macOS VPNの設定は、クライアントをダウンロードして接続ボタンを押すだけでは完了しません。インストール元の確認、サブスクリプションURLの理解、ネットワーク拡張機能の許可、プロキシまたは仮想ネットワークインターフェースモードの選択、出口アドレスとDNSが想定どおり切り替わったかの確認まで必要です。どれか一つでも未完了だと、ノードは選べるのにウェブページが開かない、一部のアプリだけ経路を使わない、接続後すぐに元のネットワークへ戻るといった問題が起こります。
この記事は、初めて設定する方や、クライアントを変更して設定を整理し直したい方を対象にしています。特定の画面を推奨するのではなく、macOS用クライアントに共通する設定の考え方を説明します。サービス提供元のプロトコルとサブスクリプション形式に対応していれば、同じ手順でインストール、インポート、接続、トラブル対処を進められます。
インストール前にクライアントと設定形式を確認する
macOSで使われる国際回線向けクライアントは、おおむね2種類に分けられます。一つはシステムプロキシを主に制御し、プロキシ設定に対応するアプリの通信をローカルプロキシポートへ渡すタイプです。もう一つはシステムネットワーク拡張機能で仮想ネットワークインターフェースを作成し、より多くのアプリの通信をクライアントへ通すタイプです。両方のモードを備えるクライアントもありますが、システムプロキシ、拡張モード、仮想ネットワークインターフェースモード、グローバル接続など、名称はさまざまです。
インストール前に、サービスが個別設定を提供しているのか、サブスクリプションURLを提供しているのか確認します。個別設定には通常、特定の回線に必要なサーバーアドレス、ポート、プロトコル、認証情報、通信パラメータが含まれます。サブスクリプションURLは複数の回線と更新情報を取得するためのもので、回線が変更されるサービスに適しています。サブスクリプションURLには通常アクセス情報が含まれるため、パスワードと同じように管理し、公開ページやスクリーンショット、共有ドキュメントに掲載しないでください。
プロトコル名とクライアントの対応範囲
サブスクリプションには Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC が含まれる場合があります。これらは自由に置き換えられる単なるラベルではありません。正しく解析して接続するには、クライアントが該当プロトコルと通信方式に対応している必要があります。
| プロトコル | 設定時の確認ポイント | インポート前の確認 |
|---|---|---|
| Shadowsocks | 暗号化方式、パスワード、サーバー、ポートが一致している必要があります | クライアントがサブスクリプション指定の暗号化方式に対応しているか確認します |
| VMess | 認証情報、トランスポート層、セキュリティ設定、パスによって接続が決まります | サーバーアドレスだけをコピーして通信パラメータを取りこぼさないでください |
| Trojan | TLSと組み合わせることが多く、ドメイン検証とサーバー名を一致させる必要があります | システム時刻と証明書検証の状態が正常か確認します |
| VLESS | 通信方式、フロー制御、セキュリティパラメータはサーバー側の設定によって決まります | 該当パラメータに明確に対応するクライアントを使用します |
| Hysteria2 | QUICとUDPをベースとしており、ネットワークによるUDPの扱いが動作に影響します | 制限のあるネットワークでは、比較用に別のプロトコルも用意しておきます |
| TUIC | 同じくQUICとUDPに依存するため、パラメータをサーバー側と一致させる必要があります | クライアントのバージョンがサブスクリプション内容を解析できるか確認します |
プロトコル名だけで速度や安定性が決まるわけではありません。ローカル接続品質、通信事業者の経路、入口の位置、回線の混雑、アクセス先ウェブサイトの地域によって結果は変わります。IEPL専用線、中継回線、直結回線はクライアントのプロトコルではなく、ネットワーク経路を示す名称です。IEPL専用線は特定区間を専用の伝送経路に置く方式、中継回線は近い入口に接続してから中継ネットワーク経由で出口へ届ける方式、直結回線はローカルネットワークから遠隔サーバーへ直接接続する方式です。3種類とも同じクライアントプロトコルを使用する場合があります。
クライアントをインストールして必要な権限を許可する
サービスの管理画面からmacOS対応のインストールファイルを取得したら、まずプロセッサのアーキテクチャとシステムの対応範囲を確認します。インストールファイルはディスクイメージの場合も、アプリの圧縮ファイルの場合もあります。前者は通常、イメージを開いてアプリを「アプリケーション」へドラッグします。後者も解凍後は「アプリケーション」に移し、ダウンロードフォルダから長期間直接起動しないでください。
