Mac VPN 设置前：确认客户端与订阅
Mac VPN 设置是否完成，不能只看客户端显示“已连接”。从安装到验证生效，需要确认订阅已导入、线路已选中、应用流量按规则经过代理，并且目标网站能够正常使用。本文按这个顺序操作；不同客户端的菜单名称可能不同，应以下载页说明和当前界面为准。
先打开“关于本机”，确认芯片类型与 macOS 版本，再到用户面板的客户端下载页获取适配版本。若下载页区分 Apple 芯片与 Intel，就选择对应安装文件；若提供通用版本，按说明使用。Windows、Android 与 macOS 的安装文件不能互换。
客户端下载与订阅获取是不同步骤：前者安装连接工具，后者提供线路配置。VPNPB 需登录后获取订阅；开通使用用户名与密码即可，无需邮箱地址。订阅链接通常含有访问凭据，应像密码一样保管，不贴到公开讨论区，也不放进能被他人看到的截图。
安装客户端与处理系统权限
- 下载并安装。从面板说明指向的来源获取文件。磁盘映像通常需要打开后把应用拖入“应用程序”；安装包则按安装向导执行。安装完成后从“应用程序”启动，避免一直在临时挂载的映像中运行。
- 阅读首次启动提示。macOS 可能询问是否打开从互联网下载的应用。核对来源与应用名称后再确认。若提示应用损坏、签名异常或开发者无法验证，先检查下载是否完整、版本是否兼容，并咨询支持，不要通过关闭系统安全检查来跳过原因排查。
- 按需授权网络功能。客户端开启系统代理时可能要求输入本机管理员密码；使用网络扩展或虚拟网络接口时，也可能出现添加 VPN 配置、允许扩展等提示。只批准与刚启动的客户端及其功能相符的请求。
- 确认授权结果。回到客户端查看相关功能是否启用。若提示仍未完成，可在系统设置中检查网络、VPN 或隐私与安全性相关项目。不同 macOS 版本的入口有差异，不要把某个菜单路径当成所有系统的固定位置。
“允许通知”与“允许网络配置”作用不同：通知权限决定能否显示提醒，不决定代理是否工作。也不应把完整磁盘访问权限、辅助功能权限当作所有网络客户端的安装前提。遇到这类请求，先核对官方说明是否解释了具体用途。
系统设置中的 VPN 图标不是唯一判断依据。仅使用系统代理的客户端可能没有传统 VPN 连接图标；反过来，出现图标也不表示每个应用都已按预期分流。后面的出口和应用验证仍然要做。
导入订阅与选择跨境线路
登录面板后找到订阅入口，复制订阅链接。在客户端的配置、订阅或配置文件区域选择“从 URL 导入”等同类操作，粘贴链接并更新。更新成功后，应能看到线路列表。若界面支持多个配置文件，还要确认刚导入的配置处于启用状态。
订阅格式与协议是不同概念。客户端支持某个协议，不代表能读取所有格式的订阅文件。面板若提供客户端专用入口，应优先使用匹配的入口；导入报错时先检查格式兼容性，不要随意删除链接参数，也不要把链接交给来源不明的在线转换工具。
选择线路时，先围绕实际访问的服务决定地区，再观察连接表现。地理距离近不一定体验最好，国际路由、当地网络和目标服务都会影响结果。VPNPB 提供 110+ 国家、240+ 线路；具体可选项目以面板和订阅更新后的列表为准。
IEPL 专线描述的是专用传输资源，不是客户端协议名称；中转线路通过中间入口转发，直连线路则不经过这类中转入口。线路类型不能单独推导出延迟、速度或平台访问结果。初次设置先固定一个配置和一条线路验证，避免同时换地区、换模式和改 DNS，导致无法定位变化原因。
- ✅ 配置更新后能看到线路名称，且当前配置已启用。
- ✅ 客户端支持所导入配置使用的协议和必要功能。
- ✅ 已主动选择线路；存在自动选择策略时，能确认其实际选中的线路。
- ❌ 不把“订阅更新成功”视为“所有应用已经连接成功”。
系统代理、TUN 与分流规则怎么选
系统代理会告诉遵循系统代理设置的应用把请求交给本地代理，适合先验证浏览器访问。但有些应用不读取系统代理，或者只处理特定类型的连接，因此浏览器正常并不代表会议软件、终端工具或其他应用也正常。
