开始设置前要准备什么
这篇 Mac VPN 设置教程适合第一次在 macOS 导入订阅的用户。完整流程不是只把订阅地址粘贴进客户端，还包括确认客户端来源、理解系统授权、选择线路、检查出口地址与 DNS，以及在失败时判断问题发生在哪一层。
开始前应准备可用的订阅链接和与 Mac 处理器架构匹配的客户端。订阅链接通常包含访问凭据，客户端读取它以后，才会显示服务端地址、端口、协议和线路名称。它不是普通网页链接，不应放进搜索框、公开聊天记录或截图中。
下载客户端前，先确认它支持订阅中实际使用的协议。Shadowsocks、VMess、Trojan、VLESS、Hysteria2 与 TUIC 并不是同一种连接方式，客户端支持其中一种，不代表自动支持其余协议。若导入后列表为空、部分线路消失或配置项被标为未知，优先检查协议兼容性，而不是反复授权系统权限。
- ✅ 已从服务面板复制完整订阅链接，没有遗漏开头、参数或 token。
- ✅ 已确认客户端适用于 macOS，并与当前 Mac 的处理器架构匹配。
- ✅ 已退出同类网络工具，避免多个隧道同时修改路由与 DNS。
- ✅ 当前网络本身可以正常打开常用网站，便于区分本地断网与线路问题。
- ❌ 不把订阅链接导入来源不明的在线转换页面。
看懂 macOS 的系统权限
macOS 上的代理客户端要接管网络流量，通常需要创建 VPN 配置或加载 Network Extension。系统弹窗会要求管理员确认，因为这项权限允许应用建立虚拟网络接口、调整路由，并把符合规则的连接送入隧道。它不是访问照片、通讯录或文稿的权限。
不同客户端采用的实现不同。有的只请求添加 VPN 配置，有的还需要批准系统扩展。应用只有在确实使用对应组件时才会出现相关提示，因此界面不完全一致是正常现象。不要为了寻找与教程一模一样的弹窗，主动打开无关的隐私权限。
| 系统提示 | 实际用途 | 建议处理 |
|---|---|---|
| 添加 VPN 配置 | 允许客户端创建网络隧道，并在连接时启用对应配置。 | 确认应用来源和名称正确后批准。 |
| 网络扩展 | 由客户端的扩展组件处理隧道、代理或内容过滤能力。 | 仅批准当前安装客户端对应的开发者项目。 |
| 管理员认证 | 允许修改受系统保护的网络配置。 | 在系统认证窗口中完成，不把密码输入客户端正文界面。 |
| 后台运行 | 让菜单栏状态、自动重连或订阅更新在应用窗口关闭后继续工作。 | 按实际使用需求决定是否启用。 |
| 本地网络 | 用于发现或访问局域网设备，是否需要取决于客户端功能。 | 若只进行普通跨境访问，可先根据功能说明判断。 |
如果点过拒绝，客户端再次请求时可能不会重复弹窗。此时打开“系统设置”，在“隐私与安全性”、网络相关设置或 VPN 配置区域查找对应项目。具体入口会随 macOS 界面调整而变化，但判断原则不变：检查应用是否被系统阻止、扩展是否获准、VPN 配置是否存在。
批准系统扩展后，如果设置页面明确提示需要退出应用、重新打开或重启系统，应按提示完成。没有出现提示时，不必把重启当作固定步骤。强制反复安装客户端往往会留下重复配置，使后续排查更困难。
在客户端导入订阅
打开客户端后，寻找“订阅”“配置”“Profiles”或“Remote”一类入口。不同应用的名称不同，本质都是建立一个远程配置来源。把订阅链接粘贴到 URL 输入框，名称可以填写服务名称或用途，随后执行更新。
https://example.com/sub?token=xxxx- 从服务面板复制订阅链接，避免手动选择或漏复制参数。
- 在客户端中新建远程订阅，而不是新建单个手动节点。
- 粘贴链接并保存，然后执行“更新订阅”或同等操作。
- 确认线路名称已经出现，并检查是否有协议不受支持的提示。
- 先选择一条线路测试连接，暂时不要同时修改 DNS、分流和高级传输参数。