初回起動時、macOSからアプリの入手元、ネットワークコンテンツフィルタ、VPN構成、ネットワーク拡張機能について確認を求められる場合があります。表示内容はクライアントの接続方式によって異なります。システムプロキシモードは主にmacOSのプロキシ設定を変更し、仮想ネットワークインターフェースモードは通常、システムレベルのVPN構成を作成するかネットワーク拡張機能を有効にします。許可画面が表示されたら、表示されているアプリ名がインストールしたクライアントと一致することを確認してから、システムの案内に従って許可します。
- クライアントは「アプリケーション」に移してから起動し、更新や権限の参照先が変わるのを避けます。
- 接続機能に直接関係するVPN構成やネットワーク拡張機能の追加・接続をクライアントに許可します。
- システムからMacの管理者認証情報を求められた場合は、操作が現在のクライアントによって開始されたものか確認してから入力します。
- 接続に失敗したからといって、ネットワークと無関係な権限まで広げないでください。
- 権限を拒否した後は、「システム設定」のプライバシー、セキュリティ、ネットワーク関連のページで再確認します。
システムによって起動が阻止された場合、何度も削除と再インストールを繰り返さないでください。まず「システム設定」を開き、安全に関する警告に明確な起動許可の選択肢があるか確認します。企業管理端末では、管理ポリシーによってネットワーク拡張機能のインストールが制限される場合もあります。この制限は通常のクライアント設定では回避できないため、端末管理者にポリシーの変更を依頼してください。
サブスクリプションURLをインポートして初回更新を行う
サブスクリプションのインポートは通常、「設定」「サブスクリプション」「構成ファイル」「リモートリソース」などのメニューにあります。サービスの管理画面で発行したサブスクリプションURLをコピーし、クライアントでクリップボードからのインポート、またはリモートサブスクリプションの新規作成を選びます。貼り付け後は識別しやすい名前を付けても構いませんが、URL内のパラメータ、大文字・小文字、エンコード文字は変更しないでください。
https://example.invalid/sub?token=sample-access-key上のアドレスは形式を示す例にすぎず、接続には使用できません。実際のサブスクリプションURLは、該当するサービスの管理画面から取得してください。インポート後に一度更新すると、クライアントが回線一覧を取得します。更新後も空欄の場合は、まずURLが完全か確認し、次にクライアントがそのサブスクリプション形式に対応しているか確認します。ブラウザでURLを開けても、クライアントが内容を解析できるとは限りません。逆に、ブラウザで通常のウェブページが表示されなくても、サブスクリプションが無効とは限りません。
サブスクリプションのインポート後に確認すること
- 回線名が文字化けや空欄にならず、元のURLだけの表示にもなっていないか確認します。
- プロトコルが現在のクライアントの明確な対応範囲に含まれているか確認します。
- 重複したサブスクリプションがないか確認し、似た名前の回線が複数の配信元から作られるのを避けます。
- 自動更新が適切な状態に設定されているか確認し、変更済みの古い設定を長期間使わないようにします。
- サブスクリプションの更新に失敗したとき、誤って削除して調査材料を失わないよう、古い回線が残っているか確認します。
サブスクリプションを保存する場所はクライアントによって異なります。サブスクリプションと回線データベースをアプリのコンテナ内に保存するものもあれば、ローカル設定をエクスポートできるものもあります。クライアントを変更する際は、内部フィールドやルール構文が異なる可能性があるため、古いアプリのデータフォルダをそのままコピーすることはおすすめしません。サービスの管理画面からサブスクリプションを再取得し、新しいクライアントで解析する方が安全です。
サブスクリプションURLが誤って公開コンテンツに掲載された場合は、公開部分を削除するだけでなく、サービスの管理画面でURLを再発行またはリセットしてください。コピー済みの古いURLは、元のページを削除しても自動的には無効になりません。リセット後は、クライアントから古いサブスクリプションを削除し、新しいURLをインポートします。
システムプロキシ、仮想ネットワークインターフェース、分割トンネルモードを選ぶ
サブスクリプションのインポートが完了したら、まずアクセス先の地域に合った回線を選び、次に通信をどのようにクライアントへ通すかを決めます。システムプロキシは、macOSのプロキシ設定に従うブラウザやアプリに適しており、設定が簡単で、プロキシのオン・オフが元に戻ったかも確認しやすい方式です。ただし、一部のコマンドラインツール、独立したネットワークコンポーネント、特定のアプリはシステムプロキシを無視することがあります。
