刚装好小火箭（Shadowrocket），一添加节点点开关，iPhone 弹出一句“Shadowrocket 想要添加 VPN 配置”，还要你输密码或 Face ID。你可能会犹豫：我又没买 VPN，它为什么要加 VPN 配置？点“允许”安全吗？
先说结论：这是 iOS 的正常机制。iPhone 上的代理类 App 要接管全系统的网络流量，只能走苹果提供的网络扩展（NetworkExtension）框架，而这个框架在系统里就是以“VPN 配置”的形式出现的。点“允许”本身不会泄露什么，但它确实意味着这个 App 之后能处理你手机的网络流量，所以只装来源可靠的客户端。下面细讲。
这个弹窗到底是什么意思
说白了，iOS 不允许普通 App 随便“偷看”或改写别的 App 的网络流量。想做这件事，必须向系统申请一个“VPN 配置”，用户点头后才生效。这个配置创建后，会出现在“设置 > 通用 > VPN 与设备管理”里，顶部状态栏连接后也会出现一个“VPN”标志。
所以弹窗的本质是：系统在问你，“要不要让这个 App 成为你手机的网络通道？”这个提示不是小火箭独有的，其他 VPN 类 App 同样会出现类似提示，比如 IVPN 官方就专门写了一篇文章解释“为什么会看到想要添加 VPN 配置”。
背后的原理：NetworkExtension 和包隧道
据 Apple 开发者文档，NetworkExtension 是一个让开发者“自定义和扩展系统核心网络功能”的框架，能做的事包括 VPN 配置、网络中继、设备端内容过滤、系统级 DNS 配置等。其中和代理类 App 关系最大的，是“包隧道提供者”（Packet Tunnel Provider）。
按官方的说法，包隧道提供者是“面向数据包的自定义 VPN 协议的客户端”。简单讲，它的工作流程是：
- 系统建立一个虚拟网卡，并设置虚拟 IP、DNS、路由等参数。
- 符合路由规则的 IP 数据包，会被送到这个扩展手里。
- 扩展把数据包封装后，发给你订阅里的代理服务器；服务器返回的数据，再还原交回系统。
据官方文档，包隧道提供者是以 App 扩展（App Extension）的形式运行的，并且开发者需要拥有对应的网络扩展权限（entitlement）才能使用，这是苹果卡住“谁能做 VPN”的一道门槛。
顺带一提，苹果还有一个“VPN 按需连接”（VPN On Demand）机制：系统可以根据条件自动启动或停止 VPN，比如连 Wi-Fi 时开、用蜂窝网络时关。很多客户端里的“按需连接”开关就是靠它实现的。
代理 App、VPN、机场，三者怎么对上号
| 名称 | 它是什么 | 和“VPN 配置”的关系 |
|---|---|---|
| 小火箭等客户端 | 装在手机上的软件，负责接管流量、按规则转发 | 通过 NetworkExtension 创建 VPN 配置 |
| 机场（订阅） | 提供节点服务器和订阅链接的服务商 | 客户端导入订阅后，才有服务器可连 |
| 传统 VPN | 走 IPsec、IKEv2 等协议的整套服务 | 同样以 VPN 配置形式存在 |
也就是说，“添加 VPN 配置”只是手机这端的授权，真正能不能上网，还要看有没有可用的节点。如果你还没导入订阅，可以先看这篇《小火箭怎么导入订阅和节点？3 种方法一看就会》。
点“允许”之前，你要知道的几件事
- 它能处理你的网络流量。这是代理客户端的工作方式决定的。所以别装来路不明的“破解版”“修改版”。
- 先看官方信息。据 App Store 页面，Shadowrocket 的开发者是 Shadow Launch Technology Limited，售价 2.99 美元，隐私标签写明“开发者不会从此 App 中收集任何数据”（该标签由开发者自行提供，苹果并未验证；查询日期 2026 年 10 月 28 日）。
- 节点服务器才是更大的风险点。流量会经过机场服务器，所以要选有口碑、有公开说明的服务商，建议按月购买，订阅链接不要随便发给别人。
- 本文不构成法律意见。使用任何网络工具请遵守所在地法律法规。
怎么查看、关闭和删除 VPN 配置
- 打开“设置 > 通用 > VPN 与设备管理 > VPN”。
- 你会看到小火箭创建的配置。点右侧的“i”图标可以查看详情。
- 想暂停：关掉连接开关即可。想彻底删除：进入详情，选择“删除 VPN”。
- 删除后，下次在小火箭里点连接，系统会重新弹出“添加 VPN 配置”的提示，这是正常的。
弹窗常见问题排查
弹窗一闪而过，或者点了允许也没反应
先完全关掉小火箭再重开；还不行就重启手机，并检查 iOS 系统是否有待安装的更新。如果仍然反复失败，可以删除旧的 VPN 配置，让它重新创建。
允许后显示已连接，网页却打不开
这时授权没问题，问题通常出在订阅、节点、路由模式或 DNS 上。按步骤排查看这篇《小火箭连上了却没网？8 步排查 Shadowrocket 打不开网页》。
想连着看 YouTube、Netflix，该选什么节点
授权完成后，节点怎么选是另一个问题，可以参考《看 YouTube 和奈飞用什么机场节点？5 步选对》。
常见问题（FAQ）
点“允许”会不会让别人看到我的手机内容？
授权本身不会把手机内容公开出去。但客户端和你选的节点服务器都能经手你的流量，所以要选可信的软件和服务商。
我没有买机场，会弹这个窗吗？
会。弹窗只和“第一次建立 VPN 配置”有关，和你有没有节点无关。
点了“不允许”还能用吗？
不能。代理客户端没有这个授权就无法接管系统流量，之后再点连接会重新弹窗。
状态栏的“VPN”标志可以隐藏吗？
这是系统的提示，用来告诉你当前有 VPN 在运行，普通用户无法关闭，关闭连接后它就会消失。
VPN 配置会拖慢手机或耗电吗？
开着代理时流量要多绕一层，有一定额外开销，具体影响因设备和节点而异，我们没有做实测，不给具体数字。不用时关掉连接即可。
总结
“添加 VPN 配置”是 iOS 对代理类 App 的统一授权机制，背后是 NetworkExtension 的包隧道。你需要做的是：只装正规来源的客户端，选可信的服务商，不用时关掉连接，需要时去“VPN 与设备管理”里查看或删除配置。
参考来源（查询日期 2026-10-28）：Apple 开发者文档：NetworkExtension、NEPacketTunnelProvider、VPN On Demand 规则、App Store：Shadowrocket、IVPN：为什么看到添加 VPN 配置。