macOS VPN 設定教學：安裝、匯入與權限設定

macOS VPN 設定並不只是下載用戶端後按下連線。完整流程還包括確認安裝來源、理解訂閱連結、授予網路延伸功能權限、選擇代理或虛擬網卡模式，以及檢查出口位址和 DNS 是否依預期切換。任何一個環節未完成，都可能出現可選取線路卻無法開啟網頁、部分應用程式未使用線路，或連線後很快恢復原本網路的情況。

本文適合首次設定，或更換用戶端後需要重新整理設定的使用者。重點不在推薦某個介面，而是說明不同 macOS 用戶端共通的設定邏輯。只要用戶端支援服務提供方使用的協定與訂閱格式，就能依照相同流程完成安裝、匯入、連線與排查。

安裝前先確認用戶端與設定類型

macOS 上常見的國際線路用戶端大致分為兩類。一類主要控制系統代理，將支援代理設定的應用程式流量交給本機代理連接埠；另一類透過系統網路延伸功能建立虛擬網卡，讓更多應用程式流量進入用戶端。部分用戶端同時提供兩種模式，但名稱可能寫成系統代理、增強模式、虛擬網卡模式或全域接管。

安裝前需要確認服務提供的是獨立設定，還是訂閱連結。獨立設定通常只包含某條線路，欄位包括伺服器位址、連接埠、協定、驗證資訊和傳輸參數。訂閱連結則用於取得一組線路及其更新資訊，更適合線路會調整的服務。訂閱連結通常包含存取憑證，應像密碼一樣保存，不要發佈到公開頁面、截圖區或共享文件。

協定名稱與用戶端支援範圍

訂閱中可能出現 Shadowsocks、VMess、Trojan、VLESS、Hysteria2 或 TUIC。這些不是可以任意互換的標籤，用戶端必須實作對應協定及其傳輸方式，才能正確解析並連線。

協定名稱不能直接代表速度或穩定性。本地接入品質、電信商路由、入口位置、線路壅塞程度和目標網站所在區域都會改變結果。IEPL 專線、中轉線路和直連線路描述的是網路路徑，而不是用戶端協定。IEPL 專線通常將特定區段放在專用承載路徑中；中轉線路先連接較近的入口，再由中轉網路送往出口；直連線路則由本地網路直接連接遠端伺服器。三者仍可能使用相同的用戶端協定。

安裝用戶端並授予必要權限

從服務後台取得與 macOS 對應的安裝檔案後，先確認處理器架構與系統相容範圍。安裝包可能是磁碟映像檔，也可能是應用程式壓縮檔。前者通常需要開啟映像檔後將應用程式拖曳至「應用程式」，後者解壓縮後同樣應放入「應用程式」，不要長期直接從下載項目執行。

首次啟動時，macOS 可能提示應用程式來源、網路內容過濾、VPN 設定或網路延伸功能。具體提示取決於用戶端採用的連線方式。系統代理模式主要修改 macOS 的代理設定；虛擬網卡模式通常需要建立系統層級的 VPN 設定或啟用網路延伸功能。看到授權視窗時，應核對顯示的應用程式名稱與剛安裝的用戶端一致，再依系統提示確認。

• 將用戶端放入「應用程式」後再啟動，避免更新或權限路徑發生變化。
• 允許用戶端新增與連線功能直接相關的 VPN 設定或網路延伸功能。
• 如果系統要求輸入本機管理憑證，應先確認操作確實由目前的用戶端觸發。
• 不要因為連線失敗就擴大與網路無關的權限範圍。
• 權限遭拒後，應前往「系統設定」的隱私權、安全性或網路相關頁面重新檢查。

如果系統阻止啟動，不要反覆刪除並重新安裝。先開啟「系統設定」，查看安全性提示是否提供明確的開啟選項。企業管理裝置也可能受到管理政策限制，無法安裝網路延伸功能；這類限制不能透過一般用戶端設定繞過，需要由裝置管理方調整政策。

