用戶端顯示「已連線」,瀏覽器卻打不開頁面,或者出口位址根本沒有變化——這類現象大多出在擴充功能授權與設定授權兩步上。macOS 把第三方 VPN 的通道收進了系統的 NetworkExtension 框架,用戶端不再自己實作通道,而是安裝一個系統擴充功能,再向系統申請一份 VPN 設定。兩步中任何一步被拒絕,連線狀態都可能照常顯示,流量卻沒有進到通道裡。
macOS 裝 VPN 的三個關卡
先照順序把這三處走一遍,大部分「裝不上」的問題會在這一關解決。
關卡一:系統擴充功能未啟用
安裝完成後,到系統設定 → 一般 → 登入項目與擴充功能 → 擴充功能 → 網路擴充功能,可以看到用戶端的項目,預設是關閉狀態。開啟時系統會要求輸入管理員密碼,部分用戶端還會提示重新開機。這一項沒開,用戶端的 TUN 模式就建不起來,表現就是「連上了但打不開網頁」。
關卡二:VPN 設定授權被關掉
首次連線時系統會跳出視窗,詢問是否允許用戶端加入 VPN 設定。誤點「不允許」之後視窗不會再出現,用戶端只會反覆回報加入失敗。回復的路徑是系統設定 → 隱私權與安全性,在底部找到對應項目手動允許;如果清單裡已經沒有這一項,刪掉用戶端重裝比翻開關更快。
關卡三:iCloud 私密轉送疊加
開啟 iCloud 私密轉送後,Safari 的流量會先經過 Apple 的轉送節點。與 VPN 同時開啟時兩段代理疊加,常見表現是用戶端顯示已連線、出口位址卻沒有變化,或者個別網站出現憑證與地區判斷異常。排查時先到系統設定 → Apple 帳號 → iCloud → 私密轉送暫時關閉,再重測一次出口位址。
誤點「不允許」之後系統不會再次跳出視窗,這是 macOS 上最容易被忽略的一處。遇到「加入 VPN 設定失敗」,先查隱私權與安全性裡的開關,再懷疑用戶端本身。
| 關卡 | 典型現象 | 處理位置 | 是否需重新開機 |
|---|---|---|---|
| 系統擴充功能未啟用 | 顯示已連線,選單列沒有 VPN 標示,網頁打不開 | 系統設定 → 一般 → 登入項目與擴充功能 → 網路擴充功能 | 多數需要 |
| VPN 設定授權被拒 | 反覆提示加入設定失敗,連線按鈕沒有反應 | 系統設定 → 隱私權與安全性 | 否 |
| iCloud 私密轉送 | 已連線但出口位址不變,個別網站異常 | 系統設定 → Apple 帳號 → iCloud → 私密轉送 | 否 |
晶片相容:M 系列與 Intel 機型的差異
Apple 晶片和 Intel 機型跑同一套 macOS,但二進位封裝與擴充功能載入方式不同。同一款用戶端在兩個平台上表現不一致,通常就出在這兩處。
封裝架構與轉譯開銷
用戶端如果只提供 Intel 封裝,在 Apple 晶片上會由 Rosetta 轉譯層執行。通道轉發是系統呼叫密集的路徑,多一層轉譯意味著握手更慢、CPU 佔用更高,長時間掛著還會加快耗電。選提供 arm64 或 Universal 封裝的用戶端,能省掉這一層。
系統擴充功能與核心擴充功能
早期 VPN 用戶端用核心擴充功能實作通道,Apple 晶片機型載入這類擴充功能需要降低開機安全性並重新開機進入復原模式,對一般使用者是明顯的門檻。現在主流方案已經遷移到 NetworkExtension 系統擴充功能,不再需要改動開機安全性。如果一個用戶端仍要求「降低安全性」,基本可以判斷它沒有完成遷移,不建議在主力機器上使用。
系統擴充功能還必須經過簽章與公證。簽章無效的擴充功能會被直接拒絕載入,錯誤訊息通常只出現在「隱私權與安全性」底部的一行提示裡,用戶端自己的錯誤文案反而很含糊,排查時容易被帶偏。
| 項目 | Apple 晶片(M 系列) | Intel 機型 |
