Shadowrocket「VPN 配置」权限提示与系统 VPN 描述文件说明

添加 VPN 配置：允许的是什么

结论是：确认提示由自己刚刚打开的 Shadowrocket 连接操作触发后，选择允许，并按系统提示完成设备认证。授权成功后，应用才能创建对应的系统 VPN 配置并尝试启动连接。允许这一操作并不表示订阅一定有效，也不表示当前服务器一定能连接。

Shadowrocket 借助系统提供的 VPN 网络扩展接收和处理流量。这里的 VPN 是系统对网络隧道的管理入口，不等同于某一种服务器协议。用户已有的连接可能使用 Shadowsocks、VMess、VLESS、Trojan、Hysteria2 或 WireGuard；是否能启动系统隧道，与具体服务器参数是否正确，是两个检查环节。

系统提示可能说明网络活动会受到过滤或监控。这是建立 VPN 配置时的权限说明，应结合自己的配置与服务商信任关系作判断。它不表示所有流量必然发给同一个远端服务器；实际出站还受 Global Routing、所选 Config 和匹配规则影响。

系统 VPN 配置与应用 Config 不是同一份内容

在 iPhone、iPad 上，通常可沿「设置 → 通用 → VPN 与设备管理 → VPN」查看系统 VPN 条目。部分系统版本也会在设置首页提供 VPN 快捷入口。本文所说的系统 VPN 配置，是这里由应用创建、可供系统启动网络扩展的条目，不是让你另外下载一个描述文件。

应用内 Config 用于组织规则和相关设置，例如 DOMAIN-SUFFIX、GEOIP、IP-CIDR、FINAL；Home 中的订阅与服务器提供连接参数。系统 VPN 条目负责把应用与系统网络能力关联起来。三者有关联，但不能互相替代。

• 只删系统 VPN 条目：不会等同于在 Home 中删除订阅，但应用需要重新创建系统配置，才能再次启动隧道。
• 只改 Config：不代表系统权限会被撤销；配置语法或规则选择问题也不应直接归因于授权。
• 看到设备管理描述文件：不代表它就是 Shadowrocket 的 VPN 条目。公司或学校管理的配置可能包含多项策略，不要为排查本应用而移除整个管理描述文件。

因此，“VPN 描述文件丢失”需要先明确丢失位置：是系统 VPN 列表没有 Shadowrocket，还是应用 Config 中没有规则文件，或者 Home 中没有服务器。只有第一种情况优先走本文的系统配置重建步骤。

首次连接：按系统提示完成授权

先确认 Home 中已有自己可用的服务器，并保留当前 Config 选择。订阅链接从你的服务商处获取。没有服务器参数时，即使完成系统授权，也不能据此判断代理连接可用；不要把反复添加 VPN 配置当成获取连接参数的方法。

1. 确认服务器

   打开 Shadowrocket → Home，选择已经导入的服务器。需要导入订阅时，在 Home 右上角「+」→ Type 选择 Subscribe，填写从你的服务商处获取的链接并保存。

2. 开启连接

   在 Home 打开连接开关。尚未建立系统配置时，应用会请求添加 VPN 配置；此时先阅读系统弹窗中的应用名称。

3. 允许添加

   确认是 Shadowrocket 发起的请求后，选择「允许」（Allow）。若系统要求设备密码或生物识别认证，按屏幕提示完成，不要在订阅地址输入框中填写设备密码。

4. 核对状态

   返回 Home 查看连接状态，再到「设置 → 通用 → VPN 与设备管理 → VPN」核对对应条目。若已存在条目但连接未建立，应继续检查服务器与网络，而不是重复授权。

授权弹窗的语言取决于系统，按钮与文案可能显示为中文或英文。设备认证由系统处理，不需要把设备密码交给服务商，也不需要通过网页完成所谓的 VPN 权限激活。

误点拒绝：先重新请求，不必立即重装

拒绝添加通常意味着这次创建没有完成，不是应用内某个普通权限开关被永久关闭。VPN 权限也不在相机、照片等权限列表中。优先回到 Shadowrocket 重新发起连接，而不是到隐私设置中寻找一个不存在的通用 VPN 授权按钮。

