客户端显示「已连接」,浏览器却打不开页面,或者出口地址根本没有变化——这类现象大多出在扩展授权与配置授权两步上。macOS 把第三方 VPN 的隧道收进了系统的 NetworkExtension 框架,客户端不再自己实现隧道,而是安装一个系统扩展,再向系统申请一份 VPN 配置。两步中任何一步被拒绝,连接状态都可能照常显示,流量却没有进隧道。
macOS 装 VPN 的三个卡点
先按顺序把这三处过一遍,大部分「装不上」的问题会在这一步解决。
卡点一:系统扩展没有启用
安装完成后,到系统设置 → 通用 → 登录项与扩展 → 扩展 → 网络扩展,能看到客户端的条目,默认是关闭状态。打开时系统会要求输入管理员密码,部分客户端还会提示重启。这一项没开,客户端的 TUN 模式建不起来,表现就是「连上了但打不开网页」。
卡点二:VPN 配置授权被点掉
首次连接时系统会弹窗,询问是否允许客户端添加 VPN 配置。误点「不允许」之后弹窗不会再来,客户端只会反复报添加失败。恢复路径是系统设置 → 隐私与安全性,在底部找到对应条目手动允许;如果列表里已经没有这一项,删除客户端重装比翻开关更快。
卡点三:iCloud 私有中继叠加
开启 iCloud 私有中继后,Safari 的流量会先经过 Apple 的中继节点。与 VPN 同时开启时两段代理叠加,常见表现是客户端显示已连接、出口地址却没有变化,或者个别站点出现证书与地区判断异常。排查时先到系统设置 → Apple 账户 → iCloud → 私有中继临时关闭,再重测一次出口地址。
误点「不允许」之后系统不会再次弹窗,这是 macOS 上最容易被忽略的一处。遇到「添加 VPN 配置失败」,先查隐私与安全性里的开关,再怀疑客户端本身。
| 卡点 | 典型现象 | 处理位置 | 是否需要重启 |
|---|---|---|---|
| 系统扩展未启用 | 显示已连接,菜单栏没有 VPN 标识,网页打不开 | 系统设置 → 通用 → 登录项与扩展 → 网络扩展 | 多数需要 |
| VPN 配置授权被拒 | 反复提示添加配置失败,连接按钮无反应 | 系统设置 → 隐私与安全性 | 否 |
| iCloud 私有中继 | 已连接但出口地址不变,个别站点异常 | 系统设置 → Apple 账户 → iCloud → 私有中继 | 否 |
芯片兼容:M 系列与 Intel 机型差异
Apple 芯片和 Intel 机型跑同一套 macOS,但二进制包体与扩展加载方式不同。同一款客户端在两个平台上表现不一致,通常就出在这两处。
包体架构与转译开销
客户端如果只提供 Intel 包体,在 Apple 芯片上会由 Rosetta 转译层运行。隧道转发是系统调用密集的路径,多一层转译意味着握手更慢、CPU 占用更高,长时间挂着还会加快耗电。选提供 arm64 或 Universal 包体的客户端,能省掉这一层。
系统扩展与内核扩展
早期 VPN 客户端用内核扩展实现隧道,Apple 芯片机型加载这类扩展需要降低启动安全性并重启进入恢复模式,对普通用户是明显的门槛。现在主流方案已经迁移到 NetworkExtension 系统扩展,不再需要改动启动安全性。如果一个客户端仍要求「降低安全性」,基本可以判断它没有完成迁移,不建议在主力机器上使用。
系统扩展还必须经过签名与公证。签名无效的扩展会被直接拒绝加载,报错通常只出现在「隐私与安全性」底部的一行提示里,客户端自己的错误文案反而很含糊,排查时容易被带偏。
| 项目 | Apple 芯片(M 系列) | Intel 机型 |
|---|---|---|
| 推荐包体 | arm64 或 Universal | x86_64 |
| 转译层 | 纯 Intel 包体会经 Rosetta 转译,握手与转发多一层开销 | 不涉及 |
| 系统扩展加载 | 需在登录项与扩展中手动启用 | 同样需要手动启用 |
| 内核扩展 | 需降低启动安全性,不建议 | 可加载,同样不推荐 |
| 签名要求 | 扩展必须签名并公证,否则拒绝加载 | 同上 |
协议与客户端:macOS 上怎么选
macOS 上的客户端大多基于 Clash/mihomo 或 sing-box 内核,界面只是外壳,真正决定体验的是内核支持的协议与分流能力。订阅链接导入之后,内核按规则决定哪些域名走隧道、哪些直连,这也是同一份订阅在不同客户端上表现不同的原因。
订阅链接的好处是节点调整时客户端更新一次即可,不必手动改配置;手动导入的配置文件在服务端调整后会失效,需要重新导出。长期使用建议走订阅链接。
协议层面没有绝对优劣,要看所处的网络环境。
| 协议 | 传输 | 特征 | 适合的场景 |
|---|---|---|---|
| Shadowsocks | TCP / UDP | 结构简单,额外开销低 | 日常网页、文档与下载 |
| VMess | TCP、WebSocket、gRPC 等 | 传输组合多,配置项也多 | 需要灵活搭配传输时 |
| Trojan | TLS over TCP | 外观接近普通 HTTPS 流量 | 对伪装要求较高的网络 |
| VLESS | TLS / XTLS | 无内置加密层,由 TLS 保证安全 | 与 TLS 组合使用 |
| Hysteria2 | QUIC(UDP) | 弱网与高丢包环境下握手更快 | 移动网络、跨境长链路 |