|---|---|---|
| 建議封裝 | arm64 或 Universal | x86_64 |
| 轉譯層 | 純 Intel 封裝會經 Rosetta 轉譯,握手與轉發多一層開銷 | 不涉及 |
| 系統擴充功能載入 | 需在登入項目與擴充功能中手動啟用 | 同樣需手動啟用 |
| 核心擴充功能 | 需降低開機安全性,不建議 | 可載入,同樣不建議 |
| 簽章要求 | 擴充功能必須簽章並公證,否則拒絕載入 | 同上 |
協定與用戶端:macOS 上怎麼選
macOS 上的用戶端大多基於 Clash/mihomo 或 sing-box 核心,介面只是外殼,真正決定體驗的是核心支援的協定與分流能力。訂閱連結匯入之後,核心依規則決定哪些網域走通道、哪些直連,這也是同一份訂閱在不同用戶端上表現不同的原因。
訂閱連結的好處是節點調整時用戶端更新一次即可,不必手動改設定;手動匯入的設定檔在伺服器端調整後會失效,需要重新匯出。長期使用建議走訂閱連結。
協定層面沒有絕對優劣,要看所處的網路環境。
| 協定 | 傳輸 | 特性 | 適合的情境 |
|---|---|---|---|
| Shadowsocks | TCP / UDP | 結構簡單,額外開銷低 | 日常網頁、文件與下載 |
| VMess | TCP、WebSocket、gRPC 等 | 傳輸組合多,設定項目也多 | 需要彈性搭配傳輸時 |
| Trojan | TLS over TCP | 外觀接近一般 HTTPS 流量 | 對偽裝要求較高的網路 |
| VLESS | TLS / XTLS | 無內建加密層,由 TLS 保證安全 | 與 TLS 搭配使用 |
| Hysteria2 | QUIC(UDP) | 弱網與高封包遺失環境下握手更快 | 行動網路、跨境長鏈路 |
| TUIC | QUIC(UDP) | 延遲低,但對 UDP 品質敏感 | UDP 未被限制的網路 |
TUN 模式與系統代理模式
TUN 模式透過虛擬網卡接管全部流量,包括不讀取系統代理設定的命令列工具;系統代理模式只把位址寫進系統代理設定,終端機裡的 curl、git 預設不會走代理。在 Mac 上判斷用戶端用的是哪種模式,看選單列圖示與網路設定裡是否多出一塊虛擬網卡即可。
分流規則決定實際體驗
全域模式把所有流量塞進通道,連中國大陸網站也要繞一圈,速度反而更差;規則模式依網域與 IP 分流,中國大陸直連、海外走通道,是 Mac 上的常規設定。規則清單需要定期更新,過期的規則會把新網域判斷錯,表現為個別網站打不開或載入變慢。
裝完怎麼驗證:四步排查順序
連線成功不等於生效。照下面的順序走一遍,能定位到具體是哪一層出了問題。
- 查出口位址:連線前後各開一次 IP 查詢頁,比對出口位址與歸屬地。位址沒變,代表流量沒有進入通道,先回到權限一節。
- 查 DNS 解析:用 DNS 洩漏檢測確認解析請求來自通道出口一側。仍顯示本地電信商,代表分流規則把 DNS 放行到直連。
- 看分流規則:規則模式下中國大陸網域走直連是預期行為。要確認某個網域是否走通道,看用戶端連線日誌裡命中的規則名稱,而不是憑開啟速度判斷。
- 換協定複測:TCP 類協定握手正常但速度不穩時,換 Hysteria2 或 TUIC 試試;反過來,如果所在網路對 UDP 限制嚴格,退回 Trojan 或 VLESS over TCP 更穩。
- ✅ 出口位址與所選節點所在地一致
- ✅ DNS 解析結果顯示為通道出口一側的解析器
- ✅ 用戶端日誌裡目標網域命中代理規則
- ✅ 終端機裡的 curl 也能傳回海外位址,代表走的是 TUN 模式
