Mac 如何使用 VPN？重點不只是把用戶端安裝到「應用程式」，而是完成一條完整流程：確認用戶端與協定相容、安裝可信來源的軟體、匯入訂閱設定、允許 macOS 建立網路延伸功能或 VPN 設定，再連線至線路並檢查出口位址與 DNS。任何一個環節未完成，都可能出現「用戶端顯示已連線，但瀏覽器仍使用原本網路」的情況。
macOS 對網路設定的權限管理比一般應用程式更嚴格。用戶端可能需要建立 VPN 設定、啟用網路延伸功能，或在系統代理模式下修改目前網路服務的代理設定。這些操作會觸發系統確認視窗，屬於正常的權限範圍。正確做法不是反覆解除安裝，而是先確認用戶端採用哪種接管方式，再到相應的系統面板確認狀態。
開始前：確認 macOS 用戶端與協定相容
不同用戶端支援的協定範圍並不相同。常見訂閱可能包含 Shadowsocks、VMess、Trojan、VLESS、Hysteria2 或 TUIC。匯入成功只代表用戶端讀取到設定，不代表一定具備執行所有節點所需的核心元件。若部分線路顯示無法辨識、缺少協定或無法啟動，應先核對用戶端版本與協定支援情況，不要直接判定訂閱失效。
選擇用戶端時，也要確認它提供的是原生 VPN 接管、TUN 模式，還是系統代理模式。三種方式都能讓應用程式流量經過代理線路，但涵蓋範圍、權限需求與故障表現各不相同。
| 接管方式 | 運作位置 | 適用情境 | 常見限制 |
|---|---|---|---|
| VPN 設定或網路延伸功能 | 由 macOS 網路架構接管流量 | 希望多數應用程式統一經過線路 | 首次啟用需要系統授權，權限遭拒後必須到系統設定處理 |
| TUN 模式 | 建立虛擬網路介面並依規則轉送 | 需要涵蓋不讀取系統代理的應用程式 | 依賴用戶端核心與網路延伸功能，異常退出時可能留下需要恢復的網路狀態 |
| 系統代理模式 | 修改目前網路服務的 HTTP 或 SOCKS 代理 | 瀏覽器及遵循系統代理的桌面應用程式 | 部分應用程式會繞過系統代理，UDP 與 DNS 的處理方式也取決於用戶端實作 |
如果用途包含視訊會議、開發工具、命令列下載或不遵循系統代理的程式，通常需要留意 TUN 或網路延伸功能。若只是暫時讓瀏覽器依規則連線，系統代理模式較容易觀察與恢復。不要同時開啟多個同類型用戶端；它們可能爭用系統代理、預設路由或 DNS 設定，導致連線狀態互相覆寫。
- ✅ 從服務商提供的下載入口或用戶端官方發布頁取得安裝套件。
- ✅ 查看用戶端是否明確支援目前的 macOS 版本與裝置架構。
- ✅ 核對訂閱中的協定是否列在用戶端支援清單內。
- ✅ 先退出其他代理、VPN、網路過濾與除錯工具，再開始設定。
- ✅ 保留原始訂閱連結，不要上傳到公開的訂閱轉換頁面。
安裝用戶端並授予系統延伸功能權限
下載完成後，常見的安裝方式是開啟磁碟映像檔，再將用戶端拖曳到「應用程式」。首次啟動時，macOS 可能提示該應用程式來自網際網路，需要確認是否開啟。如果系統直接阻止執行，應先確認檔案來源與簽章資訊，再到「隱私權與安全性」面板查看是否有相應的允許選項。不要為了繞過提示而執行來源不明的終端機指令，也不要長期關閉系統安全機制。
用戶端首次開啟 VPN、TUN 或增強模式時，系統通常會要求加入 VPN 設定或啟用網路延伸功能。確認視窗中應顯示正在使用的用戶端名稱。授權後，選單列可能出現 VPN 狀態標記；系統設定中的 VPN 或網路相關頁面也會出現相應設定。若用戶端只使用系統代理，呈現方式可能不同：它會修改目前 Wi-Fi 或有線網路服務的代理項目，不一定會出現在 VPN 清單中。
