iPhone 设置 VPN：先分清客户端与订阅
iPhone 设置 VPN 的基本顺序是：获取兼容客户端，导入服务提供的订阅，允许添加系统 VPN 配置，再选择线路并验证访问结果。不要一开始就去系统设置里填写服务器地址；大多数订阅服务需要由客户端解析配置，而不是手工创建系统原生连接。
这里有几个容易混淆的对象。客户端是处理连接、规则与 DNS 的应用；订阅链接是获取节点和相关配置的入口；节点是客户端实际连接的服务端。安装应用不等于已经获得线路，导入订阅也不等于连接已经启动。
| 对象 | 主要作用 | 常见误区 |
|---|---|---|
| 客户端应用 | 解析配置、建立连接、执行分流 | 以为下载完成就能直接使用线路 |
| 订阅链接 | 向服务端请求可用的节点或配置 | 粘贴到系统 VPN 的服务器地址栏 |
| 节点与策略组 | 决定连接出口，或按规则选择出口 | 以为选中节点就代表所有应用都经过它 |
| 系统 VPN 配置 | 让客户端获准使用系统网络扩展能力 | 把系统授权当成服务已验证可用 |
iOS 系统设置中的手动 VPN 选项，并不是 Shadowsocks、VMess、Trojan、VLESS 等配置的通用导入口。这些协议通常由兼容客户端处理。Hysteria2、TUIC 也需要客户端明确支持；应用能导入某一种订阅，不代表它支持订阅里的全部协议。
获取可用客户端：先核对下载资格
先打开服务面板中的客户端说明，确认应用名称、适用平台、订阅格式和当前获取方式。VPNEat 的客户端入口指向面板，不是安装包直链；iOS 下载资格以面板显示为准。需要登录后获取订阅，不应把公开介绍页当成个人订阅来源。
App Store 能否找到某个应用，可能受到商店地区、应用上架状态和设备兼容性的影响。搜索不到应用时，先核对面板说明与商店页面，不要用名称相似的应用替代，也不要根据陌生网页的提示安装来历不明的描述文件。
- ✅ 核对应用名称与开发者信息，确认来自面板说明或开发者认可的渠道。
- ✅ 查看客户端支持的协议与订阅格式，尤其留意所选协议是否需要更新版本。
- ✅ 先确认获取条件与应用费用，再决定使用哪个客户端；服务套餐不等于所有第三方应用的使用资格。
- ❌ 不把个人订阅交给陌生网站“检测”或“转换”，也不使用他人公开分享的账号凭据。
如果设备由单位或学校管理，管理策略可能限制应用安装或添加 VPN 配置。应先询问设备管理员，而不是反复重装应用。受管理设备的限制与订阅本身是否有效，是不同的问题。
导入订阅：从面板到节点列表
订阅链接往往包含访问凭据。获得链接的人可能可以读取对应配置，因此它应按账号敏感信息处理。复制后只粘贴到准备使用的客户端；不要放进公开笔记、聊天群截图或在线二维码生成工具。
- 在面板获取对应格式。进入个人订阅区域，优先选择与已安装客户端匹配的导入选项。若提供应用内跳转，先确认将要打开的应用名称。
- 在客户端添加订阅。手动导入时，找到“订阅”“配置”或相近入口，粘贴完整链接。不要把网页标题、说明文字和链接一起复制进去。
- 执行更新。保存后主动更新订阅，查看是否成功拉取内容。某些客户端会区分保存地址与下载配置，保存成功并不代表下载成功。
- 核对节点与当前配置。确认列表中出现可选线路，并检查刚导入的配置是否已被设为当前使用项。多份配置并存时，容易误用旧配置。
- 选择出口。先选符合目标应用地区要求的节点，保持出口稳定；暂时不要同时修改规则、DNS 和其他高级选项。
如果粘贴后提示格式不支持，先检查是否选错了订阅类型。协议名称相同，也可能因为配置结构或参数支持不同而导入失败。不要仅凭“链接能打开”判断它适用于当前客户端，更不要把个人链接提交给搜索引擎寻找报错答案。
允许添加 VPN 配置：系统提示怎么处理
