開始設定前需要準備什麼
這篇 Mac VPN 設定教學適合第一次在 macOS 匯入訂閱的使用者。完整流程不只是將訂閱網址貼入客戶端，也包括確認客戶端來源、了解系統授權、選擇線路、檢查出口位址與 DNS，以及在失敗時判斷問題所在層級。
開始前請準備可用的訂閱連結，以及符合 Mac 處理器架構的客戶端。訂閱連結通常包含存取憑證；客戶端讀取後，才會顯示伺服器位址、連接埠、協定與線路名稱。它不是一般網頁連結，不應貼入搜尋框、公開聊天記錄或截圖中。
下載客戶端前，先確認它支援訂閱中實際使用的協定。Shadowsocks、VMess、Trojan、VLESS、Hysteria2 與 TUIC 並非同一種連線方式；客戶端支援其中一種，不代表也會自動支援其他協定。若匯入後清單為空、部分線路消失，或設定項目標示為未知，應優先檢查協定相容性，而不是反覆授權系統權限。
- ✅ 已從服務面板複製完整訂閱連結，沒有遺漏開頭、參數或 token。
- ✅ 已確認客戶端適用於 macOS，且與目前 Mac 的處理器架構相符。
- ✅ 已退出同類網路工具，避免多個通道同時修改路由與 DNS。
- ✅ 目前網路可以正常開啟常用網站，方便區分本地斷網與線路問題。
- ❌ 不要將訂閱連結匯入來源不明的線上轉換頁面。
了解 macOS 的系統權限
macOS 上的代理客戶端若要接管網路流量，通常需要建立 VPN 設定或載入 Network Extension。系統彈窗會要求管理員確認，因為這項權限允許應用程式建立虛擬網路介面、調整路由，並將符合規則的連線送入通道。這不是存取照片、聯絡人或文件的權限。
不同客戶端採用的實作方式各異。有些只會要求加入 VPN 設定，有些還需要核准系統延伸功能。只有在應用程式確實使用相關元件時，才會出現對應提示，因此介面不完全一致是正常現象。不要為了尋找與教學完全相同的彈窗，而主動開啟無關的隱私權限。
| 系統提示 | 實際用途 | 建議處理方式 |
|---|---|---|
| 加入 VPN 設定 | 允許客戶端建立網路通道，並在連線時啟用對應設定。 | 確認應用程式來源與名稱正確後核准。 |
| 網路延伸功能 | 由客戶端的延伸元件處理通道、代理或內容過濾功能。 | 僅核准目前安裝之客戶端所對應的開發者專案。 |
| 管理員驗證 | 允許修改受系統保護的網路設定。 | 在系統驗證視窗中完成，不要將密碼輸入客戶端的主要介面。 |
| 背景執行 | 讓選單列狀態、自動重新連線或訂閱更新在關閉應用程式視窗後繼續運作。 | 依實際使用需求決定是否啟用。 |
| 區域網路 | 用於探索或存取區域網路裝置，是否需要取決於客戶端功能。 | 若只進行一般跨境存取，可先依功能說明判斷。 |
如果曾點選拒絕，客戶端再次請求時可能不會重複顯示彈窗。此時請開啟「系統設定」，在「隱私權與安全性」、網路相關設定或 VPN 設定區域尋找對應項目。具體入口會隨 macOS 介面調整而變化，但判斷原則不變：檢查應用程式是否遭系統阻擋、延伸功能是否獲准，以及 VPN 設定是否存在。
核准系統延伸功能後，若設定頁面明確提示需要退出應用程式、重新開啟或重新啟動系統，請依提示完成。若沒有出現提示，不必將重新啟動視為固定步驟。強制反覆安裝客戶端，往往會留下重複設定，使後續排查更加困難。
在客戶端匯入訂閱
開啟客戶端後，尋找「訂閱」、「設定」、「Profiles」或「Remote」等入口。不同應用程式的名稱各異，本質上都是建立遠端設定來源。將訂閱連結貼入 URL 輸入框，名稱可填寫服務名稱或用途，接著執行更新。
https://example.com/sub?token=xxxx- 從服務面板複製訂閱連結，避免手動選取或遺漏參數。
- 在客戶端建立新的遠端訂閱，而不是新增單一手動節點。
- 貼上連結並儲存，然後執行「更新訂閱」或同等操作。
- 確認線路名稱已經出現，並檢查是否顯示不支援協定的提示。
- 先選擇一條線路測試連線，暫時不要同時修改 DNS、分流與進階傳輸參數。
