macOS 从零开始:安装客户端、授予系统权限、导入订阅完整教程

安装前准备：客户端、架构与订阅信息

先登录服务面板，在下载区域取得适用于 macOS 的客户端，并在订阅区域复制自己的订阅链接。客户端安装包与订阅链接承担不同职责：安装包提供连接能力，订阅链接提供节点、协议和更新入口。只安装客户端而不导入订阅，通常不会出现可连接线路。

确认处理器架构

Mac 可能使用 Apple 芯片，也可能使用 Intel 处理器。下载页如果分别提供安装包，应选择与本机架构一致的版本；如果提供通用安装包，则可以直接使用。架构不匹配时，常见表现是应用无法打开、启动后立即退出，或者系统要求额外的兼容运行环境。

可在系统的“关于本机”页面查看芯片或处理器信息。这里不需要修改任何系统参数，只需让安装包类型与设备匹配。若客户端同时提供图形界面版和命令行版，新手应优先选择图形界面版，便于观察订阅更新时间、当前线路和代理模式。

区分客户端支持的协议

订阅中的线路可能使用 Shadowsocks、VMess、Trojan、VLESS、Hysteria2 或 TUIC。客户端必须支持对应协议，才能解析并建立连接。导入后线路列表为空，不一定是订阅失效，也可能是客户端版本过旧，或当前客户端不认识订阅里的协议字段。

• ✅ 安装包来自服务面板或客户端官方发布渠道。
• ✅ 已确认本机处理器架构与安装包匹配。
• ✅ 已复制完整订阅链接，并保存在非公开位置。
• ✅ 系统日期、时间与时区处于自动同步状态。
• ❌ 不从不明转载页面下载经过重新封装的安装包。

安装客户端并授予系统权限

打开下载的安装包后，按提示将应用放入“应用程序”目录，再从该目录启动。直接在磁盘映像或下载目录里长期运行，可能导致自动更新、辅助进程或权限保存异常。首次打开时，macOS 会检查开发者签名，并可能提示应用需要添加 VPN 配置或网络扩展。

为什么需要网络扩展权限

系统代理模式主要修改 macOS 的代理设置，让遵循系统代理的应用把流量交给本地客户端。隧道模式则通过 Apple 提供的网络扩展接口接管更广泛的网络连接。无论采用哪种方式，客户端都不应通过绕开系统安全机制来获得权限；正确做法是响应 macOS 自己显示的授权窗口。

当系统询问是否允许添加 VPN 配置、网络扩展或过滤网络内容时，先核对弹窗中的应用名称，再按系统提示确认。部分操作会要求输入当前 Mac 用户的登录密码或使用本机身份验证，这是 macOS 授权系统设置变更的正常流程，并不是订阅服务在收集凭据。

1. 将客户端移动到“应用程序”目录并启动。
2. 阅读系统弹窗，确认申请权限的应用名称正确。
3. 允许添加 VPN 配置或启用网络扩展。
4. 返回客户端，确认状态栏中没有“权限未授予”提示。
5. 暂时不要启用全局模式，先完成订阅导入和基础验证。

权限弹窗没有出现怎么办

先退出客户端，再从“应用程序”目录重新打开。随后进入系统设置中的隐私与安全区域，查看页面底部是否存在被阻止的系统软件或扩展提示；也可以在网络相关设置中查看是否已经生成对应的 VPN 配置。已经授权过的客户端不会每次都重复弹窗，因此“没有弹窗”并不等于权限缺失。

如果系统显示扩展被拦截，应只放行与当前客户端开发者名称一致的项目。放行后按系统提示重新启动客户端或设备。若客户端曾被手动移动、改名或覆盖安装，先彻底退出旧进程，再保留应用名称不变地重新安装，避免授权记录指向旧路径。

导入订阅链接并读取线路

打开客户端的订阅、配置或远程配置页面，选择“从剪贴板导入”或“添加订阅链接”。名称可以自行填写为便于识别的服务名，地址栏则粘贴从面板复制的完整链接。导入后执行一次更新，让客户端从服务器读取当前线路与分组。

订阅链接不是单条节点地址。它通常返回一组经过编码或结构化的配置，其中包含线路名称、服务器地址、端口、协议参数和分组信息。客户端解析完成后，才会把这些内容显示成可选择的节点。以后线路调整时，使用“更新订阅”即可同步，不需要逐条手工修改。

导入成功但没有线路

先观察客户端给出的错误类型。如果是网络请求失败，检查当前网络能否访问订阅地址；如果是解析失败，更新客户端；如果是鉴权或链接无效，回到用户面板重新复制订阅。复制链接时不要带上说明文字、引号、换行或结尾空格，也不要把网页地址误当作订阅地址。

某些客户端允许直接导入单条 Shadowsocks、VMess、Trojan 或 VLESS 分享链接，这与导入订阅不同。单条导入只能得到当前配置，服务端更新线路后不会自动同步。长期使用应保留订阅入口，并让节点列表由订阅更新维护。

选择协议与线路类型

协议决定客户端与服务器如何封装和传输数据，线路类型则描述流量经过的网络路径。直连线路从当前网络直接连接远端节点，路径简单，但质量更依赖本地运营商与国际出口。中转线路先连接入口，再由中转网络送往出口，通常更容易控制跨网路径。IEPL 专线强调相对独立的跨境承载路径，与普通公网直连不是同一概念。

Hysteria2 与 TUIC 基于 QUIC 思路处理传输，在丢包环境下可能表现出不同于传统 TCP 方案的恢复特征；Trojan、VLESS、VMess 与 Shadowsocks 的可用表现也取决于客户端实现、服务器配置和实际网络。不能只根据协议名称判断速度，应在相同网络、相近时段下比较连接建立、网页响应和长连接稳定性。

