开关管的是系统接口，不是某一条记录。

系统会请求添加 VPN 配置。允许之后，在「设置」的 VPN 列表里会出现 Shadowrocket。这是操作系统对个人 VPN 的授权，不是节点提供方的登录，也不是本应用的账号——应用没有账号系统。

拒绝则虚拟网卡不会建立，开关没有可作用的对象。以后若在系统设置里删掉这条配置，或屏幕时间 / MDM 禁止 VPN，开关会再次失效，需要重新授权。重装应用有时会丢掉这条系统配置，看起来像「突然不能连了」，其实是授权没了，不是记录过期。

授权对象是本机扩展。流量之后去哪，仍由你选中的记录和当前策略决定。商店许可只覆盖到这一层：允许应用去申请系统 VPN。它不包含任何出口。

状态栏出现 VPN 图标、开关停在接通，表示扩展正在运行。此时一条连接仍可能被判成 DIRECT，从蜂窝或 Wi-Fi 原路径离开，完全不经过你选中的那条记录。

因此不能用「已经连上了」当作「所有请求都进了节点」。要看字节有没有进记录，用 Data 的两条累加器；要看规则有没有把主机留给直连，用 规则。

开关闪烁、反复弹回，表示扩展没能稳定跑起来。常见原因是当前记录握手失败（类型、传输层、证书、UUID 与远端不一致），或系统里根本没有可用的 VPN 配置。换记录之前，先确认策略不是 Direct——Direct 下隧道可以亮着，但不会去握手远端，弹回和「节点坏了」是两件事。

没有高亮行时打开开关，结果取决于版本。不要依赖「未选中也能连」。列表里必须有一条可被当作出口的记录，见 对象。

策略与记录是分开选的。换一条记录不会自动改 Config / Proxy / Direct；改策略也不会换高亮行。两者都选错时，屏幕上仍可能显示已连接。

对照必须按 Direct → Proxy → Config 的顺序做，一次只动策略，见 读数。在 Config 下反复改 FINAL、同时换记录，等于没有对照。

扩展收下出站之后，大致按这个顺序处理，细节以当前版本为准：

1. 若策略为 Direct：送回系统原路径，不问规则，不握手当前记录。
2. 若策略为 Proxy：不问规则，发往当前高亮记录。记录握手失败，这一步就停。
3. 若策略为 Config：用当前配置里的名单自上而下匹配，得到 DIRECT / PROXY / REJECT。
4. DIRECT 的连接回到原路径；REJECT 丢掉；PROXY 的连接发往当前记录。
5. 若启用了改写，在请求已经被看见之后再改 URL 或头，见 改写。它不回头改写分流结果。

UDP 与 TCP 都会进隧道，但不是所有记录类型都同等转发 UDP。某一应用只在 UDP 上失败（游戏、部分通话），先看这条记录是否声明支持，再看规则有没有按端口把它 REJECT 掉。

解析发生在匹配前后的哪一步，会影响规则看见的是名字还是地址，见 解析。

另一款 VPN 应用处于连接状态时，iOS 通常不会把流量再交给 Shadowrocket。此时本应用开关即使亮着，字节也可能从未进入本扩展。对照故障时，先看系统 VPN 列表里当前生效的是哪一条。

飞行模式、Wi-Fi 与蜂窝切换、低电量、系统回收后台，都会拆掉隧道。这是框架行为，不是记录突然「过期」。门户认证网络要先让设备自己完成登录页，再开开关。这些边界的展开见 系统。