在 macOS 上設定 VPN,卡住的往往不是協定,而是系統權限:用戶端裝好了,設定也填了,選單列圖示亮著,瀏覽器卻依舊打不開國際網站。這篇 macOS VPN 新手完整指南依實際操作順序走一遍——確認系統版本、安裝用戶端、核准系統網路權限、匯入訂閱連結、驗證出口位址與 DNS,最後處理那幾類反覆出現的彈窗。每個步驟都給出可對照的結果,做完就能判斷自己卡在哪一環。

全文不假設你已經熟悉終端機,涉及命令列的地方都給完整指令,複製後執行即可。先把本站的幾項基礎事實放在前面,後面判斷值不值得繼續投入時用得上:

120+ 涵蓋國家
180+ 可選線路
7 天 無條件退款
不限 同時在線裝置數

準備:系統版本與帳戶權限

點開蘋果選單裡的「關於這台 Mac」,先確認系統版本。macOS 13 之後,「系統偏好設定」改名為「系統設定」,網路上大量舊教學的路徑還停在改名之前,照著點會找不到入口——兩條路徑說的是同一個地方,只是名稱不同。版本過舊時,系統擴充功能的授權入口位置也會不一樣,先看清楚再動手。

授權 VPN 設定需要管理員帳戶。標準帳戶在彈窗裡輸入密碼也會被拒絕,或者根本看不到「允許」按鈕。如果這台 Mac 是公司配發的,先確認有沒有描述檔在管控網路設定,否則後面每一步都會卡住。

帳號層面沒有額外門檻:註冊只要使用者名稱和密碼,不需要電子郵件地址,也不用等驗證信。這一步省下來的時間,比在用戶端裡反覆試錯多得多。

安裝之前,把其他 VPN 或代理用戶端結束掉。macOS 上同時執行兩個接管網路的程式,路由表和 DNS 會互相覆蓋,表現出來就是「連上了卻打不開」,排查時極難定位。公司網路與校園網路還要留意連接埠與 UDP 限制,這會直接影響後面能選哪類協定。

安裝:來源、格式與首次啟動

macOS 用戶端以磁碟映像檔(.dmg)形式提供。打開後把應用程式圖示拖進「應用程式」資料夾,再退出磁碟映像檔——直接在映像檔裡雙擊執行,結束後設定容易遺失,後續更新也會出問題。下載時認明 macOS 版本,不要拿成其他平台的安裝檔。

首次打開常被 Gatekeeper 攔下,提示「無法打開,因為 Apple 無法檢查其是否包含惡意軟體」。這不是檔案損毀:到「系統設定 > 隱私權與安全性」,在頁面下方找到被阻擋的項目,點「仍要打開」,再確認一次即可。如果連阻擋提示都沒有,檢查是不是在「下載」資料夾裡直接執行,換個位置重試。

第一次啟動時,系統會跳出「想要加入 VPN 設定」的要求。這是 macOS 對網路擴充功能的標準流程:任何要在系統層接管流量的應用程式,都必須取得這份授權,用戶端本身沒有繞過的辦法。看到彈窗不要直接點拒絕,拒絕之後不會自動再跳。

授權:系統彈窗與隱私設定

授權環節會連續出現兩三個彈窗,順序不完全固定,但處理方式一致:

  • 加入 VPN 設定:點「允許」,用 Touch ID 或帳號密碼確認。同意之後,「系統設定 > 網路」裡會出現對應的 VPN 項目,這就是通道本體。
  • 系統擴充功能已被阻擋:到「系統設定 > 隱私權與安全性 > 安全性」,點「允許」。部分版本會要求重新開機,重新開機後擴充功能才會真正載入,不重開就連線一直失敗。
  • 通知與區域網路:通知權限只影響狀態提醒,可以拒絕;macOS 15 起會詢問區域網路存取,拒絕不影響國際線路,但會影響同一個區域網路內的裝置探索與列印。

如果希望開機自動連線,到「系統設定 > 一般 > 登入項目與擴充功能」裡確認用戶端已被允許在背景執行。這一步經常被忽略,結果是每次重新開機都要手動點一次連線,還以為是用戶端不穩定。

「允許」按鈕呈現灰色時,先看「系統設定 > 一般 > VPN 與裝置管理」裡有沒有企業描述檔。描述檔的優先順序高於個人授權,不解除管控,彈窗永遠不會出現。

匯入訂閱:連結、設定檔與手動新增

訂閱連結是一個回傳節點清單的網址,用戶端定時拉取,線路有變動時不用重新設定。連結末尾通常帶一串憑證參數,拿到連結就等於拿到帳號使用權,不要貼到群組或公開儲存庫。訂閱回傳的內容一般是 Base64 編碼的節點清單或設定檔,由用戶端負責解碼,你只需要確保連結完整。

匯入流程只有三步:複製完整連結,在用戶端的「訂閱」或「設定」裡貼上,點更新。更新成功後節點清單才會出現,連線前記得選取具體線路。三種常見匯入方式的差別如下:

三種匯入方式對照
方式 適用情境 更新方式 注意
訂閱連結 日常使用,線路會調整 用戶端內一鍵更新 連結含憑證,不要外傳
設定檔匯入 一次匯入多個節點 需重新匯入檔案 確認檔案來源可信
手動新增 單一節點、排查問題 逐項修改參數 協定與傳輸層必須與節點一致