訂閱匯入與訂閱更新是兩個動作。儲存 URL 只代表客戶端記住了來源；成功更新後，客戶端才會取得目前設定。如果匯入後沒有線路，請查看錯誤訊息究竟是網路請求失敗、格式無法解析，還是協定不受支援。前者與訂閱位址或本地網路有關，後兩者通常與客戶端相容性有關。
部分客戶端也提供「從剪貼簿匯入」。使用此入口前，請確認剪貼簿中只有訂閱連結，而不是某個單獨線路的分享連結。遠端訂閱方便後續同步線路變更；手動匯入單一節點則不會自動取得訂閱中的更新。
選擇模式並建立VPN 連線
線路匯入成功後，客戶端通常還會要求選擇執行模式。常見選項包括系統代理、規則分流與通道模式。系統代理主要影響遵循 macOS 代理設定的應用程式；通道模式透過虛擬網路介面接管更廣泛的流量；規則分流則依網域、位址或規則集決定直連或代理。
首次測試建議減少變數。選擇一條標示明確地區的線路，使用客戶端建議的基本模式，然後啟動連線。此時 macOS 可能會跳出加入 VPN 設定或管理員驗證視窗。核准後，選單列或客戶端狀態應從未連線變為已連線。
狀態變為已連線，只代表本地通道已啟動，不等於目標流量一定經過預期線路。若分流規則將測試網站設為直連，出口位址仍可能維持本地網路；若瀏覽器啟用了獨立代理或加密 DNS，檢測結果也可能與系統預設路徑不同。
| 執行方式 | 主要影響範圍 | 適用情境 | 常見誤區 |
|---|---|---|---|
| 系統代理 | 遵循系統代理設定的應用程式流量 | 瀏覽器與一般桌面應用程式的基本存取 | 以為所有命令列程式與獨立網路元件都會自動跟隨 |
| 規則分流 | 由網域、位址與規則決定的部分流量 | 本地服務直連，指定目標經由國際線路 | 忽略規則命中結果，只依連線按鈕判斷 |
| 通道模式 | 進入虛擬網路介面的系統流量 | 需要涵蓋更多應用程式協定的情況 | 與其他 VPN 或安全軟體的網路延伸功能同時啟用 |
IEPL 專線、中轉與直連描述的是線路路徑，而非客戶端協定。直連表示裝置直接連接遠端入口；中轉會先進入中轉節點，再轉向目標出口；IEPL 專線通常用於特定跨境傳輸路徑。即使線路類型不同，macOS 端仍需透過客戶端協定建立本地連線，不能將「線路類型」與「Trojan、VLESS」等協定名稱互相替代。
驗證連線是否生效與 DNS 路徑
可靠的驗證應同時檢查出口地區、DNS 解析與目標應用程式。先在瀏覽器中確認公開出口位址是否變更，並確認顯示地區與所選線路一致。接著開啟實際要使用的網站或應用程式，觀察其是否能正常建立連線。單純看到客戶端圖示變色，不足以判斷資料路徑。
DNS 洩漏是指業務流量已經通過通道，但網域查詢仍傳送給本地網路提供的解析器。這可能造成地區判斷不一致，也可能讓分流結果偏離預期。檢測時應注意解析器所屬網路是否符合客戶端設定，而不是只看頁面是否顯示醒目的「通過」。
- ✅ 公開出口地區與客戶端所選線路一致。
- ✅ 目標網站或應用程式可以載入，且不會在直連與代理之間反覆切換。
- ✅ DNS 檢測結果沒有繼續使用不符合目前設定的本地解析路徑。
- ✅ 中斷客戶端後，出口位址恢復為本地網路，證明前後對照有效。
- ❌ 不要將瀏覽器快取、帳戶地區或內容平台帳戶設定誤判為線路故障。
如果出口位址已經變更，但某個網站仍顯示原本地區，請先清除該網站的工作階段資訊，或使用新的無痕視窗重試。部分服務會綜合帳戶地區、付款資料、裝置定位與歷史工作階段進行判斷；VPN 只會改變網路出口，不會自動改寫這些帳戶屬性。
如果瀏覽器生效而終端機工具沒有生效，通常表示目前使用的是系統代理，而命令列程式沒有讀取系統代理設定。可以改用客戶端的通道模式，或為對應工具明確設定代理。不了解變數含義時，不要直接複製整段終端機指令，因為錯誤的環境變數可能在客戶端退出後仍持續影響連線。
設定分流規則與本地網路
確認基本連線正常後，再調整分流。規則通常依網域、IP 位址、程序或規則集進行比對。常見策略是讓本地網站與區域網路資源直連，讓需要國際線路的目標經由代理。這樣可以減少不必要的路徑變化，也避免本地印表機、檔案共享或開發裝置失去連線。
規則具有優先順序。較具體的網域規則通常應放在寬泛規則之前，否則前面的萬用字元規則可能會提前命中。修改後請查看客戶端連線記錄中的比對結果，確認目標網域究竟走了 DIRECT、PROXY，還是某個策略群組。記錄用於定位連線方向，公開求助時不應附上完整訂閱 URL、驗證欄位或伺服器憑證。
