、授权状态及相关按需连接信息。 |
| Config 文件 | Shadowrocket → Config | 保存规则、DNS 等应用侧配置；不能代替系统授权。 |
| 设备管理描述文件 | 系统 Settings → General → VPN & Device Management | 可能由组织管理设备或下发设置，不应作为普通连接排错的删除对象。 |
删除系统 VPN 条目不等于删除 Config 中的文件，也不等于取消已有服务。反过来，更换 Config 文件通常不能解决“未允许添加 VPN 配置”的问题。排查时先辨认自己改动的是哪一层，避免把规则设置和系统权限混在一起处理。
首次弹窗：允许后还需要核对连接结果
以下步骤以 iPhone、iPad 为主。系统语言不同，弹窗和菜单文字会有所差异；本文用英文菜单名标注路径，并给出中文含义。设备系统要求以 App Store 页面标注为准。操作前确认 Shadowrocket 来自 App Store，并已准备好自己的有效服务配置；本站不提供任何节点或订阅。
-
检查来源
在 App Store 产品页核对应用名 Shadowrocket、开发者 Shadow Launch Technology Limited 与应用 ID 932747118。具体核对步骤见正版核验页。
-
打开连接
返回 Shadowrocket → Home，确认已有配置中的目标条目，再打开连接开关。记录此时是出现系统授权弹窗，还是直接进入连接过程。
-
允许授权
系统询问添加 VPN 配置时选择 Allow，并按设备提示完成身份验证。不要把设备密码输入任何服务地址、订阅地址或聊天窗口。
-
检查状态
回到 Home 查看连接结果，再打开系统 Settings 中的 VPN 列表，确认 Shadowrocket 条目存在。条目存在和隧道已连接是两项不同检查。
如果首次选择了 Don’t Allow，应用可能无法保存或启动这项连接。重新回到 Home，在确认连接开关关闭后再次尝试开启，观察系统是否重新请求授权；若仍失败，再检查系统 VPN 条目和设备限制，不要直接把问题归因于订阅失效。
系统设置：在哪里找 VPN 条目
在常见的 iPhone、iPad 系统界面中，完整路径为 Settings → General → VPN & Device Management → VPN，即“设置 → 通用 → VPN 与设备管理 → VPN”。部分系统界面也会在 Settings 较靠前的位置提供 VPN 入口。找不到时可在系统设置的搜索框内搜索 VPN，以设备实际显示为准。
- 先看名称：找到与 Shadowrocket 对应的条目，不要仅凭“VPN”字样判断它属于哪个应用。
- 再看状态：Disconnected 表示当前未连接，不等于配置已损坏；Connected 表示隧道已建立，也不保证所有目标地址均可访问。
- 检查详情：点条目旁的信息按钮查看详情。若页面提供 Connect On Demand，记录其当前状态，后续与应用内 On Demand 设置一并核对。
- 识别管理限制：如果页面提示设备受管理、条目无法删除或设置不可修改，先向设备管理员确认权限，不尝试删除组织下发的描述文件。
系统 VPN 列表没有 Shadowrocket 条目时，可能是尚未完成首次授权，也可能是用户此前删除了配置。仅凭“列表为空”不能断定应用文件损坏；优先返回应用重新触发添加流程，比立即卸载更容易保留现场和已有设置。
判断：先区分缺条目与连接失败
系统列表缺少 Shadowrocket 时先恢复授权；条目存在且已经 Connected 时，保留系统配置，改查访问失败的具体请求。不要用同一套“删除重建”操作处理两种现象。
条目被删除或失效：按顺序重新授权
如果系统 VPN 条目被手动移除，返回 Shadowrocket 再次建立连接时，应用可能需要重新保存配置并请求系统允许。此过程不需要另行获取描述文件，也不需要更改自己的订阅地址。若条目还在但怀疑失效，应先完成一次普通的断开与重连，再考虑重建。
-
记录原设置
记录当前选中的服务、Config 文件和 Global Routing 选项。敏感密码与完整订阅地址只保留在自己的安全位置，不用于公开求助。
-
暂停按需连接
到 Shadowrocket → Settings → On Demand，记录后暂时关闭按需连接。若系统 VPN 详情中仍启用 Connect On Demand，也核对并暂时关闭，避免排查时自动重连。
-
断开当前连接
在 Home 关闭连接开关，到系统 VPN 列表确认已经断开。若其他 VPN 应用正在建立连接，先正常断开，再测试 Shadowrocket。
-
移除失效条目
仅在条目仍存在且普通重连无效时，打开系统 VPN 列表中 Shadowrocket 的详情，使用 Delete VPN。条目已经不存在则跳过；受管理设备先联系管理员。
-
重新建立授权
重新打开 Shadowrocket，在 Home 开启连接，按系统提示允许添加 VPN 配置并完成验证。随后检查系统列表是否重新出现对应条目。
-
恢复所需设置
先手动连接并测试一个已知目标，确认结果后再按原需求恢复 Settings → On Demand。每恢复一项都观察是否再次出现异常。
报错与现象：先确定故障发生在哪一层
排查时保留完整报错和发生位置。系统弹窗、应用连接提示、诊断日志是不同来源，不应把网络超时当作权限拒绝。下面的系统错误原文仅用于识别日志中实际出现的内容，并不表示每台设备都会展示相同文字；不要为了匹配示例而忽略自己的错误码。
报错：The operation couldn’t be completed. (NEVPNErrorDomain error 1.)
