Mac VPN 使用教學：macOS 從安裝、授權到匯入訂閱

設定 Mac VPN 時，重點不在先開啟哪個開關，而是讓用戶端、訂閱設定與網路流量接管方式彼此配合。先安裝可信任的用戶端，再依功能授予權限、匯入相容的訂閱，最後確認實際連線結果。介面顯示「已連線」，只代表連線程序已完成，不能單憑這點判斷目標應用程式是否真的使用所選線路。

安裝前：先確認用戶端與訂閱是否相容

一般所說的 Mac VPN，可能是使用系統 VPN 設定的應用程式，也可能是透過系統代理或隧道模式轉送流量的代理用戶端。兩者的安裝畫面看似相近，設定卻不一定通用。不要將訂閱連結直接貼到 macOS 的系統 VPN 設定中；除非服務明確提供系統支援的連線類型與對應參數，否則通常應在相容的用戶端中匯入。

Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 是不同的代理協定或實作架構，不是訂閱檔案格式。用戶端支援某種協定，也不代表能讀取任何服務產生的訂閱。設定格式、協定支援與用戶端版本都必須相符，請以服務提供的用戶端說明為準。

• ✅ 在「關於這台 Mac」確認使用 Apple 晶片或 Intel 處理器，並選擇相符的安裝檔；通用版本請參考發布說明。
• ✅ 從服務控制台或用戶端專案的官方發布頁面取得安裝檔，並核對應用程式名稱與開發者資訊。
• ✅ 確認目前的 macOS 版本在用戶端支援範圍內，再查看訂閱應匯入哪個應用程式。
• ❌ 不要把陌生人提供的訂閱轉換網站當成必要步驟，轉換過程可能會暴露訂閱憑證。

使用 BaiVPN 時，可前往使用者控制台的下載入口查看相容性說明。本文不公開實際訂閱網址，也不提供安裝檔直連，以免舊檔案與敏感憑證長期流傳。

安裝用戶端：先正常開啟，再處理權限

1. 完成安裝。如果取得的是磁碟映像檔，開啟後依照提示將應用程式拖移至「應用程式」資料夾；如果是安裝程式，請閱讀每個安裝步驟。不要一直從暫時掛載的映像檔執行應用程式。
2. 首次啟動。從「應用程式」資料夾開啟用戶端，確認提示視窗指向剛安裝的應用程式。系統可能會要求確認此應用程式是從網際網路下載，或要求授權安裝輔助元件。
3. 確認安全提示。如果系統提示無法驗證開發者，請先回到官方說明，檢查簽章、相容性與檔案來源。只有在確認來源可信，且官方流程明確要求時，才依照系統提供的方式繼續。
4. 先不要連線。先確認用戶端採用系統代理、網路延伸功能或隧道模式，不必為了消除提示而一次開啟所有權限。

不要透過關閉系統完整性保護、停用整機安全檢查，或執行來源不明的終端機指令來解決安裝問題。遇到「應用程式已損毀」等提示，應先重新下載並核對官方說明，而不是直接略過驗證。

macOS 的設定名稱會隨版本而異。新版通常在「系統設定」中管理，舊版則可能稱為「系統偏好設定」。建議使用設定中的搜尋功能查找「VPN」、「延伸功能」或「隱私權與安全性」，不必照著其他版本的截圖逐項尋找。

權限提示：系統代理與隧道模式有何不同

用戶端要求的權限應該對應明確功能。系統代理主要影響遵循系統代理設定的應用程式；隧道模式通常透過虛擬網路介面接管更多流量。不同用戶端的實作方式各異，有些使用 Network Extension，有些需要輔助服務，因此並非每個應用程式都會出現核准系統延伸功能的提示。

如果曾拒絕必要權限，請回到系統設定中尋找對應的應用程式或設定，並依照用戶端文件重新啟用。不要順手刪除公司管理的網路設定。受管理的 Mac 可能限制安裝網路延伸功能，此時應聯絡裝置管理員，而不是反覆輸入密碼嘗試略過限制。

首次設定時，不要同時執行多個會接管網路的代理或 VPN。這些工具可能互相爭用預設路由、系統代理或 DNS 設定，造成其中一個顯示連線成功，另一個卻將要求送往不同的出口。

匯入訂閱：連結不是網頁，也不是登入密碼

訂閱連結通常包含用來取得設定的憑證。它可能會傳回節點清單，也可能傳回包含規則、策略群組與 DNS 設定的完整檔案。能在瀏覽器開啟連結，不代表目前的用戶端就能解析；看到一段設定文字，也不代表需要逐項手動複製。