IPv6 也可能造成路徑不一致。如果客戶端只接管 IPv4，而目標應用程式優先選擇 IPv6，部分流量可能繞過預期規則。正確做法是檢查客戶端是否支援相應的 IPv6 通道與 DNS 策略，並讓系統路由、代理規則與解析結果保持一致，而不是發現異常後就永久關閉所有 IPv6 功能。
需要存取區域網路裝置時，請檢查客戶端是否提供「允許區域網路」或同等選項。開啟後，本地網段通常會維持直連；關閉時，通道規則可能阻擋印表機、儲存裝置或開發伺服器。若公司裝置受管理設定控制，應遵循組織的網路政策，不要覆寫系統下發的 VPN 或內容過濾設定。
授權失敗與無法連線的排查順序
排查時應從錯誤發生的位置開始，而不是一次重新安裝所有元件。客戶端無法開啟、訂閱無法更新、系統拒絕授權、通道啟動後沒有流量，分別屬於安裝、設定、權限與路由層問題。保留原始錯誤文字，比只描述「連不上」更有價值。
- 確認一般網路可用。中斷客戶端後測試常用網站，排除 Wi-Fi、閘道或驗證頁面的問題。
- 檢查訂閱更新結果。若遠端請求失敗，請重新從服務面板複製連結，並確認沒有多餘空格。
- 檢查協定相容性。線路被略過或顯示未知欄位時，請改用支援對應協定的 macOS 客戶端。
- 檢查系統設定中的 VPN 設定、網路延伸功能與隱私權與安全性提示，處理先前被拒絕的授權。
- 退出其他 VPN、代理、防火牆或內容過濾應用程式，避免網路延伸功能爭用同一流量路徑。
- 切換至另一條已知可用的線路，判斷是單一設定異常，還是客戶端整體無法建立通道。
- 恢復基本模式後再測試，暫時撤銷自訂 DNS、複雜分流與手動傳輸參數。
- 查看客戶端記錄中的連線階段，但分享前請遮蓋訂閱 token、伺服器驗證資訊與本地帳戶路徑。
系統提示延伸功能遭封鎖
先確認提示中的應用程式與開發者資訊，是否對應目前安裝的客戶端，再前往「隱私權與安全性」處理系統封鎖項目。核准後依系統明確提示重新開啟應用程式或重新啟動。若設定中完全沒有對應項目，退出客戶端後重新觸發一次連線請求，比連續重複安裝更容易取得清楚狀態。
匯入成功但所有線路都無法連線
先判斷訂閱是否只是成功解析，而非代表服務端一定可連達。切換不同協定線路，有助於確認是某類傳輸不相容，還是整個本地網路限制了連線。如果所有線路都在建立本地通道前失敗，請檢查權限；如果通道已建立但握手失敗，請檢查系統時間、協定支援、線路設定與目前網路環境。
連線後網頁完全無法開啟
這通常與 DNS、預設路由或多個網路延伸功能衝突有關。先關閉自訂 DNS 與進階分流，保留客戶端預設設定；再退出其他會修改網路路徑的工具。若恢復基本設定後即可使用，逐項重新啟用設定，就能找出造成中斷的項目。
休眠喚醒後失去連線
Mac 喚醒後，網路介面、Wi-Fi 位址與預設路由可能會重新建立。支援自動重新連線的客戶端會嘗試恢復通道，但舊工作階段不一定仍然有效。請先手動中斷再連線；若問題持續，檢查背景執行權限、自動重新連線設定，以及網路切換後訂閱線路是否仍可連達。
完成設定後的日常維護
連線穩定後，保留遠端訂閱並定期使用客戶端的更新功能。不要為了更新線路而反覆刪除訂閱，因為重新加入可能會覆蓋自訂策略群組或分流規則。更新前若客戶端支援設定備份，可以先匯出不含敏感憑證的規則部分。
客戶端升級後若出現異常，先閱讀版本說明中與網路延伸功能、協定核心及設定格式相關的變更。macOS 系統升級也可能要求重新確認網路延伸功能。此時應檢查原有 VPN 設定是否仍存在，而不是直接認定訂閱已失效。
不再使用某個客戶端時，先在應用程式內中斷連線並刪除其 VPN 設定，再依軟體提供的解除安裝方式移除延伸功能。只將應用程式拖入垃圾桶，可能不會同步清理系統網路設定。解除安裝完成後，請在系統網路設定中確認沒有殘留的停用設定。
最後保留一套簡單的複測方法：啟動客戶端、選擇線路、檢查出口、驗證 DNS、開啟目標應用程式。之後遇到連線問題，沿用相同順序，就能快速判斷變化來自本地網路、系統授權、客戶端設定或遠端線路。