原因：NEVPNErrorDomain 的错误码 1 对应 configurationInvalid，表示提交给系统的 VPN 配置无效，不能据此直接判断远端服务密码有误。
解法：先断开连接并核对系统中的 Shadowrocket 条目；确认不受设备管理限制后，按上一节重建对应系统配置，再记录是否仍返回同一个错误码。
| 观察到的现象 | 优先检查 | 下一步 |
|---|---|---|
| 点开连接后没有系统条目 | 是否拒绝或取消了系统授权 | 回 Home 重试，观察系统弹窗；仍无提示时检查设备限制。 |
| 每次连接都再次请求添加 | 配置是否真正保存、是否被管理策略移除 | 授权后立即核对系统列表，记录条目何时消失。 |
| 断开后立即又连接 | On Demand 与 Connect On Demand | 暂停按需连接后再测试，排除自动触发。 |
| 条目存在但一直连接失败 | 其他 VPN 状态、连接日志、现有服务参数 | 一次只保留一个待测连接，按具体错误继续定位。 |
| 已经 Connected 但网页打不开 | 服务可达性、DNS、规则与路由选项 | 转入请求层排查，不反复重新授权。 |
已经连接：权限正常不代表请求一定成功
系统显示 Connected，说明隧道建立到了相应阶段，但请求仍受 Home 中的服务选择、Global Routing 和 Config 内容影响。Global Routing 中 Proxy、Direct、Config、Scene 是不同的路由选项，不是四种授权等级。尤其在 Config 下，请求会按当前配置中的规则处理，不能把单个网站访问失败直接解释成系统权限失效。
- 核对当前配置：在 Config 确认正在使用的文件。DOMAIN-SUFFIX 按域名后缀匹配，IP-CIDR 按地址网段匹配，GEOIP 按 IP 地理归属匹配，FINAL 负责前面规则均未命中时的兜底处理。
- 核对远端参数：例如用户已有的 Trojan 服务若指定端口 443，就应与服务提供方给出的地址、端口、密码和 SNI 一致；443 只是常见示例，不是系统 VPN 授权必须使用的端口。
- 核对解析与网络：记录失败的是单个域名还是全部请求，再分别测试 Wi-Fi 与蜂窝网络。切换网络后恢复正常，只能说明故障与网络环境有关，仍需结合日志确认原因。
- 保留同一测试条件：固定目标地址、已有服务和 Config，每次只修改一项。不要同时更新订阅、切换路由选项和重建系统 VPN，否则很难判断哪一步起效。
更详细的分层检查可继续阅读连接排查手册。提交问题时，提供“何时操作、系统条目是否存在、连接状态、完整错误码、在哪种网络下复现”这几项信息；隐藏服务密码、订阅 token 与其他身份信息，不必公开整份配置。
恢复后的检查与正版核对
恢复成功应同时满足三个条件：系统 VPN 列表保留 Shadowrocket 条目，Home 能完成连接与主动断开，目标请求按预期访问。如果启用了 On Demand，还需在对应触发条件下验证自动连接行为。主动关闭后又连上，并不必然是权限或描述文件损坏，先回到按需连接设置核对。
- 重新打开应用后检查当前服务和 Config 是否仍是预期选项。
- 在实际使用的网络下测试连接，不仅观察 VPN 图标。
- 仅当系统条目再次消失或出现同类系统错误时，继续调查授权保存和设备管理限制。
Shadowrocket 是 App Store 独占的闭源商业应用，采用一次性买断，主要用于 iPhone、iPad；其他 Apple 设备的兼容性、购买适用范围与系统要求以 App Store 页面标注为准。客户端买断 ≠ 线路套餐，用户已有服务的有效期与参数需要单独核对。