- 完成安裝後，請從「應用程式」啟動用戶端，不要一直在下載資料夾或磁碟映像檔內執行。
- 開啟用戶端的連線、TUN 或系統代理開關，讓軟體主動觸發 macOS 權限要求。
- 核對系統視窗中的應用程式名稱，再允許加入 VPN 設定或啟用網路延伸功能。
- 返回用戶端確認核心元件已啟動，沒有停留在等待授權或初始化狀態。
- 暫時不要連線至線路，先匯入訂閱並檢查節點資訊是否完整。
找不到權限面板開關時，先確認用戶端確實曾嘗試啟動需要授權的模式。macOS 通常只會在應用程式提交啟用延伸功能的要求後，顯示相應項目。若從未觸發要求，系統設定中自然不會出現開關。也可以檢查用戶端是否安裝在「應用程式」、是否曾被移動或重新命名，以及舊版本延伸功能是否仍在執行。升級用戶端後路徑有所變更，也可能需要重新確認權限。
匯入訂閱連結並選擇線路
登入服務面板後，複製適用於 macOS 用戶端的訂閱連結，再回到用戶端尋找「匯入訂閱」、「從剪貼簿加入」、「遠端設定」或意思相近的入口。不同用戶端的按鈕名稱各異，但目標一致：讓用戶端下載一份包含節點位址、連接埠、協定、加密或傳輸參數，以及分流規則的遠端設定。
貼上後應檢查連結首尾是否帶有空格。某些聊天軟體會截斷特殊字元，瀏覽器網址列也可能將連結當成搜尋字詞處理，因此不建議先開啟連結，再複製跳轉後的網址。匯入成功後，用戶端通常會顯示設定名稱、線路群組或節點清單。若只出現一個訂閱項目而沒有節點，請執行一次更新，並查看用戶端記錄中的解析錯誤。
匯入訂閱
→ 更新遠端設定
→ 確認協定可辨識
→ 選擇線路群組
→ 選擇特定節點
→ 啟用系統代理或 TUN
→ 開始連線選擇線路不能只看節點名稱。直連線路通常由本地網路直接連往境外入口，鏈路簡單，但更依賴本地電信商網路的國際出口品質。中轉線路會先進入中國大陸或鄰近接入點，再轉送至目標地區，路由控制通常更集中。IEPL 專線屬於企業級國際專線接入形式，與一般公網直連、中轉並非同一概念；實際體驗仍會受到接入段、出口段、壅塞、目標服務位置與本地網路影響。
第一次測試時，請先依目標服務所在的地區選擇線路，再比較連線穩定性。網頁能開啟不代表所有應用程式都適合這條線路。視訊會議更重視持續丟包與抖動，串流影音更依賴穩定吞吐量，程式碼儲存庫與遠端終端機則需要兼顧連線持續性。不要在多個節點之間快速連續切換；舊連線尚未釋放時，測試結果容易混入快取、現有工作階段與 DNS 記錄。
連線後驗證出口位址與 DNS 洩漏
用戶端顯示「已連線」只代表本地代理核心或網路延伸功能已啟動，無法單獨證明所有業務流量都經過所選線路。驗證應涵蓋出口位址、DNS 解析與應用程式實際連線三個部分。先在連線前記下目前公開出口的大致地區，再連線至線路並重新開啟檢測頁面。若出口地區沒有變化，應檢查瀏覽器是否繞過代理、分流規則是否將檢測網站設為直連，以及系統代理是否確實寫入目前的網路服務。
DNS 洩漏是指業務連線經過代理線路，但網域查詢仍交由本地網路的解析伺服器處理。這可能暴露造訪網域的解析請求，也可能因本地 DNS 回傳不同結果而造成區域判斷異常。若用戶端提供「遠端 DNS」、「加密 DNS」、「隨代理解析」或類似選項，應依照用戶端文件進行設定，並確保分流規則中的 DNS 行為與代理模式一致。
- ✅ 分別檢查連線前後的公開出口，確認地區隨所選線路改變。
- ✅ 完全關閉並重新開啟瀏覽器頁面，避免舊連線與快取影響判斷。
- ✅ 檢查 DNS 檢測結果是否仍主要指向本地網路提供的解析路徑。
- ✅ 開啟實際要使用的應用程式，確認它沒有繞過系統代理或被規則設為直連。
- ✅ 中斷用戶端連線後再次造訪一般網站，確認系統網路可以恢復。
