安装完成后，先不要急着找订阅。第一件事是让 iOS / iPadOS 允许 Shadowrocket 添加 VPN 配置。后面大量「开关弹回」「怎么都连不上」，起点都在这一步被拒绝或配置被删掉。
允许添加 VPN 配置
- 打开 Shadowrocket。首页可以看到连接开关。
- 拨动一次开关。系统会询问是否允许添加 VPN 配置。
- 选择「允许」，再用面容识别、触控 ID 或锁屏密码确认。
- 打开「设置 → 通用 → VPN 与设备管理」或「设置 → 通用 → VPN」，确认其中出现 Shadowrocket 相关配置。
系统弹出的是配置描述文件授权，不是在索取你的 Apple ID 密码。如果当时点了「不允许」，开关往往会亮一下再弹回。回到应用再拨一次即可，通常不必删除重装。
屏幕使用时间、公司 MDM 或家长控制有可能禁止添加 VPN。那种情况下，需要先在设备策略里放开，应用本身无法绕过。
三个主要界面
不同小版本的入口文案可能略有差别，结构一般稳定：
- 首页：总开关、当前选用的节点、连接状态。
- 配置：订阅、本地配置文件，以及从剪贴板、扫描、手动添加等入口。
- 设置：代理模式、DNS、按需连接、分应用、备份与其他选项。
第一次进入配置时，列表经常是空的。这是正常现象：还没有写入任何服务器信息。空配置也可以完成上面的 VPN 授权。
和系统 VPN 的关系
iOS 在同一时间通常只让一条 VPN 真正生效。如果系统里已经开着其他 VPN，再打开 Shadowrocket，两边都可能连不上。排查时先关掉其他 VPN，只保留这一条。
在较新的 iOS 上，VPN 入口可能在「设置 → 通用 → VPN 与设备管理」，也可能仍在「设置 → 通用 → VPN」。找不到时，用设置页顶部的搜索框搜「VPN」。列表里应能看到配置名称与 Shadowrocket 相关，状态在未连接时多为「未连接」。
授权之后仍然弹回
补过「允许」仍立刻弹回，按这个顺序看：系统里的配置是否被删；是否同时开着其他 VPN；屏幕使用时间是否限制了 VPN。公司发放的设备若装了 MDM，管理员可以禁止添加 VPN，这种情况只能改策略，重装应用无效。
授权完成后，配置列表仍可以是空的。下一步是把订阅或节点写进去，见添加订阅与节点。