这篇 Mac VPN 安装教程按实际操作顺序展开：先获取匹配的客户端，再处理权限、导入订阅，最后验证出口。判断成功不能只看“已连接”；还要确认目标应用确实经过所选线路，并在退出客户端后恢复正常网络。
安装前：核对芯片、来源与订阅
打开苹果菜单中的“关于本机”，确认 Mac 使用 Apple 芯片还是 Intel 处理器，并查看 macOS 版本。下载页若分别提供不同架构，就选择与设备对应的版本；标注 Universal 的应用通常同时包含对应架构。系统版本要求以下载页说明为准，不要仅凭安装文件能打开就判断兼容。
VPNGuest 用户可以进入客户端入口，登录后获取客户端与订阅信息。macOS 客户端可在登录后下载，使用订阅前还需确认面板中的套餐状态。无需邮箱地址，用户名加密码即可注册；请妥善保存登录凭据，避免把账户密码与订阅地址混放在公开笔记里。
客户端负责读取配置、选择线路和处理网络流量；订阅则提供它能够识别的线路配置。二者需要匹配。支持 Shadowsocks 不代表能读取所有订阅格式，也不代表同时支持 VMess、Trojan、VLESS、Hysteria2 或 TUIC。协议名称相似也不能互换，具体以面板提供的客户端指引为准，本文不把这些协议列为 VPNGuest 的支持承诺。
- ✅ 已确认芯片类型、系统版本与客户端兼容要求。
- ✅ 安装文件来自面板指向的来源或开发者正式发布渠道。
- ✅ 已找到适用于所选客户端的订阅入口，并确认账户状态。
- ✅ 已记录当前网络是否能正常访问普通网站，方便后续对照。
安装客户端：先完成应用验证
如果下载的是磁盘映像，打开后按说明将应用拖入“应用程序”，再从该目录启动；如果是安装器，则按安装向导操作。不要长期从磁盘映像里运行客户端，否则后续更新、辅助组件定位或权限记录可能出现混淆。安装完成后可以推出磁盘映像，保留正式安装的应用。
首次启动时，macOS 可能提示这是从互联网下载的应用。先核对应用名称和来源，再决定是否打开。如果系统显示无法验证开发者，或提示应用已损坏，不要直接照搬终端命令移除隔离标记。应先重新从正式渠道下载，确认架构、系统要求与发布说明；仍有问题，再向提供方查询兼容情况。
“隐私与安全性”中可能出现针对本次启动的允许选项，但只有在来源已核实、且系统确实提供该选项时才考虑使用。安全告警不只是安装障碍。不要为运行网络客户端关闭系统完整性保护，也不要安装陌生来源要求的根证书。普通加密连接不等于需要取得浏览器 HTTPS 解密权限。
系统权限：看清弹窗对应的功能
不同客户端接管网络的方式不同，因此弹窗不完全相同。有的仅设置系统代理，有的使用 Network Extension 建立隧道，还有的需要辅助程序创建虚拟网卡或修改路由。系统设置中的入口名称也会随 macOS 版本变化，可在设置内搜索“VPN”“扩展”或“代理”，不必强求与截图逐字一致。
| 提示或设置 | 通常对应什么 | 应该怎样处理 |
|---|---|---|
| 添加 VPN 配置 | 允许应用创建系统管理的隧道配置 | 确认发起应用正确，再允许；这不代表订阅已导入。 |
| 网络扩展或网络过滤器 | 由扩展处理隧道或过滤流量，具体取决于应用 | 核对开发者及用途，仅启用当前客户端需要的项目。 |
| 安装辅助工具并验证管理员身份 | 执行修改路由等需要较高权限的操作 | 确认来自刚启动的应用，不向网页输入系统管理员密码。 |
| 系统代理被修改 | 支持系统代理的应用把请求交给本地代理 | 通过客户端管理；退出后检查是否仍残留代理设置。 |
权限被拒绝后，连续点击连接通常不能解决问题。先停止连接，在系统设置中查看是否仍有待确认项目，允许后按客户端提示重新启动应用；只有系统明确要求时再重新启动 Mac。若设备受单位管理，相关权限可能被管理策略限制，应联系设备管理员，而不是尝试绕过管理配置。
旧版 VPN、网络过滤器、防护软件或其他代理工具可能同时修改路由和 DNS。首次配置时，先暂停不必要的其他网络接管工具，保留当前客户端，再观察现象。不要一开始就批量删除系统网络服务；那会把问题从单个应用扩展到整个网络环境。
导入订阅：先确认格式，再更新配置
订阅链接通常包含账户对应的访问凭据，应像密码一样保护。复制时使用面板提供的复制入口，避免把说明文字、换行或多余空格一起带入。不要把完整地址粘贴到公开订阅转换网站，也不要在求助截图里展示地址中的令牌。
- 找到导入入口。在客户端查找“订阅”“配置”或“从 URL 导入”。界面名称不同，但目标是新增远程配置，而不是把订阅地址填入手动代理服务器栏。
