macOS VPN 從零開始:安裝、權限授予與訂閱匯入

macOS VPN 出問題,很少是線路本身。多數情況是安裝檔沒被放行、網路延伸功能沒取得授權,或訂閱連結匯入後沒有觸發更新。這篇照實際操作順序走一遍:安裝、放行、授權、匯入、驗證,每一步寫清楚該看到什麼結果,以及沒看到時先查哪裡。

全程不需要改動系統底層設定,也不需要關閉任何保護機制。凡是要求先關掉系統防護再連線的教學,都可以跳過。

裝之前先備齊三件事

開始之前把三樣東西準備好,能省掉後面一半的來回。

管理員帳號。安裝用戶端與批准網路延伸功能都需要管理員權限。標準帳號在這一步會遇到「允許」按鈕根本不出現的情況,不是用戶端壞了,而是系統沒把提示視窗發給這個帳號。先確認目前帳號是管理員,再開始。

訂閱連結。登入使用者面板,在「下載與訂閱」一欄複製訂閱連結。這條連結內含權杖,等同帳號憑證,不要傳到群組,也不要出現在截圖裡。

用途。先想清楚這台 Mac 是全域走代理,還是依規則分流。模式可以隨時改,但一開始就選錯,後面驗證時會把它誤判成線路問題。

• ✅ 目前帳號是管理員,能開啟系統設定裡的「隱私權與安全性」
• ✅ 訂閱連結已複製到本機,沒有經過通訊軟體中轉
• ✅ 準備兩個要存取的網站,一個台灣本地、一個國際,用來驗證分流
• ❌ 在公司描述檔管理的 Mac 上直接安裝,網路延伸功能可能被策略停用
• ❌ 從網路硬碟或論壇取得安裝檔,來源不明就無法核對簽章

安裝檔放行:三種攔阻與對應處理

下載到的安裝檔通常是 dmg。開啟後把應用程式拖進「應用程式」資料夾,不要在「下載項目」裡直接雙擊執行。隔離屬性會跟著檔案走,留在下載項目裡既容易被清理工具刪掉,後續更新也更容易出問題。

第一次啟動很可能會被系統攔下,提示「無法開啟,因為 Apple 無法檢查其是否包含惡意軟體」。這不是安裝檔壞了,是系統的來源檢查。開啟系統設定 → 隱私權與安全性,在頁面下方找到剛才那筆被攔阻的記錄,點「仍要開啟」,再回 Finder 啟動一次,提示視窗會變成帶確認按鈕的版本。

第二種提示是「已損毀,應將它移到垃圾桶」。多數情況是下載不完整,或用了會改寫檔案屬性的下載工具。重新下載一次即可。網路上流傳的終端機「修復」指令會全域關閉隔離檢查,不建議在主要工作機上執行,它解決的是提示,不是問題。

第三種是隱私權與安全性頁面裡根本沒出現那筆記錄。這表示應用程式沒有被執行到,系統還沒走到判斷這一步。依序查:是否真的拖進了「應用程式」、dmg 是否完整掛載、是否有安全軟體先一步攔下。

網路延伸功能授權:兩個開關

macOS 上的 VPN 用戶端多數以系統網路延伸功能的形式運作,不是一般應用程式。這表示第一次連線會多出兩道確認,而且這兩道確認只在特定時機出現,錯過了就得手動補。

第一道:加入 VPN 設定的提示視窗

首次點連線時,系統會詢問是否允許用戶端加入 VPN 設定,需要輸入密碼或用 Touch ID 確認。這裡按了取消,用戶端介面通常還能繼續點,但狀態會一直停在「正在連線」,不會自己恢復。

第二道:網路延伸功能開關

開啟系統設定 → 一般 → 登入項目與延伸功能 → 網路延伸功能,確認用戶端那一項處於開啟狀態。不同大版本的位置略有差別,也可能出現在「隱私權與安全性」裡。把這一項關掉,連線會立刻中斷,而且不再給出任何原因提示。

授權沒給對時,典型現象有三種:選單列圖示變色但一直停在「正在連線」;連上幾秒自動中斷回到未連線;系統設定 → 網路裡出現一筆灰色、帶警告標記的 VPN 設定。

處理順序是固定的:結束用戶端 → 在系統設定 → 網路裡刪除殘留的 VPN 設定 → 重新開啟用戶端 → 重新走一遍允許流程。反覆點連線不會讓系統補發授權提示,只會讓殘留設定越積越多。

