Shadowrocket「添加 VPN 配置」提示怎么处理:系统 VPN 描述文件的作用与重置

一、添加的是哪一种配置

在 Shadowrocket 的 Home 打开连接开关时，iOS 或 iPadOS 可能询问是否允许添加 VPN 配置。这是操作系统对网络扩展的授权，不是订阅导入结果，也不是要求再次购买客户端。允许后，系统会保存与应用关联的 VPN 条目，供应用启动相应的网络隧道。

“VPN 描述文件”在日常排查中经常指这条系统记录，但它不等同于通过设备管理安装的配置描述文件。系统设置中的 VPN 与设备管理页面可能同时列出这些内容，不能因为页面名称相近就把所有条目一起删除。

这项授权让应用能够通过系统提供的网络扩展处理流量。具体哪些连接经过代理，仍受 Global Routing、Config 中的规则及相关网络设置影响。系统提示说明的是网络处理能力，不代表每个请求都会发送到同一台远端服务器。

二、允许与拒绝各有什么后果

只有在确认刚刚主动打开 Shadowrocket 的连接开关、弹窗中的应用名称也对应 Shadowrocket 时，才继续授权。系统界面语言不同，提示可能显示中文或英文；应核对请求来源和操作时机，而不是只凭某一句提示文本判断。

• 选择允许：系统可建立相应 VPN 配置，但服务器能否连通仍取决于地址、端口、认证参数、当前网络及路由设置。
• 选择不允许：本次添加不完成；没有可用系统 VPN 配置时，应用无法正常启动对应隧道。通常仍可浏览 Home、整理已有服务器和编辑 Config。
• 中途取消身份验证：不能视为授权成功。返回应用后，应以系统 VPN 条目是否存在、连接能否启动为准。

拒绝一次不需要立即卸载应用。返回 Home，将连接开关恢复为关闭后再尝试打开，按实际出现的系统提示处理。若没有再次出现提示，先检查 VPN 列表：系统可能已经保留可用条目，此时应检查连接状态，而不是反复寻找授权弹窗。

三、首次授权后的检查步骤

以下步骤适用于 iPhone 与 iPad。系统路径按简体中文界面说明；系统版本不同，VPN 入口的位置和字段可能略有变化，也可在系统设置的搜索框搜索“VPN”。不要把应用内 Settings 与设备的系统设置混为一处。

1. 确认已有配置

   在 Shadowrocket → Home 选择自己的服务器，检查地址、端口与认证信息已有内容。若尚未导入自己的订阅，先完成导入；VPN 授权不会自动生成服务器参数。

2. 启动连接

   在 Home 打开连接开关。看到添加 VPN 配置的系统请求后，核对应用名称并允许，按提示完成设备身份验证。

3. 核对系统条目

   打开系统设置 → 通用 → VPN 与设备管理 → VPN，查看是否出现与 Shadowrocket 对应的条目，并检查当前连接状态。

4. 检查路由模式

   返回 Shadowrocket → Home → Global Routing，记录当前是 Config、Proxy、Direct 还是 Scene。授权成功不等于当前流量一定使用所选服务器。

5. 验证实际请求

   打开一个平时可访问的网页，再检查应用内连接记录。若开关已打开但请求失败，继续检查服务器、DNS 与规则，不要仅凭状态栏图标判断业务是否可用。

Global Routing 的 Config 按配置规则处理流量，Proxy 将通常的流量处理切到代理模式，Direct 使用直接连接；Scene 用于按场景切换，实际结果还需核对场景设置。排查时只调整一个变量，记录调整前后的现象，测试后恢复原先需要的模式。

四、条目丢失或异常时怎样重建

如果系统 VPN 列表已没有 Shadowrocket 对应条目，返回应用启动连接通常会重新请求添加。若条目仍在，但每次启动都回到断开状态，应先停止自动连接、退出其他正在使用的 VPN，再决定是否删除并重建该条目。反复删除配置无法修正错误的服务器密码或过期的订阅内容。

