macOS 使用 VPN，关键不只是安装成功。系统权限决定客户端能否接管流量，导入订阅决定配置是否可用，分流规则决定应用走哪条路径。按“核对来源、安装、授权、导入、验证”的顺序操作，通常比遇到问题就重装更容易定位原因。
本文区分通用操作与客户端差异，不假定某个版本的菜单名称。VPNLanLan 的客户端入口与配置资料以用户面板为准；第三方客户端是否适配，需要同时核对订阅格式、协议支持与系统要求，不能只看应用名称中有没有 VPN。
安装前：核对芯片、系统与配置格式
打开苹果菜单中的“关于本机”，查看芯片与 macOS 版本。Apple 芯片与 Intel 处理器可能对应不同安装文件；如果提供通用版本，也应核对其系统要求。不要因为文件能够下载，就认定它适合当前设备。
通过用户面板获取客户端，或沿面板给出的项目官方入口下载。搜索结果中的转存文件、聊天附件与名称相似的应用，不应作为默认来源。安装前先确认发布者、下载页面与应用说明是否对应。
还要区分客户端与订阅：客户端负责运行连接，订阅负责提供可更新的配置。系统设置中的“添加 VPN 配置”不能直接接收所有代理订阅。Shadowsocks、VMess、Trojan、VLESS 等配置通常需要兼容客户端；支持某种协议，也不等于支持面板提供的整份订阅格式。
订阅链接通常携带访问凭据，应按密码保管。不要粘贴到公开的配置转换网页，也不要把带完整链接的截图发到论坛。需要转换格式时，优先使用面板明确提供的方式。
安装客户端：保留系统安全检查
- 下载完成后，核对文件类型与来源。磁盘映像通常需要打开后将应用拖入“应用程序”；安装器则按向导操作。不要一直从临时挂载的磁盘映像里启动客户端。
- 从“应用程序”打开应用，阅读首次启动的发布者与安全提示。如果提示无法验证开发者，先回到来源页面核对文件，不要直接绕过。
- 确认来源可信、应用符合预期后，再按系统提供的方式处理安全提示。不同 macOS 版本的入口可能位于“隐私与安全性”中的不同位置。
- 进入客户端后，先查看设置与帮助，再决定采用系统代理还是隧道模式。暂时不要同时开启其他代理工具，以免端口、路由或 DNS 设置互相覆盖。
“应用已损坏”不一定表示网络权限未开，也可能与下载不完整、签名状态或系统兼容性有关。先重新从可信来源下载并核对要求。不要复制来历不明的终端命令批量移除隔离标记，也不应为了安装客户端而关闭系统完整性保护。
系统权限：按连接模式授权
macOS 客户端可能使用系统代理、网络扩展或虚拟网络接口，权限需求随实现而变。并不是每个客户端都要安装系统扩展，也不是出现管理员密码窗口就说明配置正确。授权前应核对请求方名称与正在开启的功能。
| 模式或请求 | 实际作用 | 需要核对什么 |
|---|---|---|
| 系统代理 | 设置系统 HTTP、HTTPS 或 SOCKS 代理，主要影响遵循这些设置的应用。 | 当前网络服务的代理设置，以及客户端是否正在监听对应本地端口。 |
| 隧道或 TUN 模式 | 通过虚拟接口与路由处理流量，具体覆盖范围仍由配置决定。 | 客户端要求的网络配置许可、路由与 DNS 接管方式。 |
| VPN 配置或网络扩展许可 | 允许应用安装或使用相应网络能力，不代表连接已经建立。 | 请求方是否为刚安装的应用，系统设置中是否存在待处理提示。 |
| 辅助程序授权 | 部分客户端通过特权辅助程序修改系统网络设置。 | 是否由预期功能触发，以及应用官方文档如何说明该组件。 |
网络相关入口通常在系统设置的“网络”或“VPN 与过滤器”等位置，实际名称以系统版本为准。若授权被拒绝，先回到客户端重试对应功能，再检查系统提示。不要反复安装多个辅助组件来碰运气。
完整磁盘访问权限、辅助功能权限与屏幕录制权限，并不是建立普通网络隧道的通用前提。若应用提出这些请求，应先查明具体用途。公司或学校管理的 Mac 还可能受到设备策略限制，应联系管理员处理，而不是尝试绕过管理策略。
导入订阅：先核对格式，再刷新配置
登录 VPNLanLan 用户面板，在当前提供的配置区域复制适配链接。VPNLanLan 无需邮箱地址，用户名与密码即可开始；账号凭据和订阅链接是不同类型的信息，导入时不要把面板登录地址或账户密码误当作订阅内容。