仮想ネットワークインターフェースモードは、ネットワーク拡張機能を通じてより広い範囲の通信を制御するため、システムプロキシを読み取らないアプリにも回線を使わせたい場合に適しています。一方で、他のVPN、フィルタ、セキュリティソフト、企業向けネットワーク拡張機能と競合しやすくなります。有効にする前に同種のツールを終了し、クライアントのDNSやルーティング設定が既存のネットワーク設定と重複していないか確認してください。
クライアントの「グローバル」は通常、制御可能な通信の大部分を現在の回線へ渡すことを意味します。「ルール」や「分割トンネル」は、ドメイン、アドレス、プロセス、ルールセットに基づいて直接接続とプロキシ接続を決めます。「直接接続」は通常、転送を一時的に停止するために使いますが、システムプロキシまで復元されるかはクライアントの状態を確認してください。初回設定では、まずルールモードで一般的なアクセスを確認し、その後グローバルモードで比較するのがおすすめです。ルールの問題を隠すためにグローバルモードへ依存し続けないでください。
| モード | 適した用途 | よくある問題 |
|---|---|---|
| システムプロキシ | ブラウザやシステム設定に従うデスクトップアプリ | 一部のアプリがプロキシを迂回し、異常終了時にプロキシ設定が残ることがあります |
| 仮想ネットワークインターフェース | より多くのアプリやプロトコルの通信を対象にしたい場合 | 他のネットワーク拡張機能、フィルタ、ルーティング設定と競合することがあります |
| ルール分割 | ローカルアクセスは直接接続し、特定の宛先だけ回線を使用する場合 | ルールの期限切れ、優先順位の誤り、ドメイン解決経路の不一致 |
| グローバル転送 | 分割トンネルのルールが原因かどうかをすばやく切り分ける場合 | ローカルサービスまで遠隔回線を経由し、不要に経路が長くなることがあります |
分割トンネルの要点はルールの評価順です。より具体的なルールは、それを包含できる広範なルールより先に処理する必要があります。ドメインルールはDNSの解決方法にも影響されます。クライアントがドメイン単位で振り分けても、アプリが先にドメインをアドレスへ解決すると、別のアドレスルールに入ることがあります。トラブル時は、ルールファイルに特定のドメインが書かれているかだけでなく、接続ログの宛先、適用されたルール、実際の出口も同時に確認してください。
接続後に出口、DNS、アプリの通信を確認する
クライアントに「接続済み」と表示されても、ローカルのコンポーネントと遠隔回線が何らかの接続を確立したことを示すだけで、すべてのアプリが想定した出口を使っているとは限りません。確認時はまず進行中の大容量ファイル転送を停止し、新しいブラウザウィンドウを開いて、信頼できるネットワーク情報確認ページへアクセスします。出口地域が選択した回線と一致しているか確認してください。
続いてDNSを確認します。DNSリークとは通常、ドメイン検索が想定した解決経路を通らず、ローカルネットワークのリゾルバーで処理される状態を指します。必ずしもウェブページが開けなくなるわけではありませんが、分割トンネルの判定や地域識別に違いが出ることがあります。クライアントがリモートDNS、暗号化DNS、仮想ネットワークインターフェース経由のDNS制御を提供している場合は、それらの設定がシステム既存のDNS設定と上書きし合わないことを確認してください。
- 接続前後の出口地域をそれぞれ記録し、変化が現在のクライアントによるものか確認します。
- 新しいブラウザセッションを開き、以前の接続、キャッシュ、サイト状態の影響を減らします。
- DNSの検索結果が、選択したモードとクライアントの説明に合っているか確認します。
- ブラウザ、ターミナルツール、対象アプリを個別にテストし、問題が特定の種類のプログラムだけで起きているか判断します。
- 回線を切り替えたらアクセスを再確立し、古いセッションで新しい回線の状態を判断しないでください。
ブラウザは正常なのにターミナルツールが通信できない場合は、そのツールがシステムプロキシ環境変数を読み取るか確認するか、仮想ネットワークインターフェースモードへ切り替えてください。すべてのアプリにアクセスできない場合は、ネットワーク拡張機能の状態、遠隔回線、システム時刻、ローカルネットワークの制限を優先して確認します。特定のウェブサイトだけが異常な場合は、対象サイトの地域判定、アカウントの地域、キャッシュ、回線出口が原因であり、macOSの権限自体とは限りません。
