設定を始める前に準備するもの
このMac VPN設定ガイドは、macOSで初めてサブスクリプションを導入する方に適しています。サブスクリプションURLを貼り付けるだけでなく、クライアントの入手元、システム許可、回線の選択、出口アドレスとDNSの確認、接続失敗時に問題の層を切り分ける手順まで解説します。
開始前に、有効なサブスクリプションリンクと、Macのプロセッサアーキテクチャに合ったクライアントを用意します。サブスクリプションリンクには通常アクセス情報が含まれており、クライアントが読み込むとサーバーアドレス、ポート、プロトコル、回線名が表示されます。通常のWebページURLではないため、検索欄や公開チャット、スクリーンショットに貼り付けないでください。
クライアントをダウンロードする前に、サブスクリプションで実際に使われているプロトコルに対応しているか確認します。Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUICは同じ接続方式ではありません。いずれか1つに対応していても、残りすべてに自動対応するわけではありません。導入後に一覧が空になる、一部の回線が消える、設定項目が不明として表示される場合は、システム権限を何度も許可する前にプロトコルの互換性を確認しましょう。
- ✅ サービスパネルからサブスクリプションリンク全体をコピーし、先頭部分、パラメータ、tokenを漏らしていない。
- ✅ クライアントがmacOSに対応し、現在のMacのプロセッサアーキテクチャと一致している。
- ✅ 同種のネットワークツールを終了し、複数のトンネルが同時にルートやDNSを変更しないようにしている。
- ✅ 現在のネットワーク自体で通常のWebサイトを開けるため、ローカルの通信障害と回線の問題を切り分けられる。
- ❌ 出所不明なオンライン変換ページにサブスクリプションリンクを入力しない。
macOSのシステム権限を理解する
macOSのプロキシクライアントがネットワークトラフィックを処理するには、通常VPN構成の作成またはNetwork Extensionの読み込みが必要です。システムのダイアログで管理者の確認を求められるのは、この権限によってアプリが仮想ネットワークインターフェースを作成し、ルートを調整し、ルールに合う接続をトンネルへ送れるようになるためです。写真、連絡先、書類へのアクセス権ではありません。
クライアントによって実装は異なります。VPN構成の追加だけを求めるものもあれば、システム拡張機能の許可まで必要なものもあります。対応するコンポーネントを実際に使う場合にだけ関連する案内が表示されるため、画面が完全に一致しないのは正常です。ガイドと同じダイアログを探すために、関係のないプライバシー権限を自分から有効にしないでください。
| システムの表示 | 実際の用途 | 推奨される対応 |
|---|---|---|
| VPN構成を追加 | クライアントによるネットワークトンネルの作成を許可し、接続時に対応する構成を有効にします。 | アプリの入手元と名称が正しいことを確認してから許可します。 |
| ネットワーク拡張機能 | クライアントの拡張コンポーネントがトンネル、プロキシ、コンテンツフィルタリング機能を処理します。 | 現在インストールしているクライアントに対応する開発元の項目だけを許可します。 |
| 管理者認証 | システムで保護されているネットワーク設定の変更を許可します。 | システムの認証画面で完了し、パスワードをクライアント本体の画面に入力しないでください。 |
| バックグラウンド実行 | アプリのウィンドウを閉じた後も、メニューバーの状態表示、自動再接続、サブスクリプション更新を動作させます。 | 実際の利用目的に応じて有効にするか判断します。 |
| ローカルネットワーク | LAN内の機器の検出やアクセスに使います。必要かどうかはクライアントの機能によって異なります。 | 通常の国際ネットワークアクセスだけであれば、まず機能説明を確認して判断します。 |
拒否を選択した場合、クライアントが再度要求してもダイアログが表示されないことがあります。その場合は「システム設定」を開き、「プライバシーとセキュリティ」、ネットワーク関連の設定、またはVPN構成の項目で該当する設定を探します。macOSの画面変更により入口は変わることがありますが、確認すべき点は同じです。アプリがシステムによって阻止されていないか、拡張機能が許可されているか、VPN構成が存在するかを確認してください。
システム拡張機能を許可した後、設定画面にアプリの終了、再起動、またはシステムの再起動が必要と明示された場合は、その案内に従います。案内がなければ、再起動を固定手順にする必要はありません。クライアントを無理に何度も再インストールすると重複した構成が残り、後の切り分けが難しくなることがあります。