选择代理模式并验证连接

订阅导入后，先选择一条线路，再启用规则模式或系统代理模式。规则模式根据域名、地址范围和应用请求决定走代理还是直连，适合日常使用；全局模式把更多流量送入远端线路，便于短时诊断，但可能让本地网站、局域网设备或软件更新绕行。直连模式通常表示客户端保持运行，但请求不经过远端节点。

系统代理与隧道模式的差异

系统代理依赖应用遵循 macOS 的代理配置。浏览器和多数常规网络程序通常可以使用，但自行实现网络栈的应用可能忽略它。隧道模式在系统网络层处理连接，覆盖范围更广，也更适合需要 UDP 或完整设备流量接管的场景，不过它会申请更高层级的网络扩展权限。

第一次验证时，不要同时开启两个不同客户端，也不要让浏览器扩展、其他代理工具和系统隧道叠加工作。多个本地代理同时修改系统设置，会出现端口占用、循环代理或关闭客户端后仍残留代理配置等问题。

• ✅ 客户端状态显示已连接，当前线路名称明确。
• ✅ 普通网页与目标国际网站都能正常打开。
• ✅ 关闭连接后，系统网络能够恢复到原有状态。
• ✅ 规则模式下，本地服务和局域网资源仍可访问。
• ❌ 不同时运行多个会接管系统代理的客户端。
• ❌ 不用公开检测页面提交完整订阅地址。

检查 DNS 与分流是否一致

DNS 负责把域名解析为网络地址。若域名请求由本地网络解析，而后续连接却通过远端线路发送，可能出现解析结果与出口地区不一致，也可能形成 DNS 泄漏。排查时应查看客户端的 DNS 模式、分流规则和系统当前使用的解析服务是否互相匹配。

启用隧道模式后，可使用可信的 DNS 检测页面观察解析请求是否仍指向不期望的本地网络。检测结果需要结合客户端配置理解：出现本地解析服务不一定代表连接失败，规则模式本来就可能让直连域名使用本地 DNS；真正需要修正的是本应经过远端线路的域名却持续由错误路径解析。

如果网页能打开但某个应用无法连接，先判断该应用是否忽略系统代理。可以临时切换到隧道模式验证覆盖范围，也可以在客户端规则中检查该应用访问的域名或地址是否被误判为直连。不要把所有异常都归因于节点速度，分流命中错误往往更常见。

常见故障的排查顺序

故障排查应从影响范围最小的操作开始。先刷新订阅和切换线路，再检查模式与权限，最后才考虑重装。直接删除客户端可能同时清除日志、订阅和可用于定位问题的状态，反而不利于判断故障发生在哪一层。

扩展被拦截或连接按钮无响应

打开系统设置的隐私与安全区域，确认是否有待批准项目；再查看网络设置中的 VPN 配置是否启用。若配置存在但客户端仍提示未授权，退出客户端并重新启动。仍无响应时，移除对应的旧网络配置，再由客户端重新发起添加请求，过程中只处理与该客户端匹配的项目。

订阅更新失败

先确认基础网络可用，再重新复制订阅地址。若浏览器能访问服务面板，但客户端无法更新，检查系统时间、客户端版本以及是否存在另一个代理工具拦截请求。订阅地址已经泄露或被重置时，应在面板生成新的入口，并从所有客户端中删除旧配置。

连接后无法打开网页

依次尝试更新订阅、切换线路、改用规则模式、检查 DNS 设置。若只有浏览器异常，可关闭浏览器中的独立代理扩展后重试；若所有应用都异常，重点检查隧道权限、系统代理残留和当前网络是否限制了所选传输方式。切换协议用于诊断时，应选择订阅中已有的配置，不要自行猜测服务器参数。

关闭客户端后仍然无法联网

这通常与系统代理未恢复有关。重新打开客户端，先执行断开或关闭系统代理，再正常退出。如果客户端已经无法启动，可进入 macOS 网络设置，检查当前网络服务的代理项目是否仍被启用。清除残留设置后重新连接网络，不必修改路由器或删除其他网络服务。

1. 确认本地网络本身可以访问普通网站。
2. 更新订阅并观察具体错误提示。
3. 切换同一分组中的其他线路。
4. 检查规则模式、系统代理与隧道模式是否冲突。
5. 检查网络扩展、VPN 配置与 DNS 设置。
6. 退出其他代理类工具后再次测试。
7. 保留错误信息，再决定是否重新安装客户端。

日常更新与配置维护

客户端正常运行后，日常维护主要包括更新订阅、更新客户端和检查规则。订阅更新负责同步线路，客户端更新负责支持新的协议字段与系统接口，两者不能互相替代。macOS 更新后如果连接行为变化，应先确认客户端是否兼容当前系统，再重新检查网络扩展状态。

不要频繁创建重复订阅。相同入口被多次导入后，线路列表会出现重名，排查时难以确认实际使用的是哪一组配置。保留一个有效订阅，为它设置清楚的名称，并通过客户端自带的更新功能维护即可。

更换 Mac 时，应从用户面板重新取得客户端和订阅，而不是复制整个应用目录。系统网络扩展的授权记录与本机环境相关，直接迁移旧文件并不能代替新设备上的系统授权。完成迁移后，删除旧设备中的订阅配置，减少链接在不再使用的设备上长期留存。

最后记住完整链路：客户端负责运行，系统权限允许接管网络，订阅负责下发线路，协议负责传输，分流规则决定路径，DNS 负责域名解析。任何一步异常都会表现为“连不上”，但按层检查，就能快速缩小范围。