1. 從控制台取得訂閱。登入自己的使用者控制台，尋找與目前使用的用戶端相對應的訂閱入口。複製時請保留完整連結，不要加入空格、換行或通訊軟體附帶的標點符號。
2. 在用戶端新增設定。前往訂閱、設定或設定檔頁面，選擇從連結匯入。為設定取一個容易辨識的本機名稱，再執行更新。
3. 確認匯入結果。檢查是否出現節點或策略群組、更新有無錯誤，以及目前啟用的設定是否就是剛匯入的那一份。
4. 選擇線路並連線。先保留服務提供的預設規則，選擇符合目標用途的線路，再啟用所需的代理或隧道模式。

如果出現「不支援的格式」，請先核對訂閱類型，不要反覆將連結匯入不同用戶端。如果提示驗證失敗，請回到控制台確認訂閱是否仍有效。如果更新逾時，請確認基本網路連線正常，再依照官方說明檢查取得訂閱是否需要特定網路路徑。

請像保管密碼一樣妥善保管訂閱連結。提交螢幕截圖或客服單前，請遮住完整網址、QR Code 與權杖。懷疑連結外洩時，請使用控制台提供的重設功能，並更新自己裝置上的設定。

首次連線：流量分流規則比節點名稱更重要

規則模式通常會依網域、位址或應用程式等條件，決定要直接連線或使用代理，適合需要兼顧本地服務的日常使用。全域代理模式則通常會將進入該代理引擎的流量交由所選策略處理；這不代表系統所有流量都會自動交由代理接管，涵蓋範圍仍取決於系統代理、隧道與排除設定。

如果瀏覽器能存取目標網站，某個桌面應用程式卻不行，請先確認該應用程式是否遵循系統代理設定。命令列工具、部分應用程式與瀏覽器可能各自設有代理。若需要涵蓋更多流量，再依照用戶端文件啟用隧道模式，並確認是否影響區域網路、公司內網與虛擬機器網路。

線路標示的 IEPL 專線、中轉或直連，描述的是網路路徑的組織方式，與 Mac 本機權限並非同一層面的問題。IEPL 通常涉及透過電信業者專線承載；中轉會透過中間節點轉送；直連則通常不經過服務安排的中轉入口。實際路徑仍應以服務說明為準。任何標示都不能取代在目前網路與使用時段下的實際測試。

確認連線生效：同時檢查存取、出口與 DNS

先在未連線時確認一般網路正常，再連接用戶端並重新開啟目標應用程式測試。不要只重新整理可能使用快取的頁面。查看用戶端連線記錄，確認目標要求符合預期規則與策略；如果記錄顯示為直連，通常無法只靠切換節點解決規則選擇錯誤。

• ✅ 目標網站與實際使用的應用程式都能正常操作，而不只是開啟首頁。
• ✅ 使用可信任的出口查詢工具輔助檢查，確認結果符合預期線路；地區資料庫可能有誤差，不能只憑城市名稱下結論。
• ✅ 查看用戶端的 DNS 與路由設定，確認解析要求依預期處理，同時留意瀏覽器的安全 DNS 是否使用其他路徑。
• ✅ 中斷連線後再次測試本地網路，確認用戶端能還原代理或路由設定。

DNS 洩漏是指解析要求經由不符合預期的路徑傳送，並不等同於「網頁無法開啟」。在規則分流模式下，本地域名依設計使用本地解析，不一定代表發生洩漏；反過來說，出口位址改變，也不能證明 DNS 已依預期接管。判斷時須一併檢視瀏覽器的加密 DNS、用戶端 DNS 與系統解析器設定，不應只因看到陌生的解析器名稱就下結論。

也應將 IPv6 納入檢查：如果只有部分位址類型進入隧道，實際要求可能會經由不同路徑傳送。請優先使用用戶端支援的完整設定進行排查，不要把永久停用系統網路功能當成預設解法。

常見故障：依發生問題的位置逐步排查

顯示已連線，但網頁無法開啟

先中斷用戶端連線，確認基本網路正常，再檢查目前設定、策略群組與系統代理是否已啟用。如果網域解析失敗，請查看 DNS 記錄；如果連線逾時，再試試同一地區的其他線路。每次只變更一項設定，並記下錯誤時間與提示，才能判斷問題出在規則、解析或線路。

權限提示反覆出現，或休眠後無法恢復

確認應用程式已放入「應用程式」資料夾，且沒有同時執行舊版本。重新啟動用戶端後，檢查網路設定是否被其他工具覆寫；若需重新安裝輔助元件，請只使用該用戶端的正式維護流程。從休眠狀態喚醒後若出現異常，可先中斷再重新連線，不必立刻刪除所有網路設定。

結束應用程式後，一般網路也無法連線

檢查系統是否仍留有指向本機的代理設定，以及 VPN 設定是否仍處於連線狀態。建議先重新開啟原用戶端，使用它的中斷連線或還原功能進行清理。若必須手動修改，請先記錄原始值，只調整能確認屬於該用戶端的項目。更多分類排查方式請參閱疑難排解手冊。