macOS VPNゼロから:インストール、システム権限の許可、サブスクリプション読み込みから動作確認まで

macOS で VPN を設定するとき、本当につまずきやすいのは「接続」ボタンではなく、インストーラーの入手元、システム拡張の許可、サブスクリプションの読み込み、動作確認という4つのステップです。この記事では実際の操作順に沿って進めます。ユーザーパネルから macOS クライアントを入手し、システム権限のダイアログに対応し、サブスクリプションリンクを読み込み、最後に出口 IP・DNS・ルーティングの3項目で、通信が確かに選択した回線を通っているかを確認します。コマンドラインの知識は不要で、ターミナルを使う箇所はそのままコピーできるコマンドを掲載します。

開始前に確認しておきたい3つのこと

準備は3つだけ。先に済ませてからクライアントを開くと、以降の手順がぐっとスムーズになります。

• システムバージョン:ここ数世代のメジャーバージョン(macOS 12 以降)であれば問題なく利用できます。近年の macOS クライアントはシステム拡張(Network Extension)で仮想ネットワークインターフェースを作る方式が一般的で、Apple シリコン搭載機も同様です。旧来のカーネル拡張には依存しません。
• アカウントの状態:VPNDT の登録に必要なのはユーザー名とパスワードだけで、メールアドレスは不要です。そのため準備段階に「確認メールを受け取る」という手順はありません。ユーザーパネルにログインすれば、サブスクリプションリンクとクライアントのダウンロード入口が揃っています。
• ネットワーク環境:まず現在のネットワークでインストーラーをダウンロードし終え、サブスクリプションの読み込みも済ませてから回線を切り替えてください。ダウンロード中に切り替えると、インストーラーが不完全になることがあります。

このサービスの基本スペックを先に押さえておきましょう。以降の確認手順でも繰り返し参照します:

ダウンロードとインストール:クライアントを「アプリケーション」へ

1. ユーザーパネルにログインし、ダウンロードページを開いて macOS 版を選びます。
2. チップの種類を確認します。Apple シリコン(M シリーズ)と Intel 機種ではそれぞれ対応するインストーラーがあり、一部のクライアントはユニバーサル版を提供しています。間違えてもシステムに影響はありませんが、インストールできません。
3. DMG を開き、アプリのアイコンを「アプリケーション」フォルダにドラッグしてから、「アプリケーション」から起動します。
4. 初回起動時に「開発元を検証できない」と表示されたら、「システム設定 → プライバシーとセキュリティ」のセキュリティ欄で「このまま開く」をクリックし、もう一度確認すれば完了です。

システム権限:3つのスイッチの役割

macOS では VPN 系アプリの権限がいくつかの層に分かれており、初回接続時にはダイアログが続けて表示されます。それぞれの役割は1つずつで、どれか1つが欠けると「接続できない」または「つながっても通信できない」という形で現れます:

ダイアログが出たときの推奨手順は次のとおりです。まず初回接続時の「VPN 構成の追加」ダイアログを許可します(すべてのネットワーク通信がこの構成を経由するとシステムが通知します)。次に「ログイン項目と拡張機能」でネットワーク拡張と「バックグラウンドでの実行を許可」がどちらもオンになっていることを確認し、最後にクライアントを一度再起動して設定を反映させます。macOS のバージョンによってパネル名は多少異なり、古いバージョンではこの項目は「ログイン項目」と呼ばれていました。

なお、macOS 15 からは「ローカルネットワーク」権限が追加されました。これは同じ LAN 内の他の機器に本機のプロキシを共有したい場合にのみ必要で、通常の単体利用では無視して構いません。スイッチがグレーアウトして操作できない場合は、その Mac が構成プロファイルや MDM ポリシーで管理されている可能性が高く、デバイス管理者への確認が必要です。クライアントを何度入れ直しても解決しません。

サブスクリプションの読み込み:リンクの貼り付けと更新方法

サブスクリプションリンクは、クライアントがノード一覧を取得するためのアドレスで、ユーザーパネルからワンクリックでコピーできます。通常は https:// で始まる長い文字列です。ノード構成と利用資格情報が含まれており、読み込むとクライアントが現在利用可能なノードと回線を自動で取得します。

1. ユーザーパネルでサブスクリプションリンクをコピーします。アドレス内のパラメータは一切手で変更しないでください。特に末尾のトークン部分は、1文字変えるだけで取得に失敗します。
2. macOS クライアントを開き、「サブスクリプションを読み込む」または「構成を追加」を選んでリンクを貼り付け、確定します。
3. 数秒待つと、クライアントにノード一覧とグループが表示されます。一覧が空の場合は、まず手動で「サブスクリプションを更新」を実行してください。それでも空なら、パネルに戻ってリンクをコピーし直します。
4. 一覧から回線を1つ選び(たとえば IEPL 専用線と表示された香港ノード)、モードを「ルール」に設定して接続をクリックします。サブスクリプションでよく使われるプロトコルには Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC があり、クライアントが自動で判別するため手動で選ぶ必要はありません。