- ❌ 出口位址仍是本地電信商,流量沒有進入通道
- ❌ 只有瀏覽器生效、其他應用程式不走代理,多半停留在系統代理模式
先驗證再付費:出口位址與 DNS 解析兩項都符合預期,再決定是否長期訂閱。VPN31 提供 14 天無理由退款,驗證的時間成本不高。
Mac 上挑 VPN 看哪些指標
權限與協定解決「能不能用」,下面幾項決定「用得順不順」。
涵蓋範圍與線路數量決定可選節點的餘地,裝置數決定能不能和家人共用一份訂閱。VPN31 的帳戶不限裝置數,同一份訂閱可以在 Mac、手機與平板上同時登入;註冊只需使用者名稱與密碼,無需電子郵件地址;費用方面提供 14 天無理由退款,可以照上一節的方法驗證之後再決定是否長期使用。
另一項是日誌政策。VPN31 不記錄日誌,這點寫在隱私說明裡,屬於立場陳述而非技術保證;對隱私敏感的用戶,還應自行確認用戶端本地的連線日誌是否會被上傳。
線路類型:直連、中轉與 IEPL 專線
- 直連:用戶端直接連海外節點,路徑最短,但完全暴露在國際出口的壅塞裡,晚高峰波動最明顯。
- 中轉:先接入中轉入口再出海,多一跳,換來的是繞開部分壅塞路徑,穩定性優於直連。
- IEPL 專線:走電信商專線通道,不經過公網國際出口,晚高峰的封包遺失與抖動最小,成本也最高。
只在 Mac 上瀏覽網頁、偶爾看 4K 影片,直連與中轉就夠用;需要長時間掛著開會、傳檔案,或對晚高峰敏感,優先選帶 IEPL 專線的線路。
流量方案怎麼選
| 方案 | 價格 | 流量 | 說明 |
|---|---|---|---|
| 月訂閱 | ¥9.9/月 | 60GB | 流量按開通日每月重置 |
| 月訂閱 | ¥18/月 | 250GB | 流量按開通日每月重置 |
| 月訂閱 | ¥28/月 | 500GB | 流量按開通日每月重置 |
| 流量包 | ¥158 | 300GB | 用完為止,永久不過期 |
| 流量包 | ¥358 | 1000GB | 用完為止,永久不過期 |
| 流量包 | ¥658 | 3000GB | 用完為止,永久不過期 |
選購結論:只在 Mac 上用、以網頁與文件為主,¥9.9/月 的 60GB 方案夠用;經常看 4K 或手機、平板同時掛著,¥18/月 的 250GB 方案更合適;不想按月續費就選流量包,用完為止、永久不過期。中途升級方案時,差價按剩餘天數折算。
常見問題與收尾建議
瀏覽器能上網,終端機不走代理
系統代理模式只寫入系統代理設定,終端機裡的 curl、git、brew 預設不讀取。要在 shell 裡明確設定代理環境變數,或改用 TUN 模式,由虛擬網卡接管全部流量。
解除安裝後還有殘留的 VPN 設定
用戶端解除安裝不會自動清理 VPN 設定。到系統設定 → VPN 裡刪除殘留項目,再到登入項目與擴充功能裡移除對應擴充功能,否則裝下一個用戶端時可能出現設定衝突。
升級 macOS 之後失效
系統大版本升級會重置擴充功能授權。升級後重新到登入項目與擴充功能裡啟用網路擴充功能,再連一次即可,不需要重裝用戶端。
同一份訂閱能不能給其他裝置用
可以。帳戶不限裝置數,Mac、手機、平板共用一份訂閱即可,不必為每台裝置單獨付費;條款範圍內的並行使用不會互相擠掉。
該不該一直開著
在 Mac 上常開 VPN 的代價是待機耗電,以及印表機、螢幕投放、區域網路共享這類本地服務無法連線。更實際的做法是把區域網路與中國大陸網域放進直連規則,只讓需要的流量走通道,而不是全域代理。
結論:在 macOS 上挑 VPN,先看用戶端有沒有完成系統擴充功能遷移,再看線路類型與流量方案,最後用出口位址與 DNS 解析兩項驗證是否真的生效。權限沒放行時,換什麼協定都跑不起來。