1. 记录应用内设置。确认 Home 中自己的服务器仍在，记录正在使用的 Config 与 Global Routing 模式。需要备份时使用应用提供的相应功能，并妥善保存含凭据的内容。
2. 停用自动触发。在 Shadowrocket → Settings → On Demand 检查并暂时停用按需连接；若系统 VPN 详情中显示“按需连接”，也核对其状态，避免刚断开又被规则拉起。
3. 断开现有连接。关闭 Home 的连接开关，确认系统不再显示该隧道处于已连接状态。
4. 删除指定条目。进入系统设置 → 通用 → VPN 与设备管理 → VPN，点按 Shadowrocket 对应条目旁的信息按钮，选择“删除 VPN”，按系统提示确认。若没有删除选项或条目受管理，联系设备管理员处理。
5. 返回应用重建。重新打开 Shadowrocket → Home 的连接开关，允许添加 VPN 配置，再按上一节步骤核对系统条目与实际请求。

删除系统 VPN 条目与卸载 Shadowrocket 是两种不同操作。删除条目通常不会直接清空应用内服务器列表，但重建后仍应复核 On Demand 和连接设置。不要为了恢复一条 VPN 记录先卸载应用；卸载可能影响本地保存的数据，增加恢复成本。

• 条目存在但无法连接：先查自己的服务器地址、端口、认证信息和网络可达性。
• 条目消失后重新授权成功：完成一次连接验证即可，不必继续执行系统级重置。
• 允许后仍无法保存：重启设备后再检查系统限制；受管设备应由管理员确认 VPN 使用策略。

五、多个 VPN 与 On Demand 的冲突

设备可以保存多个 VPN 配置，但“保存多个”不等于“多个普通个人 VPN 隧道可以同时接管同一批流量”。在常见个人使用场景中，启动另一项 VPN 可能替换当前活动连接。受管设备、按应用 VPN 与某些网络扩展的行为另有系统约束，不能只根据列表里有几条记录推断是否冲突。

特别要检查本地过滤、防护或其他使用系统 VPN 机制的应用。即使它们不连接远端代理，也可能占用相同的系统连接位置。若另一应用开启自动连接，只关闭一次开关可能不足以稳定复现问题。

• 现象：连接后立即断开。观察系统 VPN 列表是否转而显示另一项配置已连接；若是，先停用另一应用的自动连接，再单独测试 Shadowrocket。
• 现象：切换 Wi-Fi 后自行连接。检查 Shadowrocket → Settings → On Demand，以及其他 VPN 配置的按需触发设置，确认是否存在网络变化触发条件。
• 现象：手动断开后又恢复。先停用 On Demand 再断开，比较结果；不要直接认定系统 VPN 条目损坏。
• 现象：只有公司网络下受限。确认组织网络策略与受管设备限制，不删除组织下发的管理配置来尝试绕过限制。

六、授权之外还要检查什么

系统授权解决的是“应用能否建立隧道”，订阅与 Config 解决的是“使用哪些服务器、如何处理请求”。这几层相互关联，但不能互相替代。用户已有自己的订阅时，应先确认导入与更新是否成功；单纯重建系统 VPN 条目不会刷新订阅中的地址或凭据。

• Home：检查当前选中的服务器是否仍有效。延迟测试结果只能作为连通线索，不能保证所有目标网站、UDP 流量或域名解析都正常。
• Config：检查当前启用的规则配置。DOMAIN-SUFFIX 匹配域名后缀，IP-CIDR 匹配地址段，GEOIP 根据 IP 地理分类匹配，FINAL 用于前面规则均未匹配时的处理；应结合实际命中记录判断。
• Settings：重点核对 On Demand 等自动化设置。不要为了修复系统授权，随意改动 DNS 或协议参数。
• 系统设置：确认 VPN 配置是否存在、是否受组织管理，以及当前活动连接是否属于预期应用。

提交问题时，记录“点击允许后发生了什么”“系统 VPN 条目是否出现”“是否切换网络后才复现”等具体过程，比只描述“VPN 不能用”更便于定位。可以提供脱敏的状态截图与错误文本，但应遮住订阅完整链接、密码、密钥、二维码及其他认证信息。