订阅导入与订阅更新是两个动作。保存 URL 只代表客户端记住了来源；成功更新后，客户端才取得当前配置。如果导入后没有线路，查看错误信息中是网络请求失败、格式无法解析，还是协议不受支持。前者与订阅地址或本地网络有关，后两者通常与客户端兼容性有关。
也有客户端提供“从剪贴板导入”。使用这个入口前要确认剪贴板中只有订阅链接，而不是某个单独线路的分享链接。远程订阅便于后续同步线路变化；手动导入单个节点则不会自动获得订阅内的更新。
选择模式并建立VPN 连接
线路导入成功后，客户端通常还会要求选择运行模式。常见选项包括系统代理、规则分流和隧道模式。系统代理主要影响遵循 macOS 代理设置的应用；隧道模式通过虚拟网络接口接管更广的流量；规则分流则根据域名、地址或规则集决定直连与代理。
首次测试建议减少变量。选择一条明确地区的线路，使用客户端推荐的基础模式，然后启动连接。此时 macOS 可能弹出添加 VPN 配置或管理员认证窗口。批准后，菜单栏或客户端状态应从未连接变为已连接。
状态变为已连接，只说明本地隧道已经启动，不等于目标流量一定经过预期线路。若分流规则把测试网站设为直连，出口地址仍可能保持本地网络；若浏览器启用了独立代理或加密 DNS，检测结果也可能与系统默认路径不同。
| 运行方式 | 主要影响范围 | 适合场景 | 常见误区 |
|---|---|---|---|
| 系统代理 | 遵循系统代理设置的应用流量 | 浏览器和常规桌面应用的基础访问 | 认为所有命令行程序和独立网络组件都会自动跟随 |
| 规则分流 | 由域名、地址和规则决定的部分流量 | 本地服务直连，指定目标经过国际线路 | 忽略规则命中结果，只根据连接按钮判断 |
| 隧道模式 | 进入虚拟网络接口的系统流量 | 需要覆盖更多应用协议的情况 | 与其他 VPN 或安全软件的网络扩展同时启用 |
IEPL 专线、中转与直连描述的是线路路径，不是客户端协议。直连表示设备直接连接远端入口；中转会先进入中转节点，再转向目标出口；IEPL 专线通常用于特定跨境传输路径。即使线路类型不同，macOS 端仍然需要通过客户端协议建立本地连接，不能把“线路类型”和“Trojan、VLESS”等协议名称互相替代。
验证连接生效与 DNS 路径
可靠的验证要同时看出口地区、DNS 解析和目标应用。先在浏览器中检查公网出口地址是否变化，并确认显示地区与所选线路一致。随后打开实际要使用的网站或应用，观察它是否能正常建立连接。单纯看到客户端图标变色，不足以判断数据路径。
DNS 泄漏指的是业务流量已经通过隧道，但域名查询仍发送给本地网络提供的解析器。这样可能造成地区判断不一致，也可能让分流结果偏离预期。检测时应关注解析器所属网络是否符合客户端配置，而不是只看页面是否显示醒目的“通过”。
- ✅ 公网出口地区与客户端所选线路一致。
- ✅ 目标网站或应用能够加载，并且不会在直连与代理之间反复切换。
- ✅ DNS 检测结果没有继续使用不符合当前配置的本地解析路径。
- ✅ 断开客户端后，出口地址恢复为本地网络，证明前后对照有效。
- ❌ 不把浏览器缓存、账号地区或内容平台账户设置误判为线路故障。
如果出口地址已经变化，但某个网站仍显示原地区，先清理该网站的会话信息，或使用新的无痕窗口重试。部分服务会综合账号地区、付款资料、设备定位和历史会话进行判断，VPN 只改变网络出口，不能自动改写这些账户属性。
如果浏览器生效而终端工具不生效，通常意味着当前使用的是系统代理，而命令行程序没有读取系统代理设置。可以改用客户端的隧道模式，或者为对应工具显式配置代理。不要在不清楚变量含义时复制整段终端命令，因为错误的环境变量可能在客户端退出后继续影响连接。
配置分流规则与本地网络
确认基础连接正常后，再调整分流。规则通常按域名、IP 地址、进程或规则集匹配。常见策略是让本地网站与局域网资源直连，让需要国际线路的目标经过代理。这样可以减少不必要的路径变化，也避免本地打印机、文件共享或开发设备失去连接。
