Mac 用 VPN，关键不是把开关打开，而是让客户端、订阅格式与 macOS 网络权限匹配。这份 macOS 安装与导入订阅指南按实际操作顺序展开：先确认软件来源，再导入配置，最后分别验证网络出口、分流与 DNS，避免把“已连接”当成所有应用都已生效。
准备：确认 Mac 架构与客户端来源
打开苹果菜单中的“关于本机”，查看显示的是 Apple 芯片还是 Intel 处理器。下载时选择对应架构；若提供通用版本，可按发布说明使用。安装包能下载不代表适合当前系统，还应核对客户端要求的 macOS 版本，避免把兼容性问题误判成线路故障。
VPNJY 用户应从面板获取客户端，不要根据搜索结果中的同名软件自行替换。面板需要登录时，使用已有用户名和密码；新用户无需邮箱地址。安装前也应确认面板中有可用套餐和配置，不要把“软件安装完成”理解为服务已经开通。
协议名称与客户端名称不是一回事。Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 的支持情况取决于客户端内核和具体版本；名称出现在介绍里，也不代表它支持该协议的全部参数。应以面板当前提供的配置及客户端兼容说明为准，不能仅凭订阅链接能粘贴就判断兼容。
安装与权限：先核实来源，再允许运行
- 完成安装。磁盘映像通常需要将应用拖入“应用程序”；安装器则按向导完成。安装后从“应用程序”启动，不要长期在挂载的磁盘映像中运行，以免更新或辅助组件定位异常。
- 判断首次打开提示。来自互联网的应用可能出现确认弹窗。先核对下载来源与发布说明，再决定是否继续。若提示无法验证开发者，在确认来源可信后，可查看“系统设置 → 隐私与安全性”是否提供针对该应用的允许选项。
- 按功能授予网络权限。客户端可能请求添加 VPN 配置、启用网络扩展或安装辅助工具。这些权限对应不同的接管方式，不是每款软件都会全部请求；系统路径和提示文字也可能随版本变化。
- 回到客户端检查状态。完成系统确认后，有些客户端需要重新启用连接。若系统明确要求重启，再保存工作并执行，不必把重启作为所有问题的默认解法。
不要用关闭系统防护来处理弹窗。“应用已损坏”可能涉及文件不完整、签名或兼容性问题；“将损坏电脑”等恶意软件警告应停止运行并核实。不要照抄来源不明的终端命令批量移除隔离标记，也不要为普通联网功能随意开放完全磁盘访问权限。
普通代理连接通常不需要辅助功能或屏幕录制权限。若客户端额外索取此类权限，应先阅读功能说明。受组织管理的 Mac 可能限制网络扩展安装，此时应联系设备管理员，不要尝试绕过管理策略。
导入订阅：区分链接、配置与节点
订阅链接是客户端获取配置的入口，内容可能包含节点、策略组和规则，也可能只有节点列表。它不是普通的营销网页地址，更不是登录密码。不同客户端可能使用不同订阅格式，应优先使用面板为目标客户端提供的一键导入入口，或复制对应格式的订阅地址。
- 在面板复制对应订阅。先确认目标是当前使用的 macOS 客户端。不要复制浏览器地址栏里的面板页面，也不要截断链接末尾的参数。
- 在客户端新建远程配置。入口可能叫“订阅”“配置”或“Profiles”。粘贴完整地址并保存；如果使用一键导入，核对系统唤起的是预期应用。
- 手动更新并激活。看到更新成功后，检查是否出现节点或策略组，再选中这份配置。列表里有配置但未激活，运行时仍可能使用旧配置。
- 选择线路并连接。先保留默认规则，选择面板列出的可用线路，启用系统代理或客户端建议的连接模式，然后打开目标网站验证。
导入报错时先看错误阶段。下载失败应检查基础网络、链接完整性和订阅是否仍有效；解析失败更可能与格式或内核兼容性有关；节点已出现但连不上，则应继续检查线路、套餐状态与接管模式。重新安装客户端通常不能解决订阅格式不匹配。
把订阅链接当作敏感凭据。链接可能允许持有者获取连接配置，不要放进公开截图、代码仓库或在线转换网站。需要转换格式时，优先遵循面板说明；怀疑链接泄露，应使用面板提供的重置功能，再更新各设备配置。
