Mac VPN 怎么用？在 macOS 上，先安装兼容的客户端，再按需授权、导入订阅、选择线路，最后验证出口。不要把“已连接”直接当成配置完成：浏览器、终端与其他应用可能走不同的网络路径，权限设置也取决于客户端采用的接管方式。
安装前：核对芯片、系统与订阅格式
打开苹果菜单中的“关于本机”，查看芯片类型与 macOS 版本。下载页若区分 Apple silicon 和 Intel，应选择对应构建；若提供 Universal 构建，则以其兼容说明为准。旧版系统能否运行，取决于客户端发布说明，不能仅凭安装文件能打开就判断兼容。
9OVPN 的 macOS 客户端可登录用户面板后获取，订阅也在登录后获取。创建服务账户无需邮箱地址，用户名和密码即可。请从面板下载入口查看当前客户端与使用说明，不要从不明来源搜索同名安装包。
接着确认订阅格式与客户端支持范围。Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 是不同协议或协议体系的名称，不代表任意客户端都能直接使用。订阅地址通常提供节点或配置集合；客户端是否能导入，既取决于格式，也取决于内核版本和协议支持。
- ✅ 安装包来源可核对，芯片架构和最低系统要求与本机一致。
- ✅ 使用面板为该客户端提供的订阅或配置，不凭文件扩展名猜兼容性。
- ✅ 妥善保存账户凭据与订阅地址，不把完整订阅贴进公开聊天或截图。
- ✅ 暂停其他代理客户端的自动接管，避免同时修改系统代理和路由。
安装与首次启动：分清系统提示
常见安装方式是打开磁盘映像，将应用拖入“应用程序”；若提供安装器，则按面板说明完成安装。安装后从“应用程序”启动，不要长期在磁盘映像中运行，以免更新、辅助组件或权限关联出现问题。
首次启动可能出现来源确认，也可能被系统安全机制阻止。先核对下载来源、文件完整性和开发者信息，再查看“系统设置”中的“隐私与安全性”是否提供对应操作。不同 macOS 版本的文字和位置会变化，应以当前系统提示为准。
工作或学校管理的 Mac 可能受设备管理策略限制，无法自行批准扩展或安装辅助组件。这类限制应联系设备管理员处理。反复安装同一文件通常不能改变管理策略，也不应通过修改系统保护设置绕过它。
权限设置：系统代理、网络扩展与 TUN
客户端出现权限弹窗，通常是因为它准备修改网络设置或启动接管组件。先读清应用名称和操作用途，再决定是否允许。系统代理主要让遵循代理设置的应用使用代理；网络扩展或 TUN 则可能接管更广的流量，但实际范围仍由实现和规则决定。
| 接管方式 | 可能出现的提示 | 适用范围与注意事项 |
|---|---|---|
| 系统代理 | 修改网络代理设置，或安装辅助工具 | 适合遵循系统代理的应用；终端与部分软件可能不采用该设置。 |
| Network Extension | 添加 VPN 配置，或允许相关网络扩展 | 依客户端实现接管网络流量；系统入口随 macOS 版本变化。 |
| TUN 虚拟接口 | 启动特权辅助组件、网络扩展或相关服务 | 常用于接管不遵循系统代理的流量；需要核对 DNS、路由及局域网规则。 |
这些方式并不互斥。某些客户端用网络扩展实现虚拟接口，另一些通过特权服务创建接口，因此不要把表格理解为固定的权限清单。辅助组件要求管理员授权，不等于应用需要读取所有文件；“完全磁盘访问权限”也不是网络连接的通用前提。
如果客户端明确要求批准系统扩展，可按应用指引到系统设置查找对应开发者条目。较新版本可能将相关入口放在“通用”的登录项与扩展设置中，其他版本可能在“隐私与安全性”显示提示。只有系统或客户端明确要求时才重启，不必把重启当作每次连接的步骤。
拒绝过弹窗后，可回到客户端重新启用相应功能，再检查系统设置。若始终没有提示，先确认当前模式是否真的需要该权限。使用系统代理却到处寻找 VPN 配置，往往是在排查一个并不存在的问题。
导入订阅：先更新，再选线路
订阅导入只负责把配置交给客户端，不一定会自动打开代理。完整流程应包含导入、更新、选择节点和开启接管。下面的操作名称是通用描述，实际按钮以客户端界面为准。
- 获取订阅。登录面板，找到适用于当前 macOS 客户端的订阅入口，复制完整地址。不要把登录页面地址当成订阅地址。