1. 停止当前尝试

   返回 Home，若开关仍显示正在连接，先关闭并等待状态稳定。避免连续快速开关导致无法判断哪次请求正在处理。

2. 重新发起请求

   保持已选服务器不变，再次打开连接开关。若系统重新显示添加提示，选择允许并完成认证。

3. 检查系统条目

   若没有弹窗，到「设置 → 通用 → VPN 与设备管理 → VPN」查看是否已有 Shadowrocket 条目。已有配置时不一定再次弹窗，不能仅凭没有提示判定权限异常。

4. 排除系统限制

   若没有对应条目且始终无法创建，重新打开应用，必要时重启设备后再试。受管理设备应向管理员确认是否允许添加 VPN 配置，不要自行移除管理策略。

若允许后紧接着取消了设备认证，也可能没有完成保存。此时应先查看系统列表，再决定是否重新请求。重复删除应用会增加恢复订阅与规则的工作量，不应作为误点拒绝后的第一步。

配置丢失或条目异常：只重建对应的 VPN 项目

如果系统列表里已经没有 Shadowrocket，而 Home 中的服务器、Config 中的规则仍在，通常可直接从应用重新开启连接来触发创建。只有对应条目确实异常、重新启动仍无法恢复时，再考虑移除该条目后重建；已连接但某个网站打不开，不足以证明条目损坏。

1. 保留应用设置

   记下当前服务器、Global Routing 和 Config 选择，确认自己的订阅链接仍可从服务商处找回。此过程不需要把链接、密码或完整配置发到公开讨论区。

2. 关闭自动连接

   先到 Shadowrocket → Settings → On Demand 暂停已启用的自动连接条件，再回 Home 关闭连接。否则系统可能按照原条件重新发起连接，干扰观察。

3. 核对后再删除

   进入「设置 → 通用 → VPN 与设备管理 → VPN」，打开 Shadowrocket 对应条目的详情。仅在确认需要重建时使用「删除 VPN」（Delete VPN）；若条目本来就不存在，跳过删除。

4. 重新建立配置

   返回 Home，再次开启连接并接受系统授权。随后检查系统列表是否重新出现对应条目，再进行一次实际访问测试；确认稳定后按原用途恢复 On Demand。

重装应用、迁移设备或恢复备份后，都应重新核对系统 VPN 条目，而不是假定应用图标恢复就代表网络扩展配置已经恢复。应用数据与系统授权可能处于不同状态，仍以系统列表和实际连接结果为准。

权限已通过但无法访问：转到连接与规则排查

判断边界是：系统已有 Shadowrocket 条目、授权流程已完成，但连接失败或访问异常。这时继续删除 VPN 配置通常无法解决订阅失效、服务器不可达、认证参数错误或规则匹配不符合预期的问题。系统显示已连接，也只说明隧道状态，不保证每个远端请求成功。

• 开关很快回落：先确认是否存在其他正在运行的 VPN 连接，再检查当前网络与所选服务器参数。记录应用显示的原始错误，不要把所有失败统称为“权限被拒绝”。
• 连接保持但访问失败：检查 Home 中实际选中的服务器，更新用户已有订阅，并向自己的服务商确认地址、端口、认证信息及有效状态。系统 VPN 授权不会修复过期参数。
• 只有部分域名异常：查看 Global Routing。使用 Config 时应核对当前规则文件与命中策略；Proxy、Direct 可用于有目的的临时对照，测试后恢复原设置。Scene 涉及场景选择，排查时也要记录当前状态，避免同时改变多个变量。
• 关闭后又自动连接：到 Settings → On Demand 检查条件。手动关闭连接与关闭自动触发条件不是一回事，应先暂停条件，再观察连接开关是否保持关闭。

规则语法也不能当作系统权限开关。例如 DOMAIN-SUFFIX,example.com,DIRECT 表示域名后缀匹配后的处理策略，FINAL,PROXY 表示前面规则未命中时的最终策略。它们只在相应配置与运行姿态下参与流量处理，不会弹出或替代添加 VPN 配置授权。

排查时一次只改变一项：先确认系统配置存在，再确认隧道能启动，最后检查服务器、DNS 与规则。需要进一步求助时，可描述“系统条目是否存在、连接开关是否回落、当前 Global Routing、错误原文”，并遮住订阅 token、密码和个人信息。

常见问题：授权、订阅与设备管理