系统代理、隧道模式与分流怎么选
系统代理通常让遵循 macOS 代理设置的应用经过客户端，但终端工具、部分游戏或自带网络栈的应用可能不遵循它。TUN 或类似隧道模式通过虚拟网络接口处理流量，接管范围通常更广，也更依赖网络扩展、路由和 DNS 配置。具体行为由客户端实现决定。
| 方式 | 适用情况 | 需要确认 |
|---|---|---|
| 系统代理 | 先验证浏览器与常规桌面应用 | 目标应用是否遵循系统代理设置 |
| TUN／隧道模式 | 需要处理不遵循系统代理的应用 | 扩展权限、路由、DNS 与软件兼容性 |
| 应用内代理 | 只为特定工具设置连接路径 | 代理类型、监听地址及客户端实际端口 |
| 系统内置 VPN | 使用系统支持的协议与匹配配置 | 不能直接导入任意代理客户端订阅 |
分流规则决定哪些请求直连、哪些走代理。日常使用可从服务提供的默认规则开始；“全局”一般表示客户端所接管的流量采用指定代理策略，不代表系统代理模式下的所有应用都已被接管。不要同时修改模式、规则与 DNS，否则出现问题时很难定位原因。
线路类型也不能代替客户端设置。直连通常由本地直接连接境外节点，中转会经过额外转发入口，IEPL 专线描述的则是特定承载链路。它们不等同于流量接管模式，也不能单凭名称推断实际速度；应结合面板说明及目标应用的真实表现选择。
验证生效：出口、应用与 DNS 分开检查
先查看客户端是否有连接错误，再访问我的 IP，比较连接前后的出口信息。查询请求本身也会受分流规则影响：若该站被设为直连，显示本地出口不一定说明代理失效；出口变化同样只证明这次请求的路径发生变化，不能证明每个应用都使用了相同路径。
- ✅ 浏览器能打开目标网站，并能完成登录或实际内容加载，而不只是显示首页。
- ✅ 在客户端连接列表中确认目标应用的请求及规则命中结果；不要只看连接开关。
- ✅ 对终端工具单独验证；浏览器正常、命令行失败时，检查工具的代理支持和环境变量。
- ✅ 检查 DNS 请求是否符合预期路径，同时留意浏览器安全 DNS 设置是否覆盖客户端安排。
- ✅ 断开连接后仍能正常访问原本可用的网站，确认系统代理与网络设置已恢复。
DNS 泄漏是指域名解析请求走了非预期路径，不是“测试页出现陌生服务商名称”就能直接下结论。客户端可能使用远程解析、加密解析或虚拟地址映射，浏览器也可能另行配置解析器。应结合客户端文档、连接记录与测试结果判断；不要为让测试页面好看而随机替换 DNS。
macOS 与其他平台的权限入口和后台运行机制不同，照搬移动端截图容易找错设置。即使都叫“规则模式”，不同客户端的 DNS、路由及应用接管能力也可能不同，因此验证应在当前 Mac 上完成。
常见故障：按症状缩小范围
连接正常，但部分应用无法访问
先确认是否仅该应用失败，再检查它是否遵循系统代理。终端工具可能读取代理环境变量，也可能需要独立参数；变量名称和支持方式由工具决定，不宜套用统一命令。确需启用隧道模式时，按文档操作，并留意它与企业 VPN、过滤软件或其他网络扩展的冲突。
连接后整个网络不可用
先断开客户端，确认基础网络恢复，再检查是否有其他代理软件同时接管流量。若退出后仍无法联网，可在“系统设置 → 网络”中查看当前网络服务的代理设置，核对是否残留指向已停止客户端的本地代理。只撤销本次产生的设置，不要删除组织要求的网络配置。
更新订阅成功，节点却不可用
订阅更新只代表配置获取成功。继续检查面板中的套餐状态与剩余流量，再换面板列出的其他线路验证。VPNJY 月订阅流量按开通日重置；流量包用完为止，永久不过期。不要将流量耗尽与客户端权限故障混为一谈，也不必为了排错反复重置订阅链接。
提交问题前保留哪些信息
记录 macOS 版本、芯片架构、客户端及内核版本、连接模式、错误原文，以及问题是否只出现在特定网络。截图前遮住订阅地址、令牌和账号信息；日志也可能包含目标域名。可通过面板工单提交与故障相关的最少信息，避免公开整份配置。