macOS 从零开始：客户端安装、系统权限授予到导入订阅的新手完整指南

安装前：确认客户端来源与芯片架构

先在苹果菜单的“关于本机”查看芯片信息。Apple 芯片通常选择标有 Apple Silicon 或 arm64 的构建；Intel 机型选择对应的 Intel 或 x86_64 构建。Universal 构建可同时包含适配两类架构的程序，但仍应核对客户端说明中的系统兼容范围。

VPNAdd 用户可从用户面板的下载入口获取客户端与配置说明。使用第三方客户端时，应从该项目的正式发布渠道获取，并确认它支持服务提供的订阅格式。能安装在 Mac 上，不等于能解析所有协议和配置文件。

下载内容若为磁盘映像，打开后通常需要把应用拖入“应用程序”文件夹，再从那里启动；若为安装器，则先查看开发者信息和安装内容。不要长期从下载目录或磁盘映像内运行，以免更新、辅助服务路径或登录项出现混乱。具体步骤以客户端发布说明为准。

系统权限：区分网络扩展、系统代理与 TUN

不同客户端接管流量的方式不同，因此不会出现完全相同的授权窗口。部分客户端通过系统网络扩展工作；部分先提供本地代理，再修改 macOS 的系统代理设置；也有客户端在启用 TUN 时安装辅助服务。不要把这些路径理解成每台 Mac 都必须完成的固定清单。

首次连接时，核对授权窗口里的应用名称。可按提示在“系统设置”的相关网络、隐私或扩展管理页面完成允许操作，再返回客户端重试。若没有出现对应项目，不必照着其他版本的截图反复寻找；先确认当前客户端实际使用的接管方式。

普通线路连接通常不应要求通讯录、相册或屏幕录制权限。若出现与功能明显无关的请求，应暂停并查看官方说明。不要把“授权越多，连接越稳定”当成经验规则；权限只服务于明确功能，不负责改善远端线路质量。

导入订阅：链接、配置与线路列表

订阅链接是获取配置的入口，不是某个网站的网址，也不是单独一条线路。客户端请求这个地址后，可能获得节点列表、连接参数或完整配置。返回内容由服务与客户端格式共同决定；相同链接放进不兼容的客户端，可能得到解析错误或空白列表。

1. 在面板中确认适配方式。查看服务提供的客户端说明，选择对应的订阅入口或导入方式。不要仅根据按钮名字相近就判断兼容。
2. 在客户端新建远程配置。入口可能称为“订阅”“配置”或“Profiles”。粘贴完整链接，避免把首尾空格、换行或说明文字一起复制进去。
3. 获取内容并检查结果。执行更新，确认出现线路或配置内容。更新成功后，还要把新配置设为当前使用项；有些客户端不会自动切换。
4. 选择线路并连接。先保留服务给出的默认规则和 DNS 设置，选择一个适合目标地区的出口，再开启所需的代理接管方式。
5. 保留可恢复的配置。后续修改前先记录当前配置名称和关键开关。遇到异常可以退回原设置，避免同时更改多个项目。

Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 是不同的代理协议或协议方案，不是 macOS 权限名称，也不是“专线”的同义词。客户端及其内核需要支持对应方案和参数。本文不据此断言 VPNAdd 提供上述全部协议；实际可用内容应以面板及客户端说明为准。

首次连接：规则模式与线路类型

新手可以先使用服务提供的规则模式。它按照域名、地址或其他匹配条件决定直连、代理或拒绝。全局模式通常把进入代理内核的连接交给所选出口，但不会自动让原本未被接管的程序也走代理。因此，“全局”是策略范围，不等于系统流量接管范围。

浏览器能够访问目标网站，而终端或某个办公软件仍失败时，应先判断该应用是否遵循系统代理。有些程序需要单独配置代理，或者需要客户端支持的 TUN 接管。不要直接把问题归因于订阅失效，也不要在不了解现有路由时同时运行多个代理客户端。

线路类型则描述另一层问题。直连通常指客户端直接连接境外节点；中转通过中间服务器转发；IEPL 专线通常描述链路中的专用传输段，并不意味着从 Mac 到目标网站的每一段都是专用链路。它们不能代替客户端权限、协议支持或正确的分流规则。