クライアントにサブスクリプションを導入する
クライアントを開き、「サブスクリプション」「設定」「Profiles」「Remote」などの項目を探します。アプリによって名称は異なりますが、いずれもリモート設定の取得元を登録するものです。URL入力欄にサブスクリプションリンクを貼り付け、名称にはサービス名や用途を入力してから更新します。
https://example.com/sub?token=xxxx- サービスパネルからサブスクリプションリンクをコピーし、手動選択やパラメータのコピー漏れを避けます。
- クライアントでは単一ノードを手動作成するのではなく、新しいリモートサブスクリプションを追加します。
- リンクを貼り付けて保存し、「サブスクリプションを更新」または同等の操作を実行します。
- 回線名が表示され、対応していないプロトコルに関する案内がないことを確認します。
- まず1本の回線を選んで接続をテストし、DNS、ルール分岐、高度な転送パラメータは同時に変更しないでください。
サブスクリプションの導入と更新は別の操作です。URLを保存しただけでは、クライアントが取得元を記憶したにすぎません。更新が成功して初めて、現在の設定が取得されます。導入後に回線が表示されない場合は、ネットワーク要求の失敗、形式の解析エラー、対応していないプロトコルのどれなのかをエラー内容で確認します。最初の問題はリンクやローカルネットワークに、後2つは通常クライアントの互換性に関係します。
クライアントによっては「クリップボードから導入」も利用できます。この入口を使う前に、クリップボードに単一回線の共有リンクではなく、サブスクリプションリンクだけが入っていることを確認します。リモートサブスクリプションなら回線の変更を後から同期できますが、単一ノードを手動で導入してもサブスクリプション内の更新は自動取得されません。
モードを選択してVPN接続を確立する
回線の導入に成功すると、クライアントで動作モードの選択を求められることがあります。一般的な選択肢はシステムプロキシ、ルール分岐、トンネルモードです。システムプロキシは主にmacOSのプロキシ設定に従うアプリに影響し、トンネルモードは仮想ネットワークインターフェースを通じてより広いトラフィックを処理します。ルール分岐はドメイン、アドレス、ルールセットに応じて直接接続とプロキシを振り分けます。
初回テストでは変数を減らすのがおすすめです。地域が明確な回線を1本選び、クライアント推奨の基本モードで接続を開始します。このときmacOSでVPN構成の追加や管理者認証の画面が表示されることがあります。許可すると、メニューバーまたはクライアントの状態が未接続から接続済みに変わります。
接続済みになったことは、ローカルトンネルが起動したことを示すだけで、対象トラフィックが必ず想定した回線を通るとは限りません。ルール分岐でテストサイトが直接接続に指定されていれば、出口アドレスはローカルネットワークのままです。ブラウザーで独自のプロキシや暗号化DNSを使っている場合も、検出結果がシステム標準の経路と異なることがあります。
| 動作方式 | 主な影響範囲 | 適した用途 | よくある誤解 |
|---|---|---|---|
| システムプロキシ | システムプロキシ設定に従うアプリの通信 | ブラウザーや一般的なデスクトップアプリの基本的なアクセス | すべてのコマンドラインプログラムや独立したネットワークコンポーネントが自動的に従うと思い込む |
| ルール分岐 | ドメイン、アドレス、ルールによって決まる一部の通信 | ローカルサービスは直接接続し、指定した対象は国際回線を経由させる | ルールのマッチ結果を確認せず、接続ボタンだけで判断する |
| トンネルモード | 仮想ネットワークインターフェースに入るシステム通信 | より多くのアプリやプロトコルを対象にしたい場合 | ほかのVPNやセキュリティソフトのネットワーク拡張機能も同時に有効にする |
IEPL専線、中継、直接接続は回線の経路を示すもので、クライアントのプロトコルではありません。直接接続は端末から遠隔入口へ直接接続します。中継ではまず中継ノードに入り、その後目的の出口へ転送します。IEPL専線は特定の国際転送経路に使われることがあります。回線タイプが異なっても、macOS側ではクライアントのプロトコルでローカル接続を確立する必要があり、「回線タイプ」と「Trojan」「VLESS」などのプロトコル名を置き換えて考えることはできません。
接続の有効性とDNS経路を確認する
