你在 iPhone 上第一次打开小火箭（Shadowrocket）、Stash 之类的代理 App，点“连接”之后，系统会弹出一个提示，大意是“想要添加 VPN 配置”，要你输入锁屏密码或用 Face ID 确认。很多人会犯嘀咕：我买的是机场节点，又不是 VPN，为什么要加 VPN 配置？这个操作安全吗？先说结论：这是 iOS 给第三方网络类 App 开的一条“官方通道”，代理 App 要接管手机的网络流量，只能走这条路，并不代表你装了什么不明来源的东西。下面把原理拆开讲。
先说结论：它到底在干什么
iOS 的 App 都被关在各自的“沙盒”里，一个普通 App 默认看不到、也改不了别的 App 的网络流量。Apple 为此提供了一个叫 NetworkExtension 的框架。按 Apple 开发者文档的说法，它用来“自定义并扩展系统的核心网络功能”，包括 VPN 配置、内容过滤、DNS 设置等。代理 App 就是借这个框架，让系统把手机的网络流量交给它处理，再转发到你的节点。“添加 VPN 配置”这个弹窗，就是系统在问你：要不要允许这个 App 以 VPN 的方式接管网络？
简单讲：这里的“VPN”是 iOS 里的一种技术形态，不等于你日常说的“翻墙 VPN 服务”。机场节点用的 Shadowsocks、VMess、Trojan 等协议，在 iOS 上也要披上这层“VPN 配置”的外衣才能工作。
NetworkExtension 里的两种常见方式
查阅 Apple 官方文档（查询日期：2026 年 10 月 30 日），跟代理类 App 最相关的有两个角色：
| 名称 | 官方描述 | 大白话 |
|---|---|---|
| 包隧道（Packet Tunnel Provider） | 为“面向数据包的自定义 VPN 协议”实现 VPN 客户端；系统启动扩展并把数据包转给它 | 手机把网络包整包交给 App，由 App 打包送到服务器，再把回包送回来 |
| 应用代理（App Proxy Provider） | 为“面向流的自定义 VPN 协议”实现客户端，处理 TCP/UDP 流 | 按连接（流）接管，更偏向单个应用的代理 |
常见的全局代理类客户端大多采用“包隧道”这一类思路，具体某个 App 用了哪种实现，要看开发者自己的说明，我们没法替每个 App 下结论。
它为什么需要你点“允许”
一个能接管全部网络流量的 App，权限很大，所以 iOS 需要你本人确认。同时，开发者要使用这套能力，必须在 Apple 开发者账号里开通 Network Extensions 能力，对应的是 com.apple.developer.networking.networkextension 这个权限（entitlement）。这也是为什么这类 App 大多只能在 App Store 或受信任的渠道上架。至于弹窗的具体文案和是否每次都会出现，Apple 的这几页文档没有明确写，我们不下断言，以你手机上实际看到的为准。
状态栏上的“VPN”图标和手机设置里的配置
- 连接成功后，状态栏会出现 VPN 标识，说明系统已把流量交给代理 App。
- 在“设置 > 通用 > VPN 与设备管理”里可以看到该 App 添加的 VPN 配置，需要时可以手动删除。
- 删除配置后，下次连接需要重新授权添加。
它和 iCloud 专用代理有什么关系
Apple 的包隧道文档里提到：当 VPN 配置处于活动状态时，连接会使用 VPN，而不是 iCloud 专用代理（Private Relay）。所以你开着代理 App 时，不要期待专用代理同时生效。
“按需连接”是怎么回事
文档里还有一个功能叫 VPN On Demand（按需连接），可以设置规则让系统自动启动或停止 VPN，比如“连 Wi-Fi 时开启、用蜂窝网络时关闭”。有些代理 App 把它做成“自动连接”或“按规则启用”的开关。规则设置不当，就可能出现“明明没点连接却自己开了”或“该连的时候没连”。遇到这种情况，先检查 App 里的按需连接和自动连接设置。
遇到这些情况怎么办
| 现象 | 可能原因 | 怎么处理 |
|---|---|---|
| 弹窗点了“不允许” | 没有授权添加配置 | 重新点连接，再次授权 |
| 系统更新后连不上 | 配置异常 | 删除 VPN 配置并重新添加；更新 App |
| 显示已连接却打不开网页 | 节点、订阅或 DNS 问题 | 参考 小火箭连不上怎么办的 8 步排查 |
| 订阅更新失败 | 订阅链接失效或被拦 | 参考 Clash 订阅链接是什么及导入前注意事项 |
机场节点、VPN、iCloud 专用代理，别混为一谈
三者经常被混用，其实是不同层面的东西：机场节点是服务商提供的代理服务器和订阅；代理 App 是你手机上的客户端；“VPN 配置”是 iOS 允许客户端接管流量的系统机制；iCloud 专用代理是 Apple 自己的隐私功能，两者不会同时接管。选工具时先搞清自己要解决什么问题。想看流媒体的话，可以读 奈飞解锁机场怎么选的 5 个要点。
安全提醒
- 只从 App Store 等可信渠道下载代理 App，来路不明的安装包一律别装。
- 接管全部流量意味着 App 理论上能看到你的网络请求，务必选择有口碑、说明清楚的客户端。
- 机场服务商可能跑路，建议按月购买；订阅链接等于账号密码，别随便贴出去。
- 请遵守所在地法律法规，本文不构成法律意见。
常见问题（FAQ）
添加 VPN 配置会不会让我的手机变得不安全？
配置本身是系统机制，风险取决于你装的 App 是否可信。只装可信来源的客户端即可。
不添加配置，能不能用代理 App？
想让整台 iPhone 的流量走代理，基本都要通过这一机制。不授权就无法完成接管。
配置删了怎么办？
重新在 App 里点连接，按提示授权添加即可，订阅和节点通常保留在 App 里。
同时装两个代理 App 会冲突吗？
同一时间一般只会有一个 VPN 类配置在活动，建议同一时间只启用一个。
总结
“添加 VPN 配置”是 iOS 让代理 App 接管网络流量的官方通道，背后是 NetworkExtension 框架。弄懂它，你就能分清授权问题、配置问题和节点问题，排障时少走弯路。
参考来源（查询日期 2026-10-30）：Apple：NetworkExtension、Packet Tunnel Provider、App Proxy Provider、VPN On Demand Rules。
如果你用的是华为手机，升级纯血鸿蒙后发现代理 App 装不上，可以接着看 纯血鸿蒙怎么用 VPN？鸿蒙 4 和 NEXT 区别讲清。