选择地区时，先考虑目标服务的地区要求，再考虑日常访问表现。出口显示为某个地区，并不保证特定网站必定允许访问；网站还可能检查账号地区、支付资料或出口地址属性。不要为了排查一个网站而反复重装客户端。

连接验证：出口、应用与 DNS

客户端状态显示已连接，只能说明某个连接流程已经完成。可靠验证要观察目标请求实际走了哪里。先记录未连接时的基本访问情况，再连接线路，使用同一应用重复检查，减少缓存和不同程序行为带来的干扰。

• ✅ 打开我的 IP 页面查看浏览器出口。规则模式下，查询页面也可能命中直连规则，应结合规则命中或连接记录解释结果。
• ✅ 在真正要用的应用内访问目标服务。浏览器成功不能代表终端、下载工具或办公软件也使用了代理。
• ✅ 查看客户端的连接记录，确认目标域名命中了预期策略和线路，而不是只看首页的连接开关。
• ✅ 检查 DNS 请求路径。优先沿用服务提供的设置，确认代理域名的解析是否按预期处理，再考虑自定义解析器。
• ✅ 退出客户端后测试日常直连访问，确认系统代理和路由能够恢复，避免下次启动时误判网络故障。

DNS 泄漏指本应按代理或隐私策略处理的域名查询，实际经由非预期路径发出。仅凭出口地址改变，无法确认 DNS 路径正确；反过来，检测到不同地区的解析服务，也不能单凭地区标签认定泄漏，因为解析服务可能采用分布式部署。

排查时要同时留意客户端 DNS、浏览器安全 DNS，以及系统或配置描述文件中的解析设置。浏览器自带的加密 DNS 可能绕过客户端原本的域名解析策略，表现取决于具体实现。先保持设置可控，再逐项比较，不要为了“统一”而随意关闭组织要求的安全功能。

常见故障：按层排查权限与连接

授权后仍提示需要权限

先确认授权的是当前运行的应用，而不是旧版本或下载目录中的副本。完全退出旧进程，从“应用程序”重新启动，再检查系统中的扩展或后台组件状态。若客户端说明要求重启，完成后复查。受组织管理的 Mac 可能限制扩展安装，应联系管理员，不应尝试绕过管理策略。

订阅更新失败，或列表为空

检查链接是否完整、账号状态是否正常、配置格式是否匹配。订阅服务器连接失败与线路连接失败是不同问题；先看报错发生在下载配置还是解析内容。不要为了查看返回内容，把含令牌的链接直接发给公共在线工具。可通过面板核对配置说明，必要时提交已脱敏的错误信息。

浏览器正常，终端或办公软件失败

检查应用是否使用系统代理、是否有独立代理选项，以及客户端是否只启用了规则策略而没有完成流量接管。若考虑 TUN，先阅读客户端对路由、DNS 和辅助服务的说明。企业 VPN、安全软件与网络过滤工具也可能影响路由，应在允许范围内逐项比较。

退出客户端后无法访问网络

先查看当前网络服务的代理设置，确认是否仍指向已经停止的本地代理。若确有残留，按客户端说明恢复；不要删除原本由单位配置的代理。正常退出应用通常比强制结束进程更有利于清理设置。仍未恢复时，再检查其他网络工具与当前网络本身。

日常维护：更新配置，保留恢复路径

稳定使用后，再按需要启用登录启动和自动连接。系统升级、客户端更新或配置更新后，重新检查目标应用与 DNS 行为；自动启动成功，不代表上一次选定的线路仍然适用。更新前记录关键设置，可以减少故障时的盲目试错。

同一份订阅在 macOS、Windows、iOS、Android 或 Linux 上，可能需要不同的客户端格式和授权流程。不要把其他平台的完整配置直接覆盖到 Mac，也不要假设相同按钮对应相同的流量接管实现。需要平台操作说明时，可查看新手指引。

计费问题与配置问题也应分开判断。VPNAdd 月订阅流量按开通日每月重置，流量包用完为止、永久不过期。若面板显示流量状态异常，先核对套餐信息；若流量正常但特定应用失败，则继续沿权限、接管、规则和解析路径排查。