手動新增時,參數少一項都連不上:協定(Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC)、伺服器位址、連接埠、UUID 或密碼,以及傳輸層(ws、grpc、tcp)與 TLS、SNI、路徑。Hysteria2 與 TUIC 走 QUIC,對 UDP 有要求;網路環境限制 UDP 時,換成 TCP 系列協定更穩定。

訂閱更新失敗,先按三類原因排查:連結在通訊軟體裡被截斷或夾帶空格與換行;系統時間偏差過大導致 TLS 握手失敗;目前網路本身拉不到訂閱位址——這種「先有雞還是先有蛋」的情況,換一個能正常上網的網路更新一次即可。更新後清單是空的,再確認回傳內容有沒有被網路中間層替換成錯誤頁。

匯入之後還有一個步驟常被跳過:分流規則。全域模式把所有流量都送進通道,存取台灣本地網站會繞遠路;規則模式依網域與 IP 判斷,台灣本地直連、境外走線路,日常體驗更好。macOS 上依應用程式分流不如依網域分流穩定,別在這上面花太多時間。

結論:訂閱匯入失敗,多數不是用戶端壞了,而是連結被截斷、系統時間不準,或目前網路拉不到訂閱位址。按這三項查一遍,比反覆解除安裝重裝有效得多。

驗證:出口位址、DNS 與個別應用測試

選單列顯示「已連線」,只能說明通道建立了,不能說明流量真的走了線路。最直接的驗證是對照出口位址:連線前後各執行一次同樣的指令。

# 連線前執行一次
curl -s https://ifconfig.me

# 連線後再執行一次,對照兩次結果
curl -s https://ifconfig.me

# 查看系統目前使用的 DNS 解析器
scutil --dns | grep nameserver | head -n 5

兩次結果不同,且新位址落在所選線路的國家,說明流量確實出去了。DNS 那一項同樣關鍵:如果解析器仍是本地電信商的位址,網域名稱解析就沒跟著通道走,存在洩漏,表現為部分網站打不開或跳轉到當地版本。瀏覽器內建的加密 DNS 會繞過系統解析器,驗證時先關掉它,否則看到的解析結果不代表系統行為。

還要區分系統代理與 TUN 兩種模式。系統代理只對讀取系統代理設定的應用程式生效,Safari 和 Chrome 會跟隨,終端機裡的 curl、git、npm 預設不讀,需要手動設定環境變數,或者切換到接管網路層的 TUN(增強)模式。所以「瀏覽器能開、命令列不行」通常不是線路問題,而是模式選錯了。

按下面的清單逐項核對,大致能定位到具體環節:

  • ✅ 選單列狀態為已連線,線路名稱與手動選取的一致
  • ✅ 瀏覽器與終端機查到的出口位址落在同一個國家
  • ✅ scutil --dns 裡的解析器屬於通道,不是本地電信商
  • ✅ 切換線路後重新查詢,出口位址隨之改變
  • ❌ 只看「已連線」就認為生效,沒有對照出口位址
  • ❌ 同時開著兩個代理用戶端,誰在生效說不清楚

只測「能不能打開網頁」不足以說明問題:快取、CDN 和部分網站的區域判斷會給出誤導結果。出口位址與 DNS 兩項對照,才算真正走通。

常見故障:連上卻打不開、頻繁斷線

下面幾類問題在 macOS 上出現頻率最高,大致都能對症處理:

  • 時間偏差導致握手失敗:系統時間與標準時間差了幾分鐘,TLS 就會報錯。執行 sudo sntp -sS time.apple.com 校準後再連。
  • MTU 不合適:網頁能開、影片一直轉圈,多半是大封包被丟棄。在用戶端裡把 MTU 調低一些再試。
  • 睡眠喚醒後不恢復:闔上螢幕再打開,通道還在但流量不通。結束用戶端重新開啟,或在「系統設定 > 網路」裡中斷再連。
  • 網路限制 UDP:Hysteria2、TUIC 走 QUIC,對 UDP 敏感;這類網路裡換成 Trojan 或 VLESS over TCP 更可靠。
  • IPv6 旁路:部分網路同時發送 IPv6,通道只接管 IPv4 時,存取可能走 IPv6 直連。驗證時留意出口位址是不是 IPv6 形式。
  • 殘留設定衝突:解除安裝後「系統設定 > 網路」裡仍留著舊 VPN 項目,刪除後重新安裝才能乾淨。

排查順序建議固定下來:先看授權是否完整,再看 DNS 是否跟著走,最後才懷疑線路。順序反過來,很容易在沒問題的線路上反覆切換,把時間花在錯誤的方向。

結論:如果每次開機都要手動重連、DNS 時好時壞,問題多半出在權限與分流規則,而不是線路品質。回到授權和 DNS 兩節逐項對照,通常比重新安裝用戶端更快。

設定一次,後面就是維護習慣:用戶端保持更新,訂閱定期重新整理,換網路後重新驗證一次出口位址。macOS 的權限模型比多數人預期的嚴格,前期多花十分鐘把授權走完,後面能省下大量「為什麼又連不上」的時間。