TUN 模式通过虚拟网络接口接管符合其路由设置的流量，适用范围通常比系统代理更广，也更依赖权限和路由配置。它仍不是“自动覆盖一切”的承诺，例外路由、分流规则、DNS 设置以及客户端实现都会影响实际路径。只有当前客户端提供并说明支持时，才按其文档启用。
| 功能 | 主要作用 | 需要检查 |
|---|---|---|
| 系统代理 | 让遵循系统代理的应用使用本地代理 | 代理开关是否启用、目标应用是否遵循设置 |
| TUN 模式 | 通过虚拟网络接口接管符合路由设置的流量 | 系统授权、例外路由、DNS 与应用兼容性 |
| 规则模式 | 按域名、地址或其他规则决定直连与代理 | 目标请求命中了什么规则、走向哪个策略组 |
| 全局代理模式 | 让进入代理处理范围的请求统一走代理策略 | 不能据此认定未被接管的应用也经过代理 |
系统代理与 TUN 是流量接管方式，规则与全局则是处理策略，二者不是同一层面的互斥选项。新手可以先保留订阅提供的默认规则，用浏览器完成验证；确认可用后，再处理没有跟随系统代理的应用。修改规则前备份配置，避免手动修改被后续订阅更新覆盖。
验证生效：出口、目标应用与 DNS
先在未连接状态打开IP 查询页面，记录浏览器当前显示的出口信息，再启用客户端并重新加载。若该查询请求确实走代理，出口通常会变化。但在规则模式下，查询站点可能被安排直连，因此地址未变时，应先查客户端的请求记录或规则命中情况，而不是立刻认定线路故障。
随后打开真正需要使用的网站，测试登录、页面加载、文件上传等实际操作。只看到首页不够：主站和接口可能使用不同域名。若首页能打开而功能失败，检查失败请求是否走了不同策略，再换另一条线路做对照。流媒体能否访问也需连接后验证，不能仅凭地区名称判断。
DNS 验证关心的是域名解析是否沿着预期路径进行。若计划让代理请求的解析经指定通道处理，却仍从本地网络发出，就可能存在 DNS 泄漏。测试结果中出现的解析器名称或地区本身不是最终结论，还需结合客户端 DNS 配置、浏览器加密 DNS 和分流策略判断。
浏览器的加密 DNS 可以改变解析路径，但不等于网站请求也经过代理。遇到浏览器与其他应用结果不同，应分别检查浏览器设置、系统代理和客户端 DNS。不要为了让检测页面显示某种结果而盲目替换解析服务器；先明确哪些请求应该直连、哪些应该走代理。
完成设置的判断标准
目标应用能正常使用，相关请求命中了预期策略，出口与 DNS 行为符合该策略，才算完成验证。“已连接”、线路测试通过或系统出现 VPN 图标，都只能证明其中一部分状态。
常见权限与连接问题处理
授权后仍提示需要权限
检查系统提示对应的应用名称，以及客户端实际启用的功能。若此前拒绝了请求，按客户端文档在系统设置中重新允许，再退出并重新打开应用。受单位管理的 Mac 可能限制网络扩展或代理修改，应联系设备管理员，不要尝试绕过管理策略。
订阅导入失败或线路列表为空
确认链接完整、账户状态正常、格式与客户端匹配，并检查本地网络能否访问订阅地址。证书错误还应核对系统日期与时间，不要关闭证书校验。向支持反馈时提供错误文字、系统与客户端版本，隐藏订阅凭据；“解析失败”和“连接超时”属于不同排查方向。
浏览器正常，其他应用无法访问
先确认应用是否遵循系统代理。有些终端工具需要单独设置代理环境，有些实时应用涉及 UDP，不能用网页是否打开来推断其网络路径。根据客户端文档检查 TUN、协议能力和目标应用设置，修改后重新启动目标应用再测试。
休眠或换网络后断连
先确认当前网络本身能正常访问，必要时完成公共网络的登录认证，再重新连接客户端。检查原线路是否仍被选中、代理设置是否恢复；不要一开始就重新安装。排查时暂时停用其他代理工具，避免多个工具同时改写系统代理或路由。
退出客户端后网页打不开
可能是系统仍指向已经停止的本地代理。优先重新打开客户端，通过其菜单关闭系统代理后再退出；若无法启动，再在系统网络设置中核对代理配置。企业网络可能本来就需要代理，不应未经确认删除组织配置。
最终把验证通过的配置保留下来，并在系统升级、客户端更新或切换网络后重新检查。日常使用按目标服务选择线路与规则；出现问题时回到“安装与权限、订阅与线路、流量接管、实际验证”的顺序，逐项确认，比反复更换所有设置更容易找到原因。