確実に確認するには、出口地域、DNSの名前解決、対象アプリを同時に確認します。まずブラウザーで公開出口アドレスが変わったか、選択した回線の地域と一致しているかを確認します。次に、実際に利用するWebサイトやアプリを開き、正常に接続できるかを見ます。クライアントのアイコンが変わっただけでは、データ経路を判断できません。
DNSリークとは、通信本体はトンネルを通っているのに、ドメインの問い合わせだけがローカルネットワークのリゾルバーへ送られる状態です。地域判定が一致しなくなったり、ルール分岐の結果が想定から外れたりする可能性があります。確認時は、リゾルバーの所属ネットワークがクライアント設定と合っているかを見て、ページに目立つ「成功」表示があるかだけで判断しないでください。
- ✅ 公開出口の地域が、クライアントで選択した回線と一致している。
- ✅ 対象のWebサイトまたはアプリが読み込まれ、直接接続とプロキシの間で繰り返し切り替わらない。
- ✅ DNSの検出結果で、現在の設定に合わないローカルの名前解決経路が使われていない。
- ✅ クライアントを切断すると出口アドレスがローカルネットワークに戻り、接続前後の比較が有効である。
- ❌ ブラウザーのキャッシュ、アカウントの地域、コンテンツプラットフォームのアカウント設定を回線障害と取り違えない。
出口アドレスが変わっているのに特定のWebサイトで元の地域が表示される場合は、まずそのサイトのセッション情報を削除するか、新しいプライベートウィンドウで試します。サービスによってはアカウント地域、支払い情報、端末の位置情報、過去のセッションを総合して判定します。VPNが変更できるのはネットワークの出口であり、これらのアカウント属性を自動的に書き換えるものではありません。
ブラウザーでは動作するのにターミナルツールでは動作しない場合、通常はシステムプロキシを使っていて、コマンドラインプログラムがシステムのプロキシ設定を読み取っていないことを意味します。クライアントのトンネルモードに切り替えるか、対象ツールにプロキシを明示的に設定します。変数の意味が分からないままターミナルコマンド全体をコピーしないでください。誤った環境変数がクライアント終了後も接続に影響することがあります。
ルール分岐とローカルネットワークを設定する
基本接続が正常なことを確認してから、ルール分岐を調整します。ルールは通常、ドメイン、IPアドレス、プロセス、ルールセットで判定されます。一般的には、国内サイトやLAN内のリソースを直接接続し、国際回線が必要な対象をプロキシ経由にします。不要な経路変更を減らし、ローカルプリンター、ファイル共有、開発機器の接続も維持できます。
ルールには優先順位があります。より具体的なドメインルールは、通常、広いルールより前に置きます。そうしないと、先にあるワイルドカードルールが先にマッチする可能性があります。変更後はクライアントの接続ログでマッチ結果を確認し、対象ドメインがDIRECT、PROXY、どのポリシーグループのいずれを通ったかを確認します。ログは接続方向の特定に使い、公開の相談時に完全なサブスクリプションURL、認証情報、サーバー資格情報を添付しないでください。
IPv6によって経路が一致しなくなることもあります。クライアントがIPv4だけを処理し、対象アプリがIPv6を優先すると、一部の通信が想定したルールを迂回する可能性があります。クライアントが対応するIPv6トンネルとDNSポリシーをサポートしているか確認し、システムルート、プロキシルール、名前解決の結果を一致させるのが適切です。異常があるからといって、すべてのIPv6機能を恒久的に無効にするのは避けてください。
LAN内の機器へアクセスする必要がある場合は、クライアントに「LANを許可」などの項目があるか確認します。有効にすると、通常はローカルセグメントが直接接続になります。無効にすると、トンネルルールによってプリンター、ストレージ機器、開発サーバーへの接続が遮断されることがあります。組織管理下の機器では、組織のネットワークポリシーに従い、システムから配布されたVPNやコンテンツフィルタリング設定を上書きしないでください。
許可に失敗した場合と接続できない場合の確認手順
トラブルシューティングでは、すべてのコンポーネントを一度に再インストールするのではなく、エラーが発生した箇所から確認します。クライアントが開かない、サブスクリプションを更新できない、システムが許可を拒否する、トンネル起動後に通信がない、という問題はそれぞれインストール、設定、権限、ルーティングの層に該当します。「接続できない」とだけ説明するより、元のエラーメッセージを残すほうが有用です。
- 通常のネットワークが使えることを確認します。クライアントを切断して一般的なWebサイトをテストし、Wi-Fi、ゲートウェイ、認証ページの問題を切り分けます。