- 添加并更新。粘贴匹配当前客户端的订阅地址，保存后执行更新。若面板支持唤起应用，仍要检查应用内是否真正生成了配置。
- 检查解析结果。确认出现可选择的线路、分流规则或策略组。只显示订阅名称，却没有线路，不算导入完成。
- 选中当前配置。部分客户端允许保存多个配置，新增后不一定自动切换。确认当前启用的是刚更新的配置，再选择线路。
出现“格式错误”时，先检查是否拿错客户端专用链接；出现认证或访问失败时，先核对账户状态、地址是否完整，以及面板是否更新过订阅凭据。若订阅能更新而线路不能连接，则配置获取已经完成，排查重点应转向线路选择、协议兼容和本地网络，而不是反复重新安装应用。
不要为了让导入“成功”而随意修改配置中的服务器地址、TLS 校验或协议字段。订阅更新可能覆盖本地修改，错误改动还会引入新的故障。确需自定义规则时，优先使用客户端支持的覆写或本地规则功能，并保留可恢复的原始配置。
选择模式：系统代理与分流有什么区别
系统代理通常适合作为首次验证的起点：浏览器及遵循系统代理设置的应用会把相应请求交给客户端，但并非所有程序都读取该设置。终端工具、游戏或自带网络栈的应用可能继续直连，因此浏览器访问正常不能证明所有应用都已接管。
虚拟网卡模式常被标为 TUN，可在网络层接管更广范围的流量，但实际覆盖仍取决于路由、排除项、DNS 设置和客户端实现。它往往需要额外权限，也更容易与其他隧道或过滤器冲突。只有目标应用无法通过系统代理工作，或有明确接管需求时，再按客户端文档启用。
规则模式决定哪些请求走代理、哪些直连；全局模式通常是让被客户端接管的请求统一使用所选策略，并不自动保证设备所有流量都进入隧道。首次使用可保留服务提供的默认规则。若单个网站异常，查看它命中的规则和实际使用的策略组，比直接长期切到全局更容易找出原因。
线路类型和本地接管模式也不是一回事。IEPL 专线描述的是服务网络中的专线传输环节，中转线路通过中间节点转发，直连则强调客户端直接连接相应服务端。它们不能替代本机权限、DNS 或分流配置，也不意味着任何应用都能自动生效。
验证连接：出口、DNS 与应用分别检查
连接前先查看一次当前出口，连接后再用同一个浏览器打开网络检测页，对比出口地址与地区。检测结果反映的是本次请求的出口，不是 Mac 的物理位置。若所选线路与结果不一致，先确认检测请求是否被规则分配为直连，以及策略组是否真正选中了目标线路。
接着打开实际要使用的网站或应用，完成正常浏览操作。网页首页可打开，但登录、图片或视频失败，可能是不同域名命中了不同规则，也可能是目标平台的地区或账户限制。不要把所有网站报错都归结为客户端安装失败，更不要仅凭线路标签判断目标平台一定可用。
DNS 检查要单独看。网页请求经过代理，不代表域名查询也沿相同路径发出；反过来，解析器位置不同也不能单独证明泄漏。需要结合客户端的 DNS 模式、分流设计和检测请求判断：如果预期通过隧道解析的查询仍交给本地网络解析器，才应继续检查是否存在非预期路径。浏览器的加密 DNS 设置也可能改变解析方式。
Mac 可能同时具备不同地址族的连接能力。若隧道只接管其中一类流量，另一类请求仍可能走原网络。遇到出口结果反复变化，应查看客户端是否支持并正确配置相应路由，而不是只以某次检测为准。最后断开客户端，确认普通网络恢复，再重新连接一次，检查权限和配置是否能够持续生效。
常见故障：按现象缩小范围
显示已连接，但网页打不开
先断开连接，确认原网络能访问普通网站。原网络也不通时，应先处理 Wi-Fi、路由器或网络登录页面。原网络正常时，再检查配置是否选中、策略组是否有有效线路、系统代理或隧道是否启用。可以换用订阅中的其他线路作对照，但每次只改一个变量，并记录结果。
浏览器正常，其他应用仍然失败
先确认失败应用是否读取系统代理，再查看客户端日志中是否出现该应用的连接记录。没有记录可能意味着流量未进入客户端；有记录但失败，则继续查看命中规则和错误类型。日志用于定位问题，不代表日志里展示的每个域名都应加入代理规则，也不应直接公开完整日志。
反复请求权限，或网络扩展无法启用
检查是否同时保留旧版本客户端、是否从磁盘映像启动，以及系统设置是否还有待批准项。随后按开发者说明退出并重新启动应用。若需要重装，先通过客户端关闭接管功能，再按官方卸载流程处理辅助组件；单纯把应用拖进废纸篓，不一定能清理已安装的网络扩展。
退出客户端后断网
常见原因是系统代理仍指向已停止运行的本地服务。打开当前网络服务的代理设置，核对是否存在客户端留下的代理项；也检查 VPN 是否仍保持连接。优先重新打开原客户端，正常关闭系统代理和隧道，再退出。仅在确认这些设置属于该客户端时才手动清理，受管理设备的代理不应随意更改。