- 添加远程配置。在客户端寻找“订阅”“配置”或“Profiles”等入口，粘贴地址并保存。若支持从链接打开应用，确认系统唤起的是预期客户端。
- 手动更新并检查。确认配置已成功下载、节点列表可见。出现格式错误时，先核对客户端类型和订阅格式，不要随意使用公开转换网站处理私密链接。
- 选择线路与模式。先选目标服务支持的地区，采用默认规则配置，再打开系统代理或客户端推荐的接管方式。
- 验证实际访问。检查出口与目标应用，确认有效后再考虑自动更新、开机启动等便利功能。
导入失败不一定是节点不可用。订阅地址失效、复制时混入空格、请求返回登录页面、客户端不支持某类配置，都可能导致错误。若只是更新失败，保留原配置并记录错误提示，避免清空后失去对照。
节点名称中的专线、中转或直连描述的是链路组织方式，不是 macOS 的权限类型。IEPL 专线通常涉及运营商提供的专用以太网传输链路；中转经由中间服务器转发；直连则不经过服务商设置的这类中转入口。实际访问仍受出口、路由和目标服务影响，不能仅凭名称判断效果。
连接验证：出口、DNS 与应用分流
先记录未连接时的出口信息，再启用客户端，使用IP 查询核对变化。规则模式下，查询页面本身可能被分配为直连，因此出口不变时，应先查看该请求命中的规则，不能直接判定整个连接失效。
接着打开实际要使用的国际网站或应用。客户端若提供连接记录，检查请求是否命中预期策略、是否通过选定节点。浏览器能打开网页，只能证明该浏览器当前的访问路径可用，不能证明终端、开发工具和后台服务也已接管。
终端与浏览器结果不同怎么办？
许多命令行工具不自动采用 macOS 系统代理，需要按工具文档设置代理环境变量或独立代理选项。代理地址和端口应从当前客户端读取，不要套用其他教程中的值。若改用 TUN，也要验证相关请求是否进入客户端，不能仅凭开关状态下结论。
怎样理解 DNS 泄漏？
DNS 泄漏通常指本应按预期代理路径处理的域名查询，仍发往非预期解析器。出口已变化，并不代表 DNS 一定遵循同一路径。浏览器的加密 DNS、系统解析、客户端 DNS 接管及分流规则之间都可能存在差异。
验证时同时检查客户端 DNS 设置、域名查询记录和解析器检测结果。检测页面显示的解析器地区不一定等于实际出口地区，也不能单靠地区名称认定泄漏。优先采用客户端支持的 DNS 方案，再逐项调整，避免同时启用互相覆盖的配置。
常见故障：按现象缩小排查范围
客户端显示连接，但网页打不开
先关闭代理，确认本地网络是否可用；再检查订阅是否更新、节点是否可选、服务流量状态是否正常。随后查看客户端错误记录，区分连接超时、域名解析失败与配置不兼容。每次只改一项，保留能复现问题的条件，才容易判断哪项调整有效。
退出客户端后仍然无法访问
可能是系统代理仍指向已经停止的本地服务。先在客户端内关闭系统代理，再正常退出；如果应用已经崩溃，可到当前网络服务的代理设置中检查残留项。不要一键清空所有网络配置，尤其是原本使用组织代理或特殊网络设置的设备。
休眠唤醒或切换网络后断线
网络接口、默认路由和 DNS 都可能在切换时变化。先等待本地网络恢复，再重新连接节点；仍异常时，关闭后重新开启接管模式。更新客户端前先查看版本说明，若问题只在特定网络出现，提交系统版本、客户端版本与错误记录，比反复重新导入订阅更有帮助。
局域网设备或公司网络无法访问
检查局域网绕过规则，以及目标地址是否被错误送入代理。企业 VPN 与个人代理并用时还可能存在路由冲突，应先遵循组织要求，并分别测试，避免叠加接管。提交日志前遮盖订阅令牌、账户信息及内部地址等敏感内容。
日常使用：保留可核对的配置
配置稳定后，记录客户端名称、接管模式和使用的规则来源。自动更新订阅方便维护节点，但不应覆盖你尚未备份的自定义设置。macOS 或客户端升级后，重新验证浏览器、终端和常用应用，尤其检查权限提示与 DNS 行为是否变化。
流量选择可按使用频率核对：9OVPN 月订阅为 ¥9.9 / 60GB、¥18 / 250GB、¥28 / 500GB，月流量按开通日重置；流量包用完为止、永久不过期。具体规格见套餐页。不限台数并不等于每个应用都会自动接管，仍需在各设备上验证配置。