匯入訂閱連結並完成首次更新

訂閱匯入通常位於「設定」「訂閱」「設定檔」或「遠端資源」等選單。複製服務後台產生的訂閱連結，在用戶端中選擇從剪貼簿匯入或建立新的遠端訂閱。貼上後可以填寫便於辨識的名稱，但不要修改連結中的參數、大小寫或編碼字元。

https://example.invalid/sub?token=sample-access-key

上方位址僅為格式範例，不能用於連線。真實訂閱連結應從對應服務後台取得。匯入後執行一次更新，用戶端才會擷取線路清單。若更新後仍為空白，先檢查連結是否完整，再確認用戶端是否支援該訂閱格式。瀏覽器能開啟連結，不代表用戶端一定能解析其中內容；反過來，連結在瀏覽器中沒有顯示一般網頁，也不一定表示訂閱已失效。

匯入訂閱後應檢查什麼

• 線路名稱是否正常顯示，而不是亂碼、空白或只有原始連結。
• 協定是否屬於目前用戶端明確支援的範圍。
• 是否出現重複訂閱，避免多個來源產生名稱相近的線路。
• 自動更新是否設定在合理狀態，避免長期使用已調整的舊設定。
• 訂閱更新失敗時，舊線路是否仍然保留，以免誤刪後失去排查依據。

不同用戶端儲存訂閱的位置不同。有些會將訂閱與線路資料庫儲存在應用程式容器內，有些則允許匯出本機設定。更換用戶端時，不建議直接複製舊應用程式的資料目錄，因為內部欄位和規則語法可能不同。較穩妥的方式是從服務後台重新取得訂閱，再由新用戶端解析。

如果訂閱連結意外出現在公開內容中，應在服務後台重新產生或重設連結，而不只是刪除公開文字。已被複製的舊連結不會因為刪除原頁面而自動失效。完成重設後，還要在用戶端刪除舊訂閱並匯入新連結。

選擇系統代理、虛擬網卡與分流模式

完成訂閱匯入後，先選擇一條與存取目標地區相符的線路，再決定流量如何進入用戶端。系統代理適合遵循 macOS 代理設定的瀏覽器和應用程式，設定簡單，也方便觀察代理開關是否恢復。但部分命令列工具、獨立網路元件和特定應用程式可能忽略系統代理。

虛擬網卡模式會透過網路延伸功能接管更廣泛的流量，適合需要讓不讀取系統代理的應用程式使用線路。它也較容易與其他 VPN、過濾器、安全軟體或企業網路延伸功能發生衝突。啟用前應退出同類工具，並確認用戶端提供的 DNS 和路由選項沒有與現有網路設定重複。

用戶端中的「全域」通常表示大部分可接管的流量都交給目前線路；「規則」或「分流」則依據網域、位址、程序或規則集決定直連與代理；「直連」通常用於暫時停用轉送，但具體是否恢復系統代理仍要查看用戶端狀態。首次設定建議先用規則模式驗證常見存取，再用全域模式作為故障比較，而不是長期依賴全域模式掩蓋規則問題。

分流規則的核心是比對順序。更具體的規則應在能夠涵蓋它的寬泛規則之前處理。網域規則也會受到 DNS 解析方式影響：如果用戶端按網域分流，但應用程式提前將網域解析成位址，最終可能套用另一條位址規則。排查時應同時查看連線記錄中的目標、命中規則和實際出口，而不是只看規則檔案中是否寫入某個網域。

連線後驗證出口、DNS 與應用程式流量

用戶端顯示「已連線」只代表本機元件與遠端線路完成了某種連線，不代表所有應用程式都已使用預期出口。驗證時先關閉正在進行的大型檔案傳輸，再開啟新的瀏覽器視窗，前往可信賴的網路資訊查詢頁面，檢查出口地區是否與所選線路一致。

接著進行 DNS 檢查。DNS 洩漏通常是指網域查詢沒有經過預期的解析路徑，而由本地網路解析器處理。它不一定會導致網頁無法開啟，但可能讓分流判斷與地區識別出現差異。用戶端提供遠端 DNS、加密 DNS，或透過虛擬網卡接管解析時，應確認這些選項不會與系統現有的 DNS 設定互相覆寫。

• 分別記錄連線前後的出口地區，確認變化確實來自目前的用戶端。
• 開啟新的瀏覽器工作階段，減少舊連線、快取和網站狀態造成的干擾。
• 檢查 DNS 查詢結果是否符合所選模式與用戶端說明。
• 分別測試瀏覽器、終端機工具和目標應用程式，判斷問題是否只出現在某類程式。
• 切換線路後重新建立連線，不要用舊工作階段判斷新線路的表現。

