iOS VPN推荐：App Store 地区限制与客户端实测对比
iOS VPN 推荐绕不开一个前置问题：App Store 的账号地区。同一款客户端，在国区、美区、日区三个账号下能搜到什么，结果并不一样；搜到之后，订阅怎么装进 iPhone，又有两条完全不同的路径。下面按账号状态梳理可用客户端，对比描述文件与快捷指令的差别，并给出接通自检的三步流程。
iOS VPN 推荐绕不开一个前置问题：App Store 的账号地区。同一款客户端，在国区、美区、日区三个账号下能搜到什么，结果并不一样；搜到之后，订阅怎么装进 iPhone，又有两条完全不同的路径。下面按账号状态梳理可用客户端，对比描述文件与快捷指令的差别，并给出接通自检的三步流程。
App Store 的搜索结果由 Apple ID 的所属地区决定，和系统语言、当前网络出口都没有关系。把系统语言改成英文、或者连到别的地区的网络，都不会让国区账号里多出原本没有的应用。要比较国区、美区、日区，先要分清「账号地区」和「网络出口」是两件独立的事。
国区 App Store 收紧对 VPN 与代理类应用的审核之后，这类客户端基本已经搜不到；美区和日区目前仍能搜到主流的几款。切换账号地区本身有条件：需要清空账户余额、取消进行中的订阅，并提供该地区可用的付款方式。所以实际操作里更常见的是单独准备一个其他地区的 Apple ID，只在下载和更新客户端时登录。
还有一个 iOS 特有的限制：客户端要通过系统的 NetworkExtension 框架申请「个人 VPN」权限，安装来源固定在 App Store，桌面端那种直接下载安装包的做法在这里不适用。系统自带的「设置 → 通用 → VPN 与设备管理」只接受 IKEv2、IPSec 这类原生协议，Shadowsocks、VMess 这些协议必须由第三方客户端接管。
区分方法：设置里只有系统自带的 VPN 条目、看不到客户端名字，说明走的是原生协议；设置里出现以客户端命名的「个人 VPN」条目，说明流量已经交给客户端处理。
下表按账号地区列出三种状态下的实际差别。上架状态会随审核政策调整，最终以你账号所在地区的搜索结果为准。
| App Store 账号地区 | 代理类客户端 | 常用导入路径 | 操作注意 |
|---|---|---|---|
| 中国大陆 | 主流几款基本搜不到 | 描述文件（仅系统原生协议） | 账号地区需整体切换，不能单独改搜索地区 |
| 美国 | Shadowrocket、Quantumult X、Stash、Loon、sing-box 等可搜到 | 订阅链接 + 快捷指令 | 付费应用按美元计价，扣款走账户余额或已绑定的付款方式 |
| 日本 | 同类客户端大多可搜到 | 订阅链接 + 快捷指令 | 按日元计价，实际扣款金额以账单为准 |
客户端本身只是容器：它把订阅里的节点解析成一条条线路，再在系统里建立一个本地代理。真正决定能不能连上的是订阅内容，不是客户端名字。所以选客户端的顺序应该是先确认订阅里给的协议，再挑支持这些协议的客户端。
免费客户端和付费客户端的差别集中在三点：协议覆盖范围、分流规则的编辑能力、能不能按 App 单独分流。只连一两条线路的话，免费客户端够用；需要精细分流、或者经常在多个节点之间切换，付费客户端的规则编辑器会省不少操作。本文的对比集中在导入流程、协议支持与自检环节，不列具体速度数字——同一个节点在不同运营商、不同时段的差异太大，单次测速的结果没有横向参考价值。
把订阅装进 iPhone 有两条路径，它们解决的不是同一个问题：描述文件把配置交给系统，快捷指令把订阅交给客户端。
描述文件是一个 .mobileconfig 文件，下载后要到「设置 → 通用 → VPN 与设备管理」里手动安装，安装时系统会提示来源未验证。它的好处是配置在系统层生效，锁屏界面和设置里都能直接开关；代价是只能承载 IKEv2、IPSec 这类系统原生协议，Shadowsocks、VMess、Trojan 接不住。另外，服务端配置一旦变更，描述文件需要重新下载安装，不能像订阅那样一键更新。
快捷指令（或客户端自带的 URL scheme）做的是另一件事：把订阅链接交给已经装好的客户端，由客户端去拉取节点列表。前提是客户端已经装在这台设备上，好处是更新订阅只需要重跑一次快捷指令，或者直接在客户端里下拉刷新。常见做法是把订阅链接做 Base64 或 URL 编码后拼进 scheme。
# 订阅导入路径速记（具体 scheme 以各客户端文档为准）
客户端内：粘贴订阅链接 → 保存 → 更新订阅
快捷指令：客户端 scheme + Base64 编码后的订阅链接
描述文件：.mobileconfig → 设置 → 通用 → VPN 与设备管理 → 安装三条路径的取舍看下表。
| 导入路径 | 承载的协议 | 订阅更新方式 | 适用场景 |
|---|---|---|---|
| 描述文件（.mobileconfig） | 系统原生：IKEv2 / IPSec | 配置变更需重新下载安装 | 只用原生协议，习惯在系统设置里开关 |
| 快捷指令 / URL scheme | 客户端内置：Shadowsocks / VMess / VLESS / Trojan / Hysteria2 / TUIC | 重跑一次即可拉取最新节点 | 已装客户端，节点会定期更换 |
| 客户端内手动粘贴 | 同上 | 客户端内下拉刷新 | 只维护一台设备，不想额外配置快捷指令 |
订阅链接等同于账号凭据。把它写进快捷指令再分享出去，等于把线路一起借出去；截图、剪贴板历史和聊天记录都是常见的泄露路径。更新订阅优先用客户端内的粘贴框，不要走公开的短链。
同一个订阅链接，在不同客户端里可用的协议并不完全一样。下面是 iOS 上常见的几类协议，以及实际使用中会碰到的问题。
iOS 客户端之间的差异集中在较新的 QUIC 类协议上。Shadowrocket、Stash、Loon、sing-box 的覆盖相对完整；Quantumult X 能支持哪些协议取决于版本，导入前先在客户端的订阅页确认协议有没有被识别。如果订阅里有节点显示为「不支持」，通常不是节点坏了，而是这个客户端还没有实现对应的协议。
线路类型也影响体验，但和客户端无关。直连是客户端直接连境外服务器，走公网国际出口，晚高峰容易拥堵；中转是客户端先连境内入口，再由入口走优化线路出境；IEPL 专线是点对点的国际以太网专线，不经过公网国际出口，延迟和丢包更稳定，成本也更高。订阅页标注的线路类型，决定的是这条线路在晚高峰的下限。
连上了但页面打不开，是最常见的故障形态。按下面三步排查，基本能定位到具体环节。
客户端定下来之后，剩下的是核对服务端这一侧。三个点按顺序看：客户端支持的协议、订阅覆盖的地区与线路、以及试错成本。
覆盖地区决定你能不能拿到目标地区的出口 IP，线路数量决定晚高峰有没有备选，退款期决定试错成本，设备数决定一个订阅能不能同时覆盖移动端和桌面端。注册环节只需要用户名和密码，不需要邮箱地址，也不用为此单独准备一个邮箱。
结论：iOS 上的第一道坎是账号地区，第二道坎是导入路径。国区账号基本拿不到代理类客户端，需要另备一个美区或日区 Apple ID；订阅导入优先用客户端内粘贴或快捷指令，描述文件只在确定只用原生协议时才划算。客户端选支持你订阅里那些协议的就够，不必追求功能最全的那一款。