Mac 如何使用 VPN？先確認服務提供的是系統 VPN 設定，還是代理訂閱，再選擇相容的 macOS 用戶端。建議依序完成安裝、授權、匯入、連線與驗證。只看到選單列上的連線圖示，並不代表所有 App 都已使用指定線路。
本指南適合首次設定的使用者，不需具備協定或分流知識。VPNUE 用戶端下載與訂閱取得須透過使用者面板操作，登入後即可使用；無需電子郵件地址，使用者名稱和密碼即可開通。實際支援的用戶端、協定及匯入入口，請以面板目前提供的說明為準。
設定前：區分系統 VPN 與代理訂閱
macOS 內建 VPN 設定入口，但不是通用的訂閱匯入工具。使用系統內建連線，需要相應的伺服器位址、連線類型與驗證資訊。Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 等代理協定，通常需要支援相應協定的第三方用戶端，無法直接將訂閱連結填入系統 VPN 的伺服器位址欄位。
訂閱連結也不等於某條線路的位址。用戶端連線至訂閱後，會取得服務提供的節點資訊；是否包含規則、策略群組與 DNS 設定，則取決於訂閱格式。不同用戶端支援的格式可能不同，「支援某種協定」和「可直接匯入某種訂閱」是兩回事。
| 方式 | 所需資料 | 主要注意事項 |
|---|---|---|
| 系統內建 VPN | 系統支援的連線類型與驗證資訊 | 不適用於匯入一般代理訂閱；請依服務說明設定 |
| 用戶端系統代理 | 相容的訂閱或節點設定 | 主要影響遵循系統代理設定的 App，不代表所有流量 |
| 用戶端 TUN 模式 | 相容的設定及必要的系統授權 | 透過虛擬網路介面接管流量，仍受路由、規則與排除項目影響 |
不能只看協定名稱判斷速度。Shadowsocks 是加密代理協定；Trojan 通常使用 TLS；VLESS 的傳輸方式與安全設定須依節點參數確認；Hysteria2 和 TUIC 基於 QUIC，網路是否允許 UDP 會影響連線。用戶端必須支援訂閱實際使用的協定與傳輸方式，請勿為了追求特定名稱自行修改節點參數。
安裝用戶端：確認系統與處理器相容性
點選 Apple 選單中的「關於這台 Mac」，確認 macOS 版本，並查看裝置使用 Apple 晶片還是 Intel 處理器。下載時選擇相應版本；若提供通用版本，請依發行方說明使用。部分舊版用戶端無法在較新的系統上正常執行，部分新版用戶端則需要較新的 macOS。
- 前往使用者面板的用戶端下載入口，登入後依 macOS 說明取得用戶端與相容性資訊。
- 確認下載來源、App 名稱與發行方。開啟磁碟映像檔後，若安裝說明有要求，請將 App 拖曳至「應用程式」資料夾，不要長期直接從磁碟映像檔執行。
- 從「應用程式」啟動用戶端，閱讀首次啟動時顯示的權限提示。暫時不要同時啟動其他代理或 VPN 用戶端。
- 安裝完成後再匯入訂閱。在確認來源與相容性之前，不要直接使用網路上找到的設定檔。
系統顯示「無法驗證開發者」時，不要直接關閉 Gatekeeper。先確認 App 是否來自發行方，以及是否有適用於目前系統的簽署版本；只有在確認來源並了解風險後，才依發行方說明使用系統提供的「允許打開」選項。若系統提示 App 已損毀，請先重新下載並核對發行說明，不要把移除隔離屬性當成通用修復方式。
系統權限：依實際要求逐項授權
授權介面會因 macOS 版本與用戶端實作方式而異。常見要求包括新增 VPN 設定、啟用網路延伸功能，或安裝用於修改網路設定的輔助程式。「設定」中的 VPN、網路及「隱私權與安全性」是主要檢查位置；找不到入口時，可直接搜尋「VPN」或用戶端名稱。
「允許新增 VPN 設定」代表允許 App 建立相應的網路連線，不代表已匯入訂閱。網路延伸功能的授權則可能用於接管流量。部分用戶端的 TUN 功能需要輔助程式，另一些則使用系統網路延伸功能，不能將所有用戶端都套用同一套授權流程。
- ✅ 授權提示中的 App 名稱與剛安裝的用戶端相符。
- ✅ 用戶端說明中有清楚說明所要求的網路權限用途。
- ✅ 若系統要求重新開啟 App 或重新啟動，請完成操作後再測試連線。
- ❌ 不要將輔助使用或完整磁碟存取權限視為所有 VPN 用戶端的必要條件。
- ❌ 不要關閉系統安全機制來處理來源不明 App 的安裝問題。
若裝置由公司或機構管理，安裝網路延伸功能或設定 VPN 可能受到管理政策限制。遇到設定呈現灰色、授權按鈕無法使用等情況，請聯絡裝置管理員，不要反覆解除安裝。即使有本機管理員權限，也不一定能變更受管理裝置的網路政策。
匯入訂閱：檢查格式、更新結果與節點
登入面板後，找到適用於目前用戶端的訂閱入口。優先使用服務明確提供的相應格式；若面板提供 App 內匯入按鈕，可允許它開啟已安裝的用戶端。若要複製連結，請在用戶端的訂閱或設定管理區新增設定，貼上連結後儲存。
