iPhone 使用 VPN，关键不是看到连接图标，而是确认客户端已读入订阅、线路可以连接、目标应用按预期分流。本指南按实际操作顺序说明设置方法。先在稳定网络下完成导入，再验证访问结果；遇到问题时，沿相同顺序回查，比反复重装更有效。
开始前：分清客户端与订阅
客户端负责在 iPhone 上运行连接，订阅负责提供节点及相关配置。下载客户端不等于已经获得线路，复制订阅也不等于系统已经连上 VPN。两者需要兼容，才能继续设置。
先登录 VPNBaby 面板，查看当前账户可用的客户端入口和订阅说明。iOS 下载入口按面板中的套餐状态显示，本文不提供安装包，也不假定某个应用始终可以下载。获取客户端时，以面板指引和对应应用的官方说明为准。
不同客户端支持的协议和配置格式并不相同。即使应用都能显示“导入订阅”，也未必能读取同一份内容。例如，Shadowsocks、Trojan、VLESS 是不同协议名称，不能仅靠改文件后缀互相转换；是否支持，应查看客户端说明。本文不据此推断 VPNBaby 当前线路使用何种协议。
| 项目 | 用途 | 常见误区 |
|---|---|---|
| 客户端 | 读取配置、选择节点、建立连接 | 安装应用后就以为能够直接使用 |
| 订阅链接 | 获取或更新节点、配置等内容 | 把网页地址或账户页面地址当作订阅 |
| 节点 | 提供实际连接的服务器入口 | 把节点名称当成平台可用性保证 |
| 系统 VPN 配置 | 允许客户端建立系统网络隧道 | 以为授权成功就代表目标网站可访问 |
导入订阅：先看到节点，再开启连接
在面板中找到适用于当前客户端的订阅入口。若提供一键导入，点击后通常会请求打开对应应用；若没有跳转，先确认该应用已经安装，再使用手动复制方式。按钮名称会随客户端变化，可能叫“订阅”“配置”或“从链接导入”。
- 在面板复制与客户端匹配的订阅链接，不要复制浏览器地址栏中的账户页面地址。
- 切换到客户端，找到新增订阅或远程配置入口，粘贴完整链接。名称可以用容易识别的文字。
- 保存后执行更新或下载配置，等客户端显示完成结果，不要只停留在“已保存地址”的状态。
- 打开节点列表或代理策略页，确认已经出现可选线路；如果列表为空，先解决导入问题。
一键导入并不一定会自动启用配置。有的客户端允许保存多份配置，需要再把新导入的那份设为当前使用项。发现节点名称仍是旧内容时，先检查当前配置，再检查订阅更新结果，避免在无关配置里来回切换。
若提示下载失败，应先确认当前网络能够访问订阅地址，再检查链接是否完整、账户状态是否正常。若提示格式错误，则重点检查客户端与订阅格式是否匹配。不要在错误尚未区分时反复删除应用，删除操作可能连同本地规则一起清除。
允许添加配置，不等于安装证书
首次启动连接时，iOS 通常会弹出允许添加 VPN 配置的系统提示。确认是刚刚使用的客户端发起，再按系统要求授权和验证设备身份。没有这一步，应用可能已保存订阅，但无法建立系统隧道。
授权后回到客户端，观察连接状态。需要查看系统记录时，可在“设置”中搜索 VPN，或进入“通用”下的“VPN 与设备管理”查找相关配置。系统版本与设备管理状态不同，入口文字可能有差异。
允许添加 VPN 配置，与安装描述文件、信任根证书不是同一件事。普通订阅导入不应被理解为必须开启根证书信任。如果教程额外要求安装证书或更改证书信任，应先弄清用途和来源；不理解时暂停操作，不要把所有授权提示一并接受。
选择线路与分流模式
节点出现后，先选择目标地区的一条线路，使用客户端建议的规则配置启动。不要同时改节点、DNS 和分流规则，否则即使访问恢复，也很难判断是哪项设置起了作用。
规则模式与全局模式怎么选
