macOS VPN從零開始:安裝、系統權限授予、匯入訂閱到驗證生效

在 macOS 上設定 VPN,真正容易卡住的通常不是「連線」按鈕,而是安裝檔來源、系統擴充功能授權、訂閱匯入和驗證生效這四步。這篇教學按實際操作順序走一遍:從使用者面板取得 macOS 用戶端,處理系統權限提示視窗,匯入訂閱連結,最後用出口 IP、DNS 與分流三項確認流量確實走了所選線路。全程不需要指令列基礎,涉及終端機的地方都會給出可以直接複製的指令。

開始之前:確認三件事

準備工作只有三件事,做完再打開用戶端,後面的步驟會順很多。

• 系統版本:近幾個大版本(macOS 12 以上)都能正常使用。現代 macOS 用戶端普遍透過系統擴充功能(Network Extension)建立虛擬網卡,Apple 晶片機型也是如此,不再依賴舊式的核心擴充功能。
• 帳號狀態:VPNDT 註冊只需使用者名稱和密碼,不需要電子郵件地址,所以準備工作裡沒有「收驗證信」這一步。登入使用者面板後,訂閱連結和用戶端下載入口都在裡面。
• 網路環境:先用目前網路把安裝檔下載完、把訂閱匯入好,再切換線路,避免邊下載邊切換導致安裝檔不完整。

先記住這套服務的幾個基本參數,後面的驗證步驟會反覆用到:

下載與安裝:把用戶端放進「應用程式」

1. 登入使用者面板,開啟下載頁面,選擇 macOS 版本。
2. 確認晶片類型:Apple 晶片(M 系列)與 Intel 機型各有對應的安裝檔,部分用戶端提供通用版本。下載錯了不會影響系統,只是裝不上。
3. 開啟 DMG,把應用程式圖示拖進「應用程式」資料夾,然後從「應用程式」裡啟動它。
4. 首次啟動若提示「無法驗證開發者」,請到「系統設定 → 隱私權與安全性」,在安全性一欄點「仍要打開」,再確認一次即可。

系統權限:三個開關各自管什麼

macOS 把 VPN 類應用程式的權限拆成好幾層,第一次連線時會連續出現提示視窗。它們各自負責一件事,缺哪一層都會表現為「連不上」或「連上卻沒網路」:

彈窗出現時的處理順序建議是:先點掉首次連線的「新增 VPN 設定」對話框(系統會提示所有網路活動都將透過該設定進行),再到「登入項目與擴充功能」裡確認網路擴充功能和「允許在背景」都是開啟狀態,最後重新啟動一次用戶端讓設定生效。不同 macOS 版本的面板名稱略有差異,舊版本裡這一項叫「登入項目」。

另外,macOS 15 起新增了「本地網路」權限,只有當你需要讓同一區域網路內的其他裝置共用本機代理時才會用到,一般單機使用可以忽略它。如果某個開關是灰色、點不動,通常表示這台 Mac 被描述檔或 MDM 政策管理,需要聯繫裝置管理員,反覆重新安裝用戶端解決不了這類問題。

匯入訂閱:貼上連結與更新方式

訂閱連結是用戶端取得節點清單的位址,在使用者面板裡可以一鍵複製,通常是一串以 https:// 開頭的長網址。它包含節點設定與使用憑證,匯入後用戶端會自動拉取目前可用的節點與線路。

1. 在使用者面板複製訂閱連結。不要手動改動網址裡的任何參數,尤其是結尾的權杖部分,改一個字元就會拉取失敗。
2. 開啟 macOS 用戶端,選擇「匯入訂閱」或「新增設定」,把連結貼進去並確認。
3. 等幾秒,用戶端會顯示節點清單與分組。若清單是空的,先手動執行一次「更新訂閱」;仍然是空的,就回面板重新複製一次連結。
4. 從清單裡選一條線路(例如標註 IEPL 專線的香港節點),把模式設為「規則」,再點連線。訂閱裡常見的節點協定有 Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC,用戶端會自動辨識,不需要手動選擇。