訂閱匯入:連結、QR Code 與手動參數

用戶端剛裝好是空的,節點要從訂閱連結匯入。三種方式依情境選,不要混著用。

方式一:貼上訂閱連結

在用戶端的訂閱或設定一欄選擇從連結匯入,貼上後確認。匯入成功會立刻拉取一次節點清單,清單裡應出現依地區分組的項目。如果清單是空的,先檢查連結有沒有被通訊軟體截斷——複製時少了幾個字元是最常見的原因。

方式二:QR Code

QR Code 本質是同一條連結的圖形形式,適合從面板直接掃。在 Mac 上,用手機掃碼再回電腦貼上反而多一步,直接把連結貼進用戶端更快,也更不容易出錯。

方式三:手動新增單一節點

只有拿到單一節點參數時才用這種方式。協定不同,要填的欄位也不同:Shadowsocks 要密碼與加密方式;VMess 要 UUID,舊版本還有 alterId;VLESS 要 UUID 與選用的 flow;Trojan 只有密碼;Hysteria2 與 TUIC 基於 QUIC,需要認證資訊以及壅塞控制相關參數。少一個字元就連不上,手抄參數是整個流程裡最容易出錯的一步。

訂閱連結裡帶著權杖,拿到連結的人可以用你的流量額度。懷疑外洩時,在使用者面板重設訂閱位址,再回到用戶端重新匯入一次。舊連結會立即失效,包括其他裝置上正在用的那一份。

匯入之後要手動更新一次

後台調整節點後,用戶端不會自動感知。在用戶端裡點一次更新訂閱,再確認節點數量與地區有變化。多數用戶端支援定時更新,間隔可以自己設,但換機或重設之後的那一次,建議手動點。

連線驗證:四步確認

連上不等於通了。照下面四步走,能把問題定位到具體一層,而不是籠統地歸因於「線路不好」。

1. 查出口地區。連上後開啟本站的「我的 IP」頁面,看辨識到的國家與地區是否與所選節點一致。不一致,表示流量根本沒走代理,回去看用戶端的系統代理或 TUN 開關。
2. 看 DNS 解析走哪邊。如果解析仍由本地電信業者完成,存取國際網站會出現解析到鄰近但不對的位址,表現為時快時慢、圖片載入一半。分流規則裡要把 DNS 請求一併交給代理端處理。
3. 驗證分流規則。分別開啟一個台灣本地網站和一個國際網站,確認前者直連、後者走代理。常見錯法是把某個頂級域整個放進直連,結果該域下的目標網站全部繞過了代理。
4. 檢查 IPv6。本地網路同時發放 IPv4 與 IPv6 時,若用戶端只接管了 IPv4,部分網站會從 IPv6 直接出去,出現「網頁能開、影片卡住」的錯位。要在用戶端關閉 IPv6,或讓規則對兩種協定一致處理。

現象對照:連不上時先查哪裡

下面這張表依現象回推原因,順序從最常見到最少見。逐列對一遍,大致能跳過無效嘗試。

系統升級與解除安裝

macOS 大版本升級後,網路延伸功能的授權狀態可能被重設。升級完第一次連線如果一直停在「正在連線」,回系統設定裡重新確認延伸功能開關即可,不用重裝用戶端,也不用重新匯入訂閱。

解除安裝要走完整流程:結束用戶端 → 系統設定 → 網路裡刪除對應的 VPN 設定 → 登入項目與延伸功能裡移除延伸功能 → 最後刪除應用程式。只把應用程式拖進垃圾桶,殘留設定會留在網路清單裡,下次裝別的用戶端時還可能撞名,導致新設定被蓋掉。

換機不用重新購買:同一份訂閱連結在新機器上匯入即可,帳號不限台數。舊機器照上面的流程清乾淨,避免兩筆設定同時搶系統代理,表現成「兩台都時好時壞」。

把順序固定下來

整套流程的順序是固定的:安裝 → 放行 → 授權 → 匯入 → 驗證。卡住時照這個順序往回查,先看權限,再看規則,最後才懷疑線路。macOS 上絕大多數「連不上」都停在前兩步,而這兩步恰恰不會給出明確錯誤。