iPhone 请求允许 VPN 配置：点击前先核实

你在某个 VPN 应用里点了什么，iOS 却弹出一个你没料到的对话框：该应用想要添加 VPN 配置，下面有“不允许”和“允许”。这个对话框是系统的路由授权，应用每尝试安装一份配置就会出现一次。如果你打开应用并打算连接，就允许它；如果请求是在你做别的事时冒出来的，先点“不允许”，再弄清它为什么跳出来。措辞里没有任何一处告诉你 这家服务商是否值得信任 —— 它只记录 iOS 即将把部分网络栈交给这个应用。

iOS 到底在请你批准什么

普通应用碰不到数据包的路径。VPN 客户端必须基于 Apple 的 NetworkExtension 框架构建，并持有 Personal VPN 权限签名；它要建立隧道时会创建一个配置对象并请系统保存，正是这次保存调用弹出了对话框。措辞在不同版本间变化——较新的说添加 VPN 配置，较旧的说添加 VPN 配置——但含义固定：你安装的这个应用想在“设置 > 通用 > VPN 与设备管理”里留下一条常驻条目。

这条条目按设计就是常驻的。它熬过应用崩溃和重启，可以在应用已关闭时重新连接，还能携带按需连接规则，在你加入某个网络时拉起隧道。iOS 之所以要问而不是直接做，正因为如此；回答之所以被保存、而不是每次连接都重新询问，也正因为如此。

读一遍对话框再点“允许”

把这个对话框当成一条几秒钟就能核对的声明。遇到第一个对不上的项目就停下。

• 对话框里的名字要与你安装过的某个应用相符。若一条提示被归到你根本不认识的东西名下，那是点“不允许”并继续查的理由，而不是拿来试的东西。
• 它出现时你正在那个应用里。首次设置和连接按钮是常见的触发场景。
• 该应用并不是刚刚在你不知情的情况下被更新或重装。新版本可能新增配置并再次询问。
• 没有人会索要你的 Apple ID、卡号或短信里的验证码。VPN 提示从不需要这些，所以会要这些的一定是另一个对话框。

四条都成立时，对你自己有心选择的服务商来说，“允许”是合理的回答。拿不准就点“不允许”；应用下次保存时会再问，等一小时你什么也不损失。

允许之后去核实那份配置

批准只是开始核对，并没有完成核对。打开“设置 > 通用 > VPN 与设备管理”，看 VPN 区块。你应当看到一行以该应用或它安装的描述文件命名，带状态行和信息按钮。点那个按钮，读出服务器地址、账号名称（如果有），以及“按需连接”是否已打开。

然后判断这一行属于谁。你从应用里创建的个人 VPN 归你编辑和删除；写着由某个组织管理的那一行则不归你，移除要走登记该设备的人。两行同时出现，说明两套不同的权限在共用这台设备，你该知道此刻是哪一套在承载你的流量。

最后一步：连一次，确认流量真的走了隧道。打开一个会回显你公网地址的页面，确认那个地址属于服务商，而不是你家宽带。如果那一行写着“已连接”而地址没变，说明配置装上了却没有路由，问题出在那个信息页的 settings 里，而不在应用里。

授权覆盖什么、不覆盖什么

允许，是把“按它的配置路由流量”的能力交给这个应用。这在某个方向上权限很大，在另一个方向上又很窄。应用可以把你的数据包送进它的服务器，也能看到附在包上的元数据：你联系过哪些地址、什么时候、传了多少。它读不到 HTTPS 会话的内部，也拿不到你的照片、消息、麦克风或 Apple ID。

覆盖范围也比“全部”要窄。一份配置可以路由全部流量，也可以只路由部分目的地；而按应用分流——只有被点名的应用才走隧道——是由设备管理器安排的，不是点一下“允许”就能得到。即便列出了多份配置，iOS 同一时间也只保持一条个人 VPN 连接处于活动状态，所以第二个应用无法在第一个已连接时悄悄接管。

不再使用这项服务时，把它干净地撤销

删除应用并不是移除配置的可靠办法。自己去看 VPN 列表，那一行还在就从它的信息页里删掉。对要退役的设备，账户这一侧也要处理：在服务商面板里退出登录，或在那边撤销设备，因为本地删掉一行，对服务器仍视为有效的会话毫无作用。

被管理的设备是例外。当那一行写着由某个组织安装时，本地删除要么失败，要么在下次检查时被还原，只有组织自己的移除流程才留得住。

提示反复出现时

重复出现的提示，通常意味着配置在被重新创建，而不是第一次批准失败了。常见原因有：应用每次启动都写一份新配置，而 iOS 视其为新的；一条按需连接规则丢掉了旧条目；描述文件被设备管理器重装；或者存在多份配置，而应用在问一份你从没留意的。

先数行数。如果每次打开应用列表都在变长，说明应用没有复用它的配置，解决要靠开发者或一次干净的重装。如果列表始终只有一行而提示还会回来，就去找那个在重装它的管理描述文件——那是策略问题，不是点一下就能消掉的 bug。

继续之前，确认三件事：设置里那一行是你批准的那一条，连接时看到的地址属于服务商，如果你已经不用这项服务，账户那一侧也已撤销。这三件事覆盖了提示给了什么、它现在在做什么，以及设备离开你手之后它还会做什么。