- 為訂閱設定容易辨識的名稱。名稱僅用於區分設定，不必包含帳戶密碼。
- 執行更新或下載設定，確認用戶端是否顯示匯入成功。只儲存連結、沒有取得設定，不算完成匯入。
- 檢查是否顯示節點或策略群組，並確認目前啟用的是剛匯入的設定，而非舊設定或範例設定。
- 依服務說明選擇線路，再啟用用戶端要求的連線方式；首次測試時，請先關閉其他網路工具。
匯入失敗時，先確認錯誤發生在哪個步驟。下載失敗可能與目前網路、連結失效或面板存取狀態有關；下載完成後解析失敗，則較可能是格式或協定支援不相符。節點清單空白也可能是設定尚未啟用。不要將這些狀況一概歸因於線路無法使用，更不要修改連結中的憑證字元來「試看看」。
若訂閱憑證已外洩，請依面板提供的方式重設，再更新用戶端中的連結。提供截圖給客服時，請遮蔽完整訂閱網址、帳戶資訊與節點驗證欄位；有助於排查的資訊包括用戶端名稱、系統環境及已去除敏感資訊的錯誤訊息。
連線與分流：先驗證，再擴大接管範圍
用戶端通常提供規則模式與全域模式，也可能支援直連模式。規則模式會依網域、位址或其他比對條件選擇路徑；全域模式通常會將用戶端接管的流量交由所選代理處理，但不代表能略過所有系統排除項目。直連模式通常不經遠端代理。
初次設定可先使用服務提供的規則模式，測試瀏覽器及實際需要使用的 App。系統代理適用於遵循系統代理設定的程式；命令列工具、部分遊戲及使用自訂網路設定的 App 可能不遵循此設定。需要接管更多流量時，再檢查用戶端的 TUN 功能、授權要求與規則行為。
不要同時啟用多個用戶端的系統代理或 TUN。這些功能可能互相爭用系統代理設定、路由與 DNS，導致瀏覽器可用但其他 App 連不上，或關閉其中一個後整個網路異常。公司 VPN 與個人代理並用也可能造成路由衝突，請遵循裝置管理要求。
線路類型與用戶端模式是不同面向。IEPL 專線描述的是鏈路方案；中轉表示經由中間節點轉送；直連通常是直接連至境外入口。這些名稱都無法單獨保證目標網站可用。設定完成後，應依所在網路、實際使用時段與目標 App 的表現判斷，而非只看線路標籤。
確認連線生效：分別檢查出口、DNS 與 App
驗證時要區分「用戶端已建立連線」與「目標 App 使用了正確路徑」。先關閉用戶端，確認原有網路正常；再開啟連線，使用同一個瀏覽器檢查同一個目標頁面並比較結果。可透過可信任的出口 IP 檢查服務觀察變化，但不要在檢查頁面提交訂閱或帳戶資訊。
在規則模式下，出口檢查頁面可能被判定為直連，因此顯示本地出口不一定代表連線失敗。請檢查該頁面套用的規則，或暫時改用全域模式進行診斷，再恢復日常設定。瀏覽器連線正常後，還需另外測試辦公軟體、開發工具或其他目標 App。
如何判斷 DNS 洩漏
DNS 洩漏通常是指原本預期透過指定解析路徑處理的查詢，實際上送往了預期之外的解析器。解析器所在區域與出口區域不同，不能直接據此下結論；公共 DNS、任播網路與檢測資料庫都可能造成區域顯示差異。請綜合用戶端 DNS 設定、連線模式與檢測結果判斷。
瀏覽器的加密 DNS、系統 DNS 與用戶端 DNS 可能分別參與解析。排查時，先記錄目前設定，再依用戶端說明調整解析路徑並重新測試，不要一次變更多個開關。啟用 TUN 不代表一定能解決 DNS 洩漏；DNS 接管方式、路由規則與排除項目仍須正確設定。
如何透過終端機與開發工具驗證
終端機程式不一定會讀取 macOS 系統代理。必要時，請依用戶端文件為相應工具設定代理，並從本機用戶端確認位址與連接埠，不要照抄他人的連接埠。Shell 中保留的 HTTP_PROXY、HTTPS_PROXY 或 ALL_PROXY 環境變數，也可能讓工具繼續連到已關閉的本機代理。
常見故障：依照現象縮小排查範圍
用戶端顯示已連線，但網頁無法開啟：先確認已啟用正確設定、選擇節點，並開啟所需的系統代理或 TUN。接著確認錯誤是網域解析失敗、代理連線失敗，還是目標網站拒絕連線。試用服務提供的其他線路，有助於判斷是否為單一線路問題，但不應頻繁修改協定參數。
瀏覽器可用，但某個 App 無法連線：檢查該 App 是否遵循系統代理設定、是否設有自己的代理，以及規則是否將它分配為直連。若要啟用 TUN，請先確認用戶端支援並完成網路權限授權；不要只根據瀏覽器的結果判斷整台裝置的連線狀態。
從睡眠中喚醒後無法恢復連線：確認網路已重新連線，再讓用戶端重新連線或更新設定。切換 Wi-Fi 與從睡眠中喚醒，都可能使舊連線失效。若問題持續，請記錄喚醒後的錯誤訊息，並檢查用戶端更新與網路延伸功能狀態，不要直接刪除所有網路服務。
關閉用戶端後仍無法連上網路：檢查系統代理設定是否殘留，並確認已關閉不再需要的代理選項；接著檢查終端機環境變數與其他網路工具。準備解除安裝時，先在用戶端中中斷連線、關閉流量接管功能，並依發行方說明移除輔助程式或延伸功能，不能只將 App 拖進垃圾桶。