- サブスクリプション更新の結果を確認します。リモート要求に失敗した場合は、サービスパネルからリンクをコピーし直し、余分な空白がないことを確認します。
- プロトコルの互換性を確認します。回線がスキップされる、または不明な項目が表示される場合は、対象プロトコルに対応したmacOSクライアントへ切り替えます。
- システム設定のVPN構成、ネットワーク拡張機能、プライバシーとセキュリティに関する案内を確認し、以前拒否した許可を処理します。
- ほかのVPN、プロキシ、ファイアウォール、コンテンツフィルタリングアプリを終了し、ネットワーク拡張機能が同じ通信経路を取り合わないようにします。
- 既知の利用可能な別の回線へ切り替え、単一設定の異常なのか、クライアント全体がトンネルを確立できないのかを判断します。
- 基本モードに戻して再テストし、カスタムDNS、複雑なルール分岐、手動の転送パラメータは一時的に無効にします。
- クライアントのログで接続段階を確認します。ただし共有する前に、サブスクリプションtoken、サーバー認証情報、ローカルアカウントのパスを隠してください。
システムに「拡張機能がブロックされました」と表示される
表示されたアプリ名と開発者情報が、現在インストールしているクライアントに対応していることを確認してから、「プライバシーとセキュリティ」でシステムのブロック項目を処理します。許可後は、システムの明確な案内に従ってアプリを再度開くか再起動します。設定に該当項目がまったくない場合は、クライアントを終了して接続要求を一度再実行するほうが、連続して再インストールするより状態を確認しやすくなります。
導入は成功したのに、すべての回線で接続できない
まず、サブスクリプションが解析に成功しただけで、サーバーへの到達性まで保証されたわけではないことを確認します。異なるプロトコルの回線へ切り替えると、特定の転送方式が非対応なのか、ローカルネットワーク全体が接続を制限しているのかを見分けやすくなります。すべての回線がローカルトンネル確立前に失敗するなら権限を、トンネル確立後にハンドシェイクが失敗するならシステム時刻、プロトコル対応、回線設定、現在のネットワーク環境を確認します。
接続後にWebページがまったく開かない
通常はDNS、デフォルトルート、複数のネットワーク拡張機能の競合が関係しています。まずカスタムDNSと高度なルール分岐を無効にし、クライアントの標準設定だけを残します。次に、ネットワーク経路を変更するほかのツールを終了します。基本設定で復旧したら、設定を1つずつ有効に戻すことで、中断の原因となった項目を特定できます。
スリープ復帰後に接続が失われる
Macの復帰後は、ネットワークインターフェース、Wi-Fiアドレス、デフォルトルートが再構築されることがあります。自動再接続に対応したクライアントはトンネルの復旧を試みますが、以前のセッションがそのまま有効とは限りません。まず手動で切断してから再接続します。問題が続く場合は、バックグラウンド実行の許可、自動再接続設定、ネットワーク切り替え後もサブスクリプションの回線に到達できるかを確認します。
設定完了後の日常メンテナンス
接続が安定したら、リモートサブスクリプションを残し、クライアントの更新機能を定期的に使います。回線を更新するためにサブスクリプションを何度も削除しないでください。再追加によってカスタムポリシーグループやルール分岐が上書きされる可能性があります。クライアントが設定のバックアップに対応している場合は、更新前に機密情報を含まないルール部分をエクスポートできます。
クライアントのアップデート後に異常が発生した場合は、まずネットワーク拡張機能、プロトコルコア、設定形式に関する変更をバージョンノートで確認します。macOSのアップデートによってネットワーク拡張機能の再確認を求められることもあります。この場合は、サブスクリプションが無効になったと決めつけず、既存のVPN構成が残っているか確認します。
クライアントを使わなくなった場合は、まずアプリ内で接続を切断してVPN構成を削除し、その後ソフトウェアが案内する方法で拡張機能を削除します。アプリをゴミ箱に移動するだけでは、システムのネットワーク設定が同時に消えないことがあります。アンインストール後は、システムのネットワーク設定に無効な構成が残っていないか確認します。
最後に、シンプルな再確認手順を1つ残します。クライアントを起動し、回線を選び、出口を確認し、DNSを検証して、対象アプリを開きます。今後接続に問題が起きても同じ順序で確認すれば、原因がローカルネットワーク、システム許可、クライアント設定、遠隔回線のどこにあるかをすばやく判断できます。