规则模式按域名、地址等条件决定连接走代理还是直连，适合日常使用。全局模式通常把客户端接管范围内的连接交给当前代理策略，适合短暂排查规则是否影响目标网站。具体覆盖范围仍由客户端和配置决定，不能理解成设备上的每一种流量都必然走同一路径。
如果目标网站在规则模式下打不开，而临时切换全局后能打开，优先检查规则命中、策略组和 DNS，不要立即断定线路故障。验证后恢复日常模式，再按客户端说明修正规则。部分应用会保留已有连接，切换模式后需要重新打开目标应用才能观察变化。
iPhone 不宜照搬安卓分应用教程
普通 iPhone 上的代理客户端，不能默认拥有与安卓相同的按应用勾选能力。iOS 的按应用 VPN 通常涉及受管理应用和设备管理配置。日常教程更适合围绕域名规则、策略组和客户端实际提供的功能展开，不要照着别的平台界面寻找不存在的开关。
选线也不要只看节点名称或测试延迟。延迟测试反映的是特定探测请求，不等于持续下载能力，也不保证目标平台接受该出口。观看配信或使用地区内容时，还可能受到账户地区、内容授权及支付条件影响。
怎样验证连接真正生效
验证应从系统状态走到实际应用。只出现 VPN 标识，说明系统存在相关连接状态；它不能独自证明目标请求已经走了选定线路。规则模式下，直连网站的出口没有变化也可能是正常结果。
- ✅ 客户端显示已连接，当前启用的是刚导入的配置，策略组也选中了预期线路。
- ✅ 打开需要代理的目标网站，完成实际操作，例如加载页面、登录或播放内容，而非只看首页能否出现。
- ✅ 如客户端提供连接记录，查看目标域名命中了哪条规则、使用哪个策略，确认没有误走直连。
- ✅ 使用可信的出口查询页面辅助核对，并确认该查询请求本身走代理；不要用直连结果判断整份配置失效。
- ✅ 分别在无线网络和蜂窝网络下验证日常目标，切换网络后等待连接恢复，再重新发起请求。
DNS 检查应看什么
DNS 负责把域名解析为地址。隧道连接成功后，如果解析超时或规则采用了不合适的结果，网页仍可能打不开。先使用客户端建议的 DNS 设置；来源不明的配置片段可能破坏原有的解析与分流配合。
DNS 泄漏测试可以辅助观察哪些解析器参与查询，但结果需要结合配置理解。解析器显示的地区不必与代理出口完全相同，浏览器的加密 DNS、系统设置和客户端处理方式也可能影响结果。不要仅凭地区不一致就下结论，应对照目标请求的规则与解析路径继续检查。
判断标准：系统连接正常、目标操作成功、目标请求命中预期策略，才是更可靠的生效证据。出口查询和 DNS 测试是辅助工具，不能替代真实使用验证。
常见问题：按故障位置回查
能导入，但连接失败
先确认套餐状态和可用流量，再更新订阅，选择另一条可用线路重试。如果只有某条线路失败，应记录线路名称和错误提示；如果所有线路都失败，再检查客户端版本、协议支持及当前网络条件。测试时先关闭其他代理连接，避免互相干扰。
显示已连接，网页却打不开
先区分是所有网页失败，还是仅某个目标失败。全部失败时，检查节点连接与 DNS；单个目标失败时，查看规则命中和平台本身状态。临时切换全局模式可帮助定位，但不宜把长期全局代理当作所有问题的通用修复。
锁屏或切换网络后不能继续访问
重新打开客户端查看连接是否恢复，再向目标应用发起新请求。按需连接或自动重连是否可用，取决于客户端实现和系统设置，不应照搬安卓的后台保活办法。如果存在其他 VPN、过滤工具或网络扩展，可暂时逐项停用作对照，测试后恢复需要的设置。
更新订阅后，原来的选择失效
订阅更新可能改变节点或策略名称。原先手动指定的项目不存在时，需要重新选择。先确认更新结果，再检查当前策略是否仍指向有效节点，不要把旧截图中的名称当成永久入口。
仍无法定位时，可参考排查手册，或在面板工单提供客户端名称、系统版本、发生场景与已遮盖凭据的错误截图。不要提交密码或完整订阅链接；描述“在哪一步失败”，比只说“不能用”更有助于排查。