第一次在 iPhone 上打开小火箭（Shadowrocket），系统突然弹出一个窗口：”Shadowrocket 想要添加 VPN 配置”，下面还让你输入锁屏密码或按指纹。很多人会犹豫：我只是想用个代理客户端，为什么要”添加 VPN”？这会不会偷我的数据？
先说结论：这是 iOS 的正常机制。任何想接管整机网络流量的代理类 App（小火箭、Stash、Surge、Loon 等）都必须走这一步，不点”允许”就没法用。想知道这几款客户端各有什么区别，可以看 iOS 翻墙软件哪个好？四款代理客户端对比。但”正常”不等于”不用管”，下面把原理、风险和补救办法讲清楚。
为什么代理 App 要”添加 VPN 配置”
iOS 对 App 管得很严：普通 App 只能处理自己的网络请求，没法碰别的 App 的流量。想让微信、浏览器、各种 App 的流量统统先经过代理，系统只留了一条合法通道，就是苹果的 NetworkExtension 框架。
其中最常见的是 Packet Tunnel Provider（官方文档），可以理解成在手机上开一条”虚拟网卡”，系统把流量先交给它，再由它按规则转发到你的节点。因为系统把这种能力归类在”VPN”名下，所以弹窗才写”VPN 配置”，哪怕你用的是 Shadowsocks、VMess 之类的代理协议，也不代表它真的是传统 VPN。
说白了：弹窗是苹果规定的”授权手续”，目的是让你知道这个 App 要接管网络。国外 VPN 厂商也一样，比如 IVPN 的知识库就专门解释过同样的提示。
点”允许”之后，系统里多了什么
授权后，你可以在 设置 > 通用 > VPN 与设备管理 > VPN（部分系统版本入口名称略有不同）看到一条以 App 命名的配置，右边有”状态”开关。以后在小火箭里点连接，其实就是启动这条配置。顶部状态栏出现的”VPN”小图标，也来自这里。
| 你的操作 | 系统层面发生了什么 |
|---|---|
| 点”允许”并验证身份 | 系统保存一条该 App 的 VPN 配置 |
| 在小火箭里点连接 | 启动虚拟网卡，流量交给小火箭按规则转发 |
| 点”不允许” | 不创建配置，App 无法接管整机流量 |
| 在设置里删除配置 | 配置移除，下次连接会再次弹出授权 |
授权前后要留意的几件事
一旦流量全部经过某个 App，它理论上能看到你访问的域名和地址，所以”装哪个 App”比”要不要点允许”更关键：
- 只从 App Store 官方页面下载，认准开发者名称，别装来路不明的描述文件或第三方”企业签名”版本。
- 订阅链接等同于你的账号密码，不要发给别人，也不要贴到公开的地方。
- 机场服务商可能跑路或出问题，建议按月购买，不要一次付太久。
- 不用的代理 App，连同它的 VPN 配置一起删掉。
- 请遵守所在地的法律法规，本文只做技术说明，不构成法律意见。
点了”不允许”怎么补救
别慌，没有任何后果。按下面做：
- 回到小火箭首页，重新点连接开关。
- 系统会再次弹出授权，这次选”允许”，输入锁屏密码或验证指纹。
- 如果始终不弹窗，进入 设置 > 通用 > VPN 与设备管理，看有没有残留的旧配置，删除后重启 App 再试。
- 仍然不行，可以重启手机；还不行就删除 App 再重装，重新授权。
如果授权成功但订阅导入有问题，可以看我们的 小火箭导入订阅图文教程；如果连上了却全部超时，参考 小火箭订阅更新失败、节点全部超时排查清单。
它和”真 VPN”、机场有什么关系
三个词经常混着说，简单区分一下：
- VPN 配置：iOS 提供给 App 的”接管流量”入口，是系统层面的机制。
- 代理客户端（如小火箭）：借这个入口，把流量按规则转给节点的软件。
- 机场：提供节点和订阅链接的服务商，客户端本身不带节点。
常见问题（FAQ）
弹窗说”VPN”，是不是等于我在用 VPN 服务？
不是。这只是系统对”接管网络”这类能力的统一叫法，实际协议和服务取决于你导入的节点。
点允许会让别的 App 偷数据吗？
授权对象只是那一个 App，但它能处理经过它的流量，所以要选可信的客户端和服务商。
每次连接都要重新授权吗？
不用，授权一次，配置会保留，除非你手动删除。
状态栏一直显示 VPN 图标正常吗？
连接期间显示是正常的，断开后会消失。
iOS 更新后连不上，要重新授权吗？
偶尔需要。先在设置里关掉再打开配置，或删除后重新添加。
小结
“添加 VPN 配置”是 iOS 给代理类 App 设的统一门槛，背后是 NetworkExtension 这套官方机制。真正该谨慎的是你选了谁的客户端、谁的节点。本文内容依据苹果开发者文档和公开资料整理（查询日期：2026-10-26），不同 iOS 版本的菜单名称可能略有差异。