如果瀏覽器正常而終端機工具無法連線，多半需要檢查該工具是否讀取系統代理環境，或改用虛擬網卡模式。如果所有應用程式都無法存取，應優先檢查網路延伸功能狀態、遠端線路、系統時間和本地網路限制。如果只有某個網站異常，問題可能來自目標網站的地區判定、帳戶地區、快取或線路出口，而不是 macOS 權限本身。

連線測試還應涵蓋睡眠喚醒、網路切換和用戶端退出。macOS 從睡眠恢復後，原有網路介面可能已經變更，而用戶端仍顯示舊狀態。此時先中斷連線再重新連線，通常比反覆重新整理網頁更有診斷價值。若用戶端提供中斷保護或連線中斷處理，應先了解其行為：啟用保護時，線路中斷後本地網路也可能暫時無法使用，這是預期限制，不應直接判斷為系統故障。

常見權限與網路問題排查

用戶端顯示已連線，但所有網頁都無法開啟

先退出用戶端，再到 macOS 網路設定中查看代理是否仍被勾選。如果用戶端異常退出，系統代理可能沒有恢復。清除殘留代理後重新開啟用戶端，只啟用一種接管模式。若使用虛擬網卡，則檢查系統中的 VPN 設定與網路延伸功能是否處於允許狀態，並暫時退出其他會修改路由的工具。

訂閱可以更新，但所有線路都連線失敗

訂閱更新與節點連線可能經由不同路徑，因此更新成功不能證明協定連線一定正常。先確認系統日期與時間準確，因為 TLS 憑證驗證依賴正確時間。再選擇不同協定和不同入口作比較。如果 Hysteria2 或 TUIC 在目前網路不可用，而基於 TCP 的設定可以連線，可能需要檢查本地網路對 UDP 或 QUIC 的處理方式。

只有部分應用程式沒有使用線路

在系統代理模式下，這通常是應用程式沒有讀取系統代理。可以查看應用程式本身是否有代理選項，或切換到用戶端支援的虛擬網卡模式。若已經使用虛擬網卡，則檢查分流規則、程序規則和繞過清單。某些本地開發服務需要保持直連，修改規則前應保留原有設定，避免將回環位址或區域網路資源錯誤送往遠端。

曾授權一次，重新啟動後仍反覆提示

先確認執行的是「應用程式」目錄中的同一份用戶端，而不是下載項目中的副本。應用程式路徑變更、簽章變更或同時存在多個副本，都可能讓系統將其視為不同的執行個體。刪除多餘副本後，在系統設定中檢查對應的網路延伸功能，再重新啟動正式安裝的用戶端。

切換線路後地區沒有變化

先建立新的瀏覽器工作階段並關閉舊連線，必要時清除目標網站的快取與網站資料。再查看用戶端記錄是否確實連線至新線路，以及目前規則是否讓查詢網站直連。若出口已經變更而網站地區未變，還要考慮帳戶設定和網站本身的地區判定機制，不能只依賴單一頁面的結論。

維護訂閱與還原系統網路

日常使用時，應透過用戶端的訂閱更新功能取得線路調整，而不是頻繁刪除並重新新增。更新前可以保留目前可用的線路名稱，更新後檢查是否仍能正常解析。若伺服器端更換了訂閱憑證，應刪除舊連結，避免用戶端繼續在背景請求已失效的位址。

不再使用某個用戶端時，先在應用程式內中斷連線並關閉系統代理或虛擬網卡，再退出程式。接著檢查 macOS 網路設定，確認代理項目沒有殘留；如果用戶端安裝了獨立 VPN 設定或網路延伸功能，應依照用戶端的解除安裝說明移除。直接將應用程式拖入垃圾桶，不一定會同步撤銷系統網路設定。

需要徹底恢復網路時，可以先停用相關網路延伸功能，將 DNS 還原為原本的自動設定或既有設定，然後重新連線目前的網路。不要在不清楚用途時批次刪除所有網路服務，因為企業接入、本地開發環境和其他正常工具也可能依賴這些設定。