三種匯入方式怎麼選

訂閱多久更新一次

節點和線路會不定期調整,用戶端一般支援設定自動更新的時間間隔,也可以隨時在設定上手動更新。建議養成一個小習慣:發現某條線路連不上時,先手動更新一次訂閱,再判斷是線路問題還是本機網路問題——多數「突然連不上」都是訂閱太舊造成的。

驗證生效:出口 IP、DNS 與分流

用戶端顯示「已連線」不等於流量真的走了線路。通道建立後,用戶端與節點之間的流量走銀行級加密,而驗證的目的只是確認流量確實進了這條通道。按下面三項依序確認,任何一項對不上,都能定位到具體環節:

終端機裡可以直接複製的三條指令:

# 查看目前的 DNS 解析器
scutil --dns | grep 'nameserver\[0\]'

# 查看系統代理是否已被用戶端接管
scutil --proxy

# 查看是否已建立虛擬網卡(TUN 模式)
ifconfig | grep -A 2 utun

這裡有一個 macOS 特有的細節:系統代理模式下,只有遵循系統代理設定的應用程式才會走線路,終端機裡的 curl 預設不讀這套設定。想在終端機裡驗證,要嘛切到 TUN 模式讓路由接管,要嘛在指令前明確設定代理環境變數(連接埠以用戶端裡顯示的本機連接埠為準)。「瀏覽器能開啟、終端機卻走本地」多半就是這個原因。

常見問題:權限提示視窗反覆出現怎麼辦

權限提示視窗反覆出現

如果每次連線都要重新授權,按下面的順序排查,基本能定位到原因:

1. 應用程式位置變過:曾經在 DMG 裡直接執行,後來又拖進「應用程式」,系統會把兩者當成不同程式分別授權。從「應用程式」裡啟動一次,舊的授權記錄可以忽略。
2. 「允許在背景」被關掉:用戶端升級或系統更新後,這個開關有時會被重設,重新打開即可。
3. 系統擴充功能曾被拒絕:拒絕一次之後,系統不再主動彈窗,只能手動到「登入項目與擴充功能」裡把開關打開。
4. 裝置受管理:公司或學校配發的 Mac 可能透過描述檔禁止第三方網路擴充功能,這種情況需要聯繫裝置管理員。

顯示已連線,但打不開國際網站

• 確認模式是「規則」而不是「直連」,並檢查目標網域有沒有被規則誤判進直連分組;
• 檢查系統代理是否被其他軟體覆蓋:「系統設定 → 網路 → 詳細資訊 → 代理」;
• 睡眠喚醒後路由殘留:中斷後再連一次,或直接重新啟動用戶端;
• 換一條線路試試,排除單條線路的問題。

連線後 DNS 還是本地電信業者

這通常表示目前是系統代理模式:應用層流量走線路,網域名稱解析仍由本地網路完成。是否可接受取決於你的使用情境;若希望解析也一併接管,切換到 TUN 或增強模式,再用 scutil --dns 複核一次。切換模式後建議中斷重新連線,讓路由表和解析器重新建立。

用戶端提示「無法驗證開發者」

到「系統設定 → 隱私權與安全性」,在安全性一欄點「仍要打開」。如果安裝檔不是從使用者面板的下載頁面取得的,建議刪掉重新下載:來源不明的安裝檔不僅可能被系統攔截,還會讓授權記錄變亂,之後權限提示視窗反覆出現往往就是從這裡開始的。

上線核對清單:換裝置時照做一遍

把上面的步驟濃縮成一份清單,換 Mac 或幫別人設定時照著走:

• ✅ 用戶端已放進「應用程式」資料夾,並且是從這裡啟動的
• ✅ 首次連線時彈出的「新增 VPN 設定」對話框已點允許
• ✅ 「登入項目與擴充功能」裡,網路擴充功能與「允許在背景」都是開啟狀態
• ✅ 訂閱連結已匯入,節點清單能正常更新
• ✅ 模式設為「規則」,需要全域時再臨時切換
• ✅ 站內「我的 IP」顯示的歸屬地與所選線路一致
• ❌ 不要在 DMG 掛載狀態下直接執行用戶端
• ❌ 不要把訂閱連結截圖或轉發到公開場合