- 在客户端找到“订阅”“配置”或功能相近的入口，选择从 URL 导入。给配置填写便于识别的本地名称，不要把完整凭据写进名称。
- 粘贴链接后检查是否带入空格、换行或聊天软件附加的标点。确认链接对应当前客户端支持的格式，再保存并执行更新。
- 确认配置能够被解析，线路列表与规则区域不是空白。更新成功只说明配置获取成功，仍需实际连接测试。
- 将刚导入的配置设为当前配置，选择可用线路，开启所需连接模式。首次排查时保持规则设置简单，不要同时叠加多份来源不明的规则。
如果客户端报告格式错误，先确认导入的是订阅而不是普通网页；如果报告不支持某协议，更新订阅通常不能解决客户端能力缺失。应改用面板建议的兼容方式，而不是在编辑器里随意改掉协议名称。
订阅更新可能覆盖手工修改的线路参数。需要保留的设置，应使用客户端支持的覆写或本地规则功能，并记录变更。不要直接修改远程配置后忘记原因，否则下次更新后很难判断是服务变化还是本地设置丢失。
验证生效：区分连接、出口与分流
菜单栏图标显示“已连接”，只表示客户端处于某个运行状态。完整验证还要检查目标应用、出口地址与 DNS 路径。先访问平时正常使用的网站，再测试需要通过所选线路访问的目标，避免把单个网站故障误认为所有网络都不可用。
- ✅ 查看客户端连接日志或连接列表，确认测试请求命中了预期规则，使用了预期出口。
- ✅ 使用可信的出口地址查询服务，对比连接前后结果；规则分流下，不同网站可能走不同出口。
- ✅ 分别测试浏览器与实际需要使用的应用。浏览器可用，不代表不读取系统代理的应用也会走代理。
- ✅ 检查 DNS 设置与测试结果是否符合预期，并确认测试页面本身走的是哪条路径。
- ✅ 退出客户端后再测试普通访问，确认代理设置与路由已恢复，没有留下失效的本地代理。
系统代理通常不能保证所有应用流量都被接管；隧道模式也不意味着可以忽略排除规则与 IPv6 配置。浏览器的加密 DNS、系统解析器和客户端 DNS 功能可能并存。所谓 DNS 泄漏，应结合预期策略判断：原本要求经隧道处理的解析请求却走了其他路径，才是需要排查的偏离。
出口位置查询也有边界。地址数据库可能更新滞后，单个网站显示的地区不能独立证明线路故障。若目标服务仍受地区限制，还应检查账户地区、缓存和服务自身政策；建立连接不等于获得该服务的访问资格。
验证结论：连接状态、请求命中规则、实际出口与应用访问结果应相互对应。只看到图标变化，或只打开一个网页，都不足以证明整台 Mac 的所有流量已按预期处理。
常见故障：按现象缩小范围
连接后所有网页都打不开
先停止客户端，确认本地网络本身可用。公共网络可能需要先完成网页认证。恢复基础网络后再启动客户端，检查是否仍有其他 VPN、过滤器或代理工具运行，然后查看日志中的解析失败、连接拒绝或认证错误，不要一开始就重置所有系统设置。
浏览器正常，其他应用没有变化
这通常需要先确认应用是否遵循系统代理。命令行程序也可能读取自己的代理环境变量，或者完全不使用系统代理设置。根据实际需求配置应用级代理，或使用客户端支持的隧道模式，再从连接日志核实，不要只靠出口查询页推断。
授权后仍提示缺少权限
核对是否授权给当前安装位置中的应用，而不是旧版本或磁盘映像中的副本。退出后重新从“应用程序”打开，检查系统中是否还有待确认的网络许可。应用更新后若辅助程序不匹配，按其官方修复流程处理，不要手动删除不认识的系统文件。
订阅突然无法更新
先确认账户与订阅状态，再检查链接是否已重置或复制不完整。部分更新请求可能受当前代理设置影响；可在保留现有配置的前提下，按客户端提供的选项切换更新请求路径。不要为了测试而删除仍能使用的配置。
日常维护与求助信息
稳定使用后，保持客户端与系统更新，保存必要的本地规则说明，并定期检查自动启动与连接模式是否仍符合需求。睡眠唤醒或切换网络后出现异常，可以先重连并查看日志，避免直接重复导入多份相同订阅。
联系支持时，说明 macOS 版本、芯片类型、客户端版本、连接模式、出错步骤与错误原文。日志中可能包含订阅凭据、账户标识和访问目标，应先遮盖敏感内容再提交。需要进一步操作说明，可查看使用教程；仍无法定位时，通过联系页面获取协助。
首次配置的目标是建立可解释、可恢复的连接：知道使用哪个配置、授予哪些权限、哪些应用走代理，以及退出后如何恢复。把这些环节核对清楚，比反复切换线路更有助于长期维护。