macOS 从零开始:客户端安装、权限授予与订阅导入

安装前：确认来源与兼容范围

先在“关于本机”查看芯片类型和系统版本。Apple 芯片与 Intel 处理器可能对应不同安装文件，通用版本则可能同时兼容。优先使用与设备架构匹配的版本，避免把启动失败误判成线路故障。应用要求的最低系统版本，也应从其发布说明核对。

VPNClip 的客户端入口位于用户面板下载页。先登录面板，再按页面指引获取适用客户端；订阅信息同样需登录后获取。不要从搜索广告、聊天附件或不明镜像下载修改版，也不要为了导入配置而把账户密码交给配置转换网站。

• ✅ 核对下载来源、应用名称、芯片架构与系统要求，保存对应的官方安装说明。
• ✅ 记住当前可用的网络环境，安装与首次导入时保持本地网络正常联网。
• ✅ 暂停其他代理客户端的接管功能，避免系统代理与网络路由被重复修改。
• ✅ 在受组织管理的 Mac 上先确认使用规则；受限权限应交由管理员处理。

订阅兼容性还取决于客户端内核及版本。Shadowsocks、VMess、Trojan、VLESS 等协议名称不是可互换的配置格式；即使应用支持某种协议，也不代表能解析面板提供的所有订阅格式。优先选择面板明确支持的客户端与导入方式，不要仅凭应用名称判断。

安装与首次打开：按提示核验

1. 完成安装。如果下载的是磁盘映像，打开后按提示将应用移入“应用程序”；如果是安装包，阅读安装项目后继续。不要长期从临时下载目录或磁盘映像中运行应用。
2. 从“应用程序”启动。首次打开时，系统可能提示应用来自互联网。这是来源确认，并不代表客户端已经获得网络接管权限。
3. 核对拦截原因。若系统阻止打开，先确认文件确实来自可信发布渠道，检查是否有更新版本或签名说明，再按系统提供的受支持流程处理。
4. 确认菜单栏入口。部分客户端关闭主窗口后仍驻留菜单栏。后续切换节点、更新订阅或退出应用，可能都在该入口完成。

不要用关闭系统保护代替排查

“无法验证开发者”与“应用已损坏”等提示可能有不同原因。先重新获取安装文件并核对发布说明，不要照搬终端命令批量移除隔离标记、关闭系统保护，或忽略系统明确给出的恶意软件警告。

若安装后无法启动，先检查系统兼容性与芯片架构，再查看应用是否被安全策略拦截。此时尚未进入节点连接阶段，反复更换订阅通常没有帮助。若提示需要额外运行环境，应回到开发者文档确认，而不是安装来源不明的修复工具。

网络权限：系统代理与虚拟网卡

macOS 上常见的流量接管方式包括系统代理，以及基于虚拟网卡的 TUN 模式。前者由应用设置系统代理地址，主要影响遵循该设置的软件；后者通过虚拟网络接口与路由规则接管流量，覆盖范围通常更广，但仍受排除规则、路由配置及客户端实现影响。

权限请求随实现而变化。有的应用需要安装辅助工具以修改网络设置，有的通过 Network Extension 请求添加 VPN 配置或启用网络扩展。TUN 并不必然对应某一种弹窗，系统中出现“VPN”名称，也不能据此推断服务使用的具体代理协议。

如果之前拒绝过请求，打开“系统设置”，依据客户端文档查找对应的网络、扩展或隐私设置。设置所在位置会随 macOS 版本变化，不必强行寻找固定菜单路径。修改后可能需要重新启用功能或重启客户端，以实际提示为准。

常规网络代理不应被笼统地理解为需要全部隐私权限。对于辅助功能、屏幕录制或完全磁盘访问等额外请求，应先查清用途。无法解释的请求先取消，再向开发者或客服核实，不要为了消除弹窗而全部授权。

订阅导入：配置文件与节点更新

订阅链接是客户端获取配置的入口，可能包含身份令牌，应按账户凭据级别保护。它不是用于浏览的普通网址，也不是面板登录地址。不要将完整链接贴入公开帖子、截图、共享文档或在线诊断工具。

1. 登录用户面板。确认套餐状态和可用流量，再找到订阅入口。VPNClip 无需邮箱地址，用户名与密码即可创建账户；保存好账户凭据，避免与订阅链接混用。
2. 选择对应格式。优先使用面板为当前客户端提供的导入选项。若需要复制链接，应复制完整内容，避免换行、空格或聊天软件改写地址。
3. 添加远程配置。在客户端中寻找“订阅”“配置”或类似入口，使用链接导入。浏览器唤起应用时，先核对将被打开的应用名称，再确认操作。
4. 更新并选中配置。导入后检查是否成功获取节点与规则。有些应用允许保存多个配置，但新添加的配置不一定自动成为当前配置，需要手动选中。
5. 选择节点并开启接管。按需要启用系统代理或 TUN，随后验证目标应用，而不是停留在节点列表页面。