规则存在优先级。较具体的域名规则通常应放在宽泛规则之前，否则前面的通配规则可能提前命中。修改后要查看客户端连接日志中的匹配结果，确认目标域名究竟走了 DIRECT、PROXY 还是某个策略组。日志用于定位连接方向，不应在公开求助时附带完整订阅 URL、认证字段或服务器凭据。
IPv6 也可能造成路径不一致。如果客户端只接管 IPv4，而目标应用优先选择 IPv6，部分流量可能绕过预期规则。正确做法是检查客户端是否支持相应的 IPv6 隧道与 DNS 策略，并让系统路由、代理规则和解析结果保持一致，而不是看到异常后直接永久关闭所有 IPv6 功能。
需要访问局域网设备时，检查客户端是否提供“允许局域网”或同等选项。开启后，本地网段通常保持直连；关闭时，隧道规则可能阻断打印机、存储设备或开发服务器。若公司设备受管理配置控制，应遵循组织的网络策略，不要覆盖系统下发的 VPN 或内容过滤配置。
授权失败与无法连接的排查顺序
排查时应从错误发生的位置开始，而不是一次性重装所有组件。客户端打不开、订阅无法更新、系统拒绝授权、隧道启动后无流量，分别属于安装、配置、权限和路由层。保留原始报错文字，比只描述“连不上”更有价值。
- 确认普通网络可用。断开客户端后测试常用网站，排除 Wi-Fi、网关或认证页面问题。
- 检查订阅更新结果。若远程请求失败，重新从服务面板复制链接，并确认没有多余空格。
- 检查协议兼容。线路被跳过或显示未知字段时，更换支持对应协议的 macOS 客户端。
- 检查系统设置中的 VPN 配置、网络扩展与隐私安全提示，处理此前被拒绝的授权。
- 退出其他 VPN、代理、防火墙或内容过滤应用，避免网络扩展争用同一流量路径。
- 切换另一条已知可用线路，判断是单条配置异常还是客户端整体无法建立隧道。
- 恢复基础模式再测试，暂时撤销自定义 DNS、复杂分流和手动传输参数。
- 查看客户端日志中的连接阶段，但在分享前遮盖订阅 token、服务器认证信息和本地账户路径。
系统提示扩展被阻止
先确认提示中的应用与开发者信息对应当前安装的客户端，再前往“隐私与安全性”处理系统阻止项。批准后按系统明确提示重新打开应用或重启。若设置中完全没有对应项目，退出客户端后重新触发一次连接请求，比连续重复安装更容易得到清晰状态。
导入成功但所有线路都无法连接
先判断订阅是否只是成功解析，而不是服务端一定可达。切换不同协议线路能够帮助识别是某类传输不兼容，还是整个本地网络限制了连接。如果所有线路均在建立本地隧道前失败，检查权限；如果隧道已建立但握手失败，检查系统时间、协议支持、线路配置与当前网络环境。
连接后网页完全打不开
这通常与 DNS、默认路由或多个网络扩展冲突有关。先关闭自定义 DNS 与高级分流，保留客户端默认配置；再退出其他会修改网络路径的工具。若恢复基础配置后可用，逐项重新启用设置，就能定位是哪项规则造成中断。
休眠唤醒后失去连接
Mac 唤醒后，网络接口、Wi-Fi 地址和默认路由可能重新建立。支持自动重连的客户端会尝试恢复隧道，但旧会话不一定继续有效。先手动断开再连接；若问题持续，检查后台运行权限、自动重连设置，以及网络切换后订阅线路是否仍可达。
完成设置后的日常维护
连接稳定后，保留远程订阅并定期使用客户端的更新功能。不要为了更新线路反复删除订阅，因为重新添加可能覆盖自定义策略组或分流规则。更新前如果客户端支持配置备份，可以先导出不含敏感凭据的规则部分。
客户端升级后若出现异常，先阅读版本说明中与网络扩展、协议核心和配置格式有关的变化。macOS 系统升级也可能要求重新确认网络扩展。此时应检查原有 VPN 配置是否仍存在，而不是默认认为订阅已经失效。
不再使用某个客户端时，先在应用内断开连接并删除其 VPN 配置，再按软件提供的卸载方式移除扩展。只把应用拖入废纸篓，可能不会同步清理系统网络配置。卸载完成后，在系统网络设置中确认没有残留的停用配置。
最后保留一套简单的复测方法：启动客户端、选择线路、检查出口、验证 DNS、打开目标应用。以后遇到连接问题，沿用相同顺序，就能快速判断变化来自本地网络、系统授权、客户端配置还是远端线路。