| TUIC | QUIC(UDP) | 延迟低,但对 UDP 质量敏感 | UDP 未被限制的网络 |
TUN 模式与系统代理模式
TUN 模式通过虚拟网卡接管全部流量,包括不读取系统代理设置的命令行工具;系统代理模式只把地址写进系统代理设置,终端里的 curl、git 默认不会走代理。Mac 上判断客户端用的是哪种模式,看菜单栏图标与网络设置里是否多出一块虚拟网卡即可。
分流规则决定实际体验
全局模式把所有流量塞进隧道,访问国内站点也要绕一圈,速度反而更差;规则模式按域名与 IP 分流,国内直连、国外走隧道,是 Mac 上的常规配置。规则列表需要定期更新,过期的规则会把新域名判断错,表现为个别站点打不开或加载变慢。
装完怎么验证:四步排查顺序
连接成功不等于生效。按下面的顺序走一遍,能定位到具体是哪一层出了问题。
- 查出口地址:连接前后各打开一次 IP 查询页,对比出口地址与归属地。地址没变,说明流量没有进入隧道,先回到权限一节。
- 查 DNS 解析:用 DNS 泄漏检测确认解析请求来自隧道出口一侧。仍显示本地运营商,说明分流规则把 DNS 放行到了直连。
- 看分流规则:规则模式下国内域名走直连是预期行为。要确认某个域名是否走隧道,看客户端连接日志里命中的规则名,而不是凭打开速度判断。
- 换协议复测:TCP 类协议握手正常但速度不稳时,换 Hysteria2 或 TUIC 试;反过来,如果所在网络对 UDP 限制严格,退回 Trojan 或 VLESS over TCP 更稳。
- ✅ 出口地址与所选节点所在地一致
- ✅ DNS 解析结果显示为隧道出口一侧的解析器
- ✅ 客户端日志里目标域名命中代理规则
- ✅ 终端里的 curl 也能返回海外地址,说明走的是 TUN 模式
- ❌ 出口地址仍是本地运营商,流量没有进入隧道
- ❌ 只有浏览器生效、其他应用不走代理,多半停留在系统代理模式
先验证再付费:出口地址与 DNS 解析两项都符合预期,再决定是否长期订阅。VPN31 提供 14 天无理由退款,验证的时间成本不高。
Mac 上挑 VPN 看哪些指标
权限与协议解决「能不能用」,下面几项决定「用得顺不顺」。
覆盖与线路数量决定可选节点的余地,台数决定能不能和家人共用一份订阅。VPN31 的账户不限台数,同一份订阅可以在 Mac、手机与平板上同时登录;注册只需用户名与密码,无需邮箱地址;计费侧提供 14 天无理由退款,可以按上一节的方法验证之后再决定是否长期使用。
另一项是日志策略。VPN31 不记录日志,这一点写在隐私说明里,属于立场陈述而非技术保证;对隐私敏感的用户,还应自行确认客户端本地的连接日志是否会被上传。
线路类型:直连、中转与 IEPL 专线
- 直连:客户端直接连海外节点,路径最短,但完全暴露在国际出口的拥塞里,晚高峰波动最明显。
- 中转:先接入中转入口再出海,多一跳,换来的是绕开部分拥塞路径,稳定性好于直连。
- IEPL 专线:走运营商专线通道,不经过公网国际出口,晚高峰的丢包与抖动最小,成本也最高。
只在 Mac 上浏览网页、偶尔看 4K 视频,直连与中转够用;需要长时间挂着开会、传文件,或者对晚高峰敏感,优先选带 IEPL 专线的线路。
流量档位怎么选
| 档位 | 价格 | 流量 | 说明 |
|---|---|---|---|
| 月订阅 | ¥9.9/月 | 60GB | 流量按开通日每月重置 |
| 月订阅 | ¥18/月 | 250GB | 流量按开通日每月重置 |
| 月订阅 | ¥28/月 | 500GB | 流量按开通日每月重置 |
| 流量包 | ¥158 | 300GB | 用完为止,永久不过期 |
| 流量包 | ¥358 | 1000GB | 用完为止,永久不过期 |
| 流量包 | ¥658 | 3000GB | 用完为止,永久不过期 |
选购结论:只在 Mac 上用、以网页与文档为主,¥9.9/月 的 60GB 档够用;经常看 4K 或者手机、平板同时挂着,¥18/月 的 250GB 档更合适;不想按月续费就选流量包,用完为止、永久不过期。中途升级套餐时,差价按剩余天数折算。
常见问题与收尾建议
浏览器能上网,终端不走代理
系统代理模式只写入系统代理设置,终端里的 curl、git、brew 默认不读取。要么在 shell 里显式设置代理环境变量,要么改用 TUN 模式,由虚拟网卡接管全部流量。
卸载后还有残留的 VPN 配置
客户端卸载不会自动清理 VPN 配置。到系统设置 → VPN 里删除残留条目,再到登录项与扩展里移除对应扩展,否则装下一个客户端时可能出现配置冲突。
升级 macOS 之后失效
系统大版本升级会重置扩展授权。升级后重新到登录项与扩展里启用网络扩展,再连一次即可,不需要重装客户端。
同一份订阅能不能给别的设备用
可以。账户不限台数,Mac、手机、平板共用一份订阅即可,不必为每台设备单独付费;条款范围内的并发使用不会互相挤掉。
该不该一直开着
Mac 上常开 VPN 的代价是待机耗电,以及打印机、投屏、局域网共享这类本地服务不可达。更实际的做法是把局域网与国内域名放进直连规则,只让需要的流量走隧道,而不是全局代理。
结论:macOS 上挑 VPN,先看客户端有没有完成系统扩展迁移,再看线路类型与流量档位,最后用出口地址与 DNS 解析两项验证是否真的生效。权限没放行时,换什么协议都跑不起来。