首次启动连接时，客户端可能请求添加 VPN 配置。确认提示来自刚安装、准备使用的应用后，再按系统界面完成授权。系统可能要求使用设备解锁验证；具体提示会随系统版本、设备设置和客户端实现变化。
这项授权让应用能够建立受系统管理的网络隧道，不是服务质量认证，也不代表所有流量必然经过所选节点。是否代理某个应用或域名，还取决于客户端模式、分流规则、DNS 配置及应用自身行为。
如果此前点了不允许，先回到客户端重新启动连接，看它是否再次请求授权。仍然无法添加时，可以在系统设置中搜索“VPN”，检查现有配置及管理状态。不同系统版本的菜单位置可能不同，不必拘泥于固定层级。
VPN 配置、设备管理描述文件与根证书不是同一回事。普通订阅导入不等于需要安装设备管理配置或信任根证书。若教程额外要求这些操作，应先弄清目的、签发者和风险；不应为了消除连接报错就盲目接受。
验证连接：不能只看 VPN 标识
客户端显示已连接，只能说明连接流程到了某个状态。状态栏是否出现 VPN 标识也会受界面展示影响，不能代替实际测试。验证时要同时看客户端状态、目标网站访问结果，以及预期出口是否一致。
先测试访问，再检查出口
打开准备使用的网站或应用，检查能否正常加载和完成实际操作。需要确认出口时，可用可信的 IP 查询页面作辅助，但 IP 地理数据库可能有偏差；单个查询页面给出的城市名称，不应成为判断线路失效的唯一依据。
在规则模式下，IP 查询网站可能走直连，而目标国际网站走代理。这时查询结果显示本地出口，不一定说明整个配置无效。应结合客户端的连接记录，查看目标请求匹配了哪条规则、使用了哪个策略或节点。分享记录前，要遮盖订阅地址、凭据与个人访问内容。
DNS 与分流需要一起看
DNS 负责把域名解析成地址。网页能打开，不等于 DNS 一定按预期路径处理；反过来，DNS 检测页面显示了某个解析器，也不直接证明所有浏览流量都从那里经过。所谓 DNS 泄漏，应结合预期配置，判断解析请求是否意外离开应走的路径。
新手宜先采用客户端与服务说明推荐的配置，不要随意叠加独立 DNS 配置、其他网络过滤应用或不明规则集。若只有个别域名失败，先查看相关规则和解析错误，而不是直接把所有 DNS 设置全部改掉。
遇到网页能开、应用却提示地区不符，也要区分网络出口与账号地区、内容授权、定位权限及缓存。切换节点不能自动改变这些条件，线路可连接也不是目标平台长期可用的保证。
常见故障：按出现位置排查
订阅更新失败或节点列表为空
先确认基础网络能访问面板，再核对订阅地址是否完整、是否选对格式，以及面板显示的服务状态。链接被重置后，旧地址可能失效；应重新从个人面板获取。若报错涉及不支持的字段，检查客户端更新与兼容说明，不要反复覆盖同一份错误配置。
节点可见，但无法建立连接
检查系统授权、当前选中的配置，以及是否有其他 VPN 类应用正在运行。随后尝试面板提供的其他可用线路，并在 Wi-Fi 与蜂窝网络之间切换作对照。每次只改动一个条件，记录报错内容，才能分辨是本地网络、客户端还是某条线路的问题。
已连接，但部分网站打不开
先检查目标请求是否被错误分到直连或拦截策略，再看 DNS 和目标服务的地区要求。客户端若提供全局代理模式，可临时用来对照规则问题，但它不保证绕过应用的账号或地区限制。定位完成后恢复适合日常使用的分流设置。
IEPL 专线、中转与直连描述的是线路传输组织方式，不是 iPhone 的安装方式，也不决定客户端一定支持哪些协议。不要用线路类型代替排错：配置格式、授权状态与规则匹配仍需分别确认。相关线路说明可查看节点页面。
先确认客户端可获取且兼容，再导入正确订阅、完成系统授权，最后用目标访问与连接记录验证结果。出现问题时，按“订阅获取—系统权限—节点连接—规则与 DNS—目标应用条件”逐段定位，比反复重装更有效。
需要协助时，可通过面板工单提供客户端名称、系统版本、报错文字和已经尝试的步骤。不要发送完整订阅链接或未遮盖的凭据截图。更通用的操作说明可参阅使用教程。