接続テストでは、スリープからの復帰、ネットワークの切り替え、クライアントの終了も確認します。macOSがスリープから復帰すると、既存のネットワークインターフェースが変わっているのに、クライアントが古い状態を表示し続けることがあります。この場合はウェブページを何度も更新するより、いったん切断してから再接続する方が診断に役立ちます。クライアントに切断保護や接続中断時の処理がある場合は、その動作を理解しておきましょう。保護が有効だと、回線切断後にローカルネットワークも一時的に利用できなくなることがあります。これは想定された制限であり、すぐにシステム障害と判断しないでください。
よくある権限・ネットワーク問題の対処
クライアントは接続済みだが、すべてのウェブページが開かない
まずクライアントを終了し、macOSのネットワーク設定でプロキシがまだ選択されていないか確認します。クライアントが異常終了すると、システムプロキシが元に戻らないことがあります。残ったプロキシ設定を解除してクライアントを再起動し、接続方式は一つだけ有効にしてください。仮想ネットワークインターフェースを使っている場合は、システムのVPN構成とネットワーク拡張機能が許可された状態か確認し、ルートを変更する他のツールは一時的に終了します。
サブスクリプションは更新できるが、すべての回線で接続に失敗する
サブスクリプションの更新とノードへの接続は、異なる経路を使う場合があります。そのため、更新に成功してもプロトコル接続が正常とは限りません。まずシステムの日付と時刻が正確か確認します。TLS証明書の検証には正しい時刻が必要です。次に、異なるプロトコルと異なる入口を比較します。Hysteria2またはTUICが現在のネットワークで使えず、TCPベースの設定なら接続できる場合は、ローカルネットワークによるUDPやQUICの扱いを確認してください。
一部のアプリだけ回線を経由しない
システムプロキシモードでは、アプリがシステムプロキシを読み取っていないことがよくあります。アプリ自体にプロキシ設定があるか確認するか、クライアントが対応する仮想ネットワークインターフェースモードへ切り替えてください。すでに仮想ネットワークインターフェースを使っている場合は、分割トンネルのルール、プロセスルール、バイパスリストを確認します。ローカル開発サービスなどは直接接続が必要なことがあるため、ルールを変更する前に元の設定を保存し、ループバックアドレスやLANリソースを誤って遠隔回線へ送らないようにしてください。
一度許可したのに、再起動後も繰り返し確認を求められる
まず「アプリケーション」フォルダ内のクライアントを実行しているか確認し、ダウンロードフォルダにあるコピーを起動していないことを確かめます。アプリのパスや署名の変更、複数のコピーの存在により、システムが別のインスタンスとして扱うことがあります。余分なコピーを削除し、システム設定で該当するネットワーク拡張機能を確認してから、正式にインストールしたクライアントを再起動してください。
回線を切り替えても地域が変わらない
まず新しいブラウザセッションを作成し、古い接続を閉じます。必要に応じて対象サイトのキャッシュとサイトデータも削除してください。次に、クライアントのログで新しい回線へ実際に接続できているか、現在のルールによって確認サイトが直接接続になっていないか確認します。出口が変わっているのにサイトの地域表示が変わらない場合は、アカウント設定やサイト独自の地域判定の仕組みも考慮し、単一のページの結果だけで判断しないでください。
サブスクリプションを管理してシステムネットワークを復元する
日常的には、クライアントのサブスクリプション更新機能で回線の変更を取得し、頻繁に削除と追加を繰り返さないようにします。更新前に現在使える回線名を控え、更新後に正常に解析できるか確認します。サービス側でサブスクリプションの認証情報が変更された場合は、古いURLを削除し、クライアントが無効なアドレスへバックグラウンドでアクセスし続けないようにしてください。
クライアントを使わなくなった場合は、まずアプリ内で接続を切り、システムプロキシまたは仮想ネットワークインターフェースを無効にしてからプログラムを終了します。その後macOSのネットワーク設定を確認し、プロキシ項目が残っていないことを確かめます。クライアントが独立したVPN構成やネットワーク拡張機能をインストールしている場合は、クライアントのアンインストール手順に従って削除してください。アプリをそのままゴミ箱へ移すだけでは、システムのネットワーク設定まで取り消されないことがあります。
ネットワークを完全に元へ戻す必要がある場合は、まず関連するネットワーク拡張機能を停止し、DNSを元の自動設定または既存の設定へ戻してから、現在のネットワークへ再接続します。用途が分からないままネットワークサービスを一括削除しないでください。企業ネットワーク、ローカル開発環境、その他の正常なツールもこれらの設定に依存している場合があります。