分流規則決定哪些要求經過代理、哪些要求直連，以及哪些要求遭到拒絕。規則模式適合長期使用，可以讓本地服務維持直連，讓指定地區或應用程式經過國際線路；全域模式便於排查，因為它減少了規則比對變數。如果規則模式異常而全域模式正常，問題通常出在規則集、DNS 策略或應用程式匹配，而不是線路本身。
瀏覽器也可能啟用獨立的安全 DNS，應用程式則可能內建解析功能或使用自己的網路堆疊。因此，系統層級檢查正常後，若仍只有單一應用程式異常，應查看該應用程式的代理設定、DNS 選項與既有工作階段。開發工具中的代理環境變數與用戶端系統代理也可能同時生效，形成重複轉送。
macOS VPN 常見故障排查順序
系統提示遭拒後，用戶端一直等待授權
先退出用戶端，再進入系統設定檢查隱私權與安全性、VPN 設定及網路延伸功能狀態。找到與用戶端名稱一致的項目後允許啟用，再重新開啟用戶端。如果仍持續等待，切換一次需要該權限的模式，讓用戶端重新提交要求。舊用戶端留下的延伸功能設定可能與新版本衝突，此時應使用用戶端內建的解除安裝或重設功能進行清理，不要手動刪除不熟悉的系統檔案。
訂閱可以匯入，但節點無法連線
先更新訂閱，再確認系統時間準確。Trojan、VLESS 等使用 TLS 的設定會依賴憑證驗證，系統時間明顯錯誤可能導致握手失敗。接著查看用戶端記錄，區分網域解析失敗、連線逾時、TLS 驗證失敗、協定不受支援與驗證參數錯誤。不同錯誤對應不同排查方向，單純反覆切換節點不能取代記錄分析。
如果所有節點都失敗，請檢查本地網路、用戶端核心與訂閱狀態；如果只有某一種協定失敗，優先核對用戶端相容性；如果只有單條線路失敗，可更新設定後再測試其他地區。也可以暫時關閉其他網路過濾工具，排除多個網路延伸功能同時處理流量所造成的衝突。
瀏覽器正常，其他應用程式沒有經過線路
這通常與系統代理的涵蓋範圍有關。瀏覽器會遵循系統代理，但部分遊戲、命令列程式、同步工具或使用自有網路堆疊的應用程式可能直接連線。請先切換至用戶端支援的 TUN 或 VPN 接管模式，再重新測試。若必須使用系統代理，可以在應用程式內設定代理，或為命令列工具設定相應的環境變數，但要避免系統代理與應用程式代理重複指向同一個本機連接埠。
安全使用與日常維護檢查項目
設定完成後，不需要頻繁重新安裝用戶端。更有效的維護方式是定期更新訂閱與用戶端，系統升級後重新檢查網路延伸功能權限，並確保只保留實際使用的設定。用戶端異常退出後若網頁無法開啟，可以先重新開啟用戶端並正常中斷連線，讓它恢復系統代理；也可以到目前網路服務的代理設定中確認是否殘留本機代理位址。
訂閱連結應視為存取憑證。它可能允許用戶端取得完整節點設定，因此不適合公開截圖，也不應交給不可信的線上轉換服務。需要遷移到另一台 Mac 時，從服務面板重新複製訂閱，再匯入新用戶端，比轉發包含完整設定的本機檔案更容易管理。若懷疑連結已經外洩，應在服務面板重設訂閱，而不是只從用戶端刪除。
分流規則也需要依使用情境調整。過於寬泛的全域代理可能讓本地服務繞遠路，過於複雜的規則則會增加排查難度。日常可以使用清楚且來源可核對的規則集；遇到故障時，先切換至較簡單的模式驗證線路，再逐步恢復規則。系統升級、用戶端核心升級或協定參數變更後，都應重新執行出口位址與 DNS 檢查。
- ✅ 用戶端與協定核心維持在受支援版本。
- ✅ 系統升級後檢查網路延伸功能、VPN 設定與代理狀態。
- ✅ 訂閱更新失敗時先查看記錄，不要立即刪除仍可使用的設定。
- ✅ 只在可信任的用戶端中匯入訂閱連結，並對記錄進行去識別化處理。
- ✅ 修改分流或 DNS 設定後，重新驗證出口與實際應用程式連線。
- ❌ 不要同時開啟多個會修改預設路由或系統代理的用戶端。