远程订阅与本地文件的更新方式不同。远程订阅通常可以重新拉取配置；本地导入的文件未必保留更新地址。修改配置前还要确认修改是否会在下次订阅更新时被覆盖，优先使用客户端支持的覆写或扩展规则功能。

订阅链接泄露后的处理

先在面板查找重置或撤销订阅凭据的入口，并按说明重新导入。仅删除公开消息不能确保旧链接失效；若面板未提供相关操作，请通过客服处理，沟通时不要发送完整有效令牌。

导入失败时，依次核对本地联网、链接完整性、账户状态和格式兼容性。若只是更新失败，先保留现有可用配置，不要反复删除重建。节点列表为空、配置解析失败与连接超时属于不同阶段，报错原文比“连不上”更有诊断价值。

连接验证：从网页到 DNS 与分流

先保留客户端默认推荐的规则模式，再访问需要使用的目标服务。同时打开常用本地网站，确认分流没有破坏日常访问。单个网页成功，只能证明该次请求可用；需要使用会议软件、开发工具或其他桌面应用时，应分别检查。

系统代理不会自动覆盖所有程序。部分命令行工具、后台进程和应用内置网络组件有独立设置；某些程序还需要重新启动才能使用更改后的代理。遇到浏览器正常而其他软件失败，应先查该软件是否遵循系统代理，再决定设置应用代理或使用 TUN，不要直接认定节点失效。

全局模式不是所有程序都已接管

“全局”通常描述已经进入客户端的流量如何选择出口；“规则”则根据域名、地址等条件决定直连或代理。它们与“系统代理、TUN”描述的接管层面不同。系统代理下切到全局，不会强制原本绕过系统代理的软件进入客户端。

DNS 检查需要结合解析策略

DNS 泄漏通常指解析请求偏离预期路径，暴露给原本不打算使用的解析方。先查看客户端的 DNS 配置与连接日志，判断目标域名如何解析，再结合可信检测工具核对。检测页面出现本地解析器，不一定代表所有请求都泄漏，也可能来自有意设计的本地直连规则。

浏览器加密 DNS、系统解析、应用自带解析以及 IPv6 路由都可能影响结果。调整时每次只改变一个相关设置，重新发起请求并对照日志。不要将关闭 IPv6 或覆盖系统 DNS 当作通用修复步骤；这可能掩盖配置问题，也可能影响局域网和组织网络。

故障定位：权限、配置与线路分开查

授权后仍提示缺少组件：检查系统设置里是否还有待确认项目，辅助工具是否成功安装，或设备是否受管理策略限制。先按应用提示重新启用组件；不要连续重复授权，也不要安装来源不明的替代组件。

连接后所有网站都打不开：先关闭当前客户端的接管功能，判断本地网络能否恢复。若仍异常，检查系统代理是否残留、其他 VPN 或安全软件是否正在接管网络。不要在多个客户端同时运行的状态下比较线路，否则难以确认实际出口。

只有某个目标服务打不开：查看该请求是否命中直连规则、目标服务是否有账户或地区限制，再尝试其他可用节点对照。IEPL 专线、中转和直连描述的是不同的线路组织方式，不会自动改变客户端权限或应用接管范围，也不能替代目标服务验证。

睡眠唤醒后无法恢复：先确认当前无线网络已经联网，再重新连接节点；必要时更新订阅或重启客户端。开机启动、自动连接与唤醒重连是不同功能，应逐项验证，不要只勾选一个选项就认为它们都已生效。

提交工单时，说明系统与客户端版本、所用模式、错误原文、发生场景，以及关闭代理后能否恢复。日志应先移除订阅地址、令牌和其他个人信息。可通过用户面板工单或客服页面继续排查。

日常维护：保留可恢复的配置

客户端更新前先阅读变更说明，保留必要的自定义规则记录。订阅更新解决的是服务端配置变化，客户端更新解决的是应用功能与兼容性，两者不能互相替代。不要将包含有效订阅凭据的完整配置上传到公开代码仓库。

VPNClip 月订阅流量按开通日每月重置，流量包用完为止、永久不过期。若突然无法获取或使用线路，先看面板状态和流量，再进行系统级改动。套餐规则可在价格页面核对，平台操作说明可从使用教程进入。