3つの読み込み方法の使い分け

サブスクリプションはどのくらいの頻度で更新されるか

ノードと回線は不定期に調整されます。多くのクライアントは自動更新の間隔を設定でき、構成画面からいつでも手動で更新できます。ある回線につながらないと気づいたら、まずサブスクリプションを手動更新し、それから回線側の問題かローカルネットワークの問題かを切り分ける——この習慣をつけておくと安心です。「急につながらなくなった」の多くは、サブスクリプションが古いことが原因です。

動作確認:出口 IP・DNS・ルーティング

クライアントに「接続済み」と表示されても、通信が実際に回線を通っているとは限りません。トンネル確立後、クライアントとノード間の通信は銀行レベルの暗号化で保護されますが、確認の目的は通信が本当にこのトンネルに入っているかを確かめることだけです。次の3項目を順に確認すれば、どこでつまずいているかを特定できます:

ターミナルにそのままコピーできる3つのコマンド:

# 現在の DNS リゾルバを確認する
scutil --dns | grep 'nameserver\[0\]'

# システムプロキシがクライアントに引き継がれているか確認する
scutil --proxy

# 仮想ネットワークインターフェース(TUN モード)が作成されているか確認する
ifconfig | grep -A 2 utun

ここで macOS 特有のポイントがあります。システムプロキシモードでは、システムプロキシ設定に従うアプリだけが回線を通り、ターミナルの curl は既定ではこの設定を読みません。ターミナルで確認したい場合は、TUN モードに切り替えてルーティングに任せるか、コマンドの前にプロキシ環境変数を明示的に設定してください(ポートはクライアントに表示されるローカルポートに合わせます)。「ブラウザでは開けるのにターミナルはローカルを通る」というのは、たいていこれが原因です。

よくある質問:権限ダイアログが繰り返し出る場合

権限ダイアログが繰り返し出る

接続のたびに許可を求められる場合は、次の順に確認すると原因をほぼ特定できます:

1. アプリの場所が変わった:以前 DMG から直接実行し、その後「アプリケーション」にドラッグした場合、システムは両者を別のアプリとしてそれぞれ許可します。「アプリケーション」から起動し直せば、古い許可記録は無視して構いません。
2. 「バックグラウンドでの実行を許可」がオフになっている:クライアントのアップデートや OS の更新後に、このスイッチがリセットされることがあります。もう一度オンにしてください。
3. システム拡張を一度拒否した:一度拒否すると、システムは自動でダイアログを出さなくなります。「ログイン項目と拡張機能」で手動でスイッチをオンにするしかありません。
4. デバイスが管理されている:会社や学校から支給された Mac では、構成プロファイルによってサードパーティのネットワーク拡張が禁止されていることがあります。その場合はデバイス管理者に確認してください。

接続済みと表示されるのに海外サイトが開けない

• モードが「直接接続」ではなく「ルール」になっているか確認し、対象ドメインがルールで誤って直接接続グループに入っていないかチェックする;
• システムプロキシが他のソフトに上書きされていないか確認する:「システム設定 → ネットワーク → 詳細 → プロキシ」;
• スリープ復帰後にルートが残っている:一度切断して再接続するか、クライアントを再起動する;
• 別の回線に切り替えて、特定の回線の問題かどうかを切り分ける。

接続後も DNS がローカルのプロバイダのまま

これは通常、現在がシステムプロキシモードであることを示します。アプリケーション層の通信は回線を通りますが、名前解決はローカルネットワークが行います。許容できるかどうかは用途次第です。解決もまとめて引き継ぎたい場合は、TUN モードまたは拡張モードに切り替え、scutil --dns で再確認してください。モードを切り替えたら、ルーティングテーブルとリゾルバを再構築させるため、一度切断して再接続することをおすすめします。

クライアントに「開発元を検証できない」と表示される

「システム設定 → プライバシーとセキュリティ」のセキュリティ欄で「このまま開く」をクリックします。インストーラーをユーザーパネルのダウンロードページから入手していない場合は、削除してダウンロードし直すことをおすすめします。出所が不明なインストーラーはシステムにブロックされるだけでなく、許可の記録が乱れる原因にもなり、後で権限ダイアログが繰り返し出るのはたいていここから始まります。

導入チェックリスト:デバイスを替えたらこの順で

ここまでの手順をチェックリストにまとめました。Mac を買い替えたときや、他の人に設定してあげるときはこの順に進めてください:

• ✅ クライアントは「アプリケーション」フォルダに入っていて、そこから起動している
• ✅ 初回接続時に表示される「VPN 構成の追加」ダイアログを許可した
• ✅ 「ログイン項目と拡張機能」で、ネットワーク拡張と「バックグラウンドでの実行を許可」がどちらもオン
• ✅ サブスクリプションリンクを読み込み済みで、ノード一覧が正常に更新できる
• ✅ モードは「ルール」。全体を経由させたいときだけ一時的に切り替える
• ✅ サイト内の「マイ IP」に表示される所在地が、選択した回線と一致している
• ❌ DMG をマウントした状態のままクライアントを直接実行しない
• ❌ サブスクリプションリンクをスクリーンショットに写したり、公開の場に転送したりしない