Mac VPN 推薦依據：架構、流量接管方式與分流
挑選 Mac VPN 不能只看節點清單。網路擴充權限、M 系列晶片相容性，以及能否與 Apple 服務並行使用，都會影響用戶端能否穩定運作。建議依序確認：軟體是否支援目前的系統、流量如何接管，最後再測試目標網站與日常同步是否正常。
用戶端與線路服務屬於不同層面。用戶端負責讀取設定、建立連線及執行規則；線路服務則提供可連線的入口與出口。用戶端顯示「已連線」，只代表某個連線環節已完成，不表示所有應用程式都使用該出口，也不表示 DNS 查詢一定依照預期處理。
| 使用需求 | 優先確認 | 容易忽略的限制 |
|---|---|---|
| 主要使用瀏覽器 | 系統代理與規則模式 | 部分應用程式不會讀取系統代理設定 |
| 接管更多應用程式流量 | 網路擴充或 TUN 接管能力 | 仍須確認路由、排除項目與 DNS 設定 |
| 使用 M 系列 Mac | Apple Silicon 或 Universal 版本 | 圖形介面與網路元件可能有不同的相容性要求 |
| 維持 Apple 服務的日常使用體驗 | 網域分流、區域網路直連與記錄檢視 | 網站出口與帳號地區是不同概念 |
選擇建議：優先選擇支援目前 macOS、原生支援本機架構，且能檢視規則匹配結果的用戶端。若只需瀏覽器流量，不必為了功能名稱而主動啟用更廣泛的流量接管。
M 系列晶片相容性：原生執行與轉譯
在「關於這台 Mac」確認晶片類型，再選擇相應的安裝檔。Apple Silicon 版本適用於 M 系列晶片，Intel 版本適用於 Intel Mac；Universal 應用程式通常同時包含兩種架構，但仍須查看發行說明中的系統需求。
安裝後，可在「活動監視器」的「種類」欄確認程序實際以 Apple 或 Intel 架構執行。若應用程式提供「使用 Rosetta 打開」選項，也請確認是否已啟用。能透過 Rosetta 啟動，不代表輔助元件與網路擴充一定相容。
不要只以介面能否開啟作為驗收標準。還應測試訂閱更新、連線建立、休眠喚醒與網路切換。若問題只在喚醒後出現，先確認用戶端是否恢復連線、預設路由是否變更，再考慮重新安裝。反覆重裝會失去現場資訊，卻未必能解決路由衝突。
請從服務面板或用戶端的正式發布管道下載。若系統阻止啟動，先確認下載來源、簽章與系統相容性說明；不要把關閉 Gatekeeper 或系統完整性保護當成一般安裝步驟。
網路擴充權限：依照實際提示授權
macOS 用戶端可能使用系統代理、Network Extension，或透過具特權的輔助程序建立虛擬網路介面。實作方式不同，授權提示也會不同。並非所有用戶端都需要網路擴充；看到 VPN 設定，也不代表所有流量都必定經過遠端。
- 確認提示的發起者。首次啟用流量接管功能時，請確認系統提示中的應用程式或開發者名稱與剛安裝的軟體一致，不要授權來源不明的元件。
- 允許必要的設定。若提示新增 VPN 設定，確認後前往系統設定中的 VPN 相關頁面核對。若提示核准網路擴充，請依系統指引前往相應的擴充設定；不同 macOS 版本的入口可能位於「一般」中的登入項目與擴充功能，或「隱私權與安全性」相關頁面。
- 返回用戶端再次確認。完成授權後，再啟用相應模式。只有在用戶端或系統明確要求時，才重新啟動相關程序或裝置，避免同時修改多項設定。
- 檢查管理限制。受組織管理的 Mac 可能透過描述檔限制 VPN 或擴充功能。遇到這種情況，請聯絡裝置管理員，不要嘗試規避管理政策。
完整磁碟存取權限與輔助使用權限，通常不是建立代理連線的必要條件。若軟體要求額外權限，請閱讀該功能的說明，分辨自動化操作、檔案讀取與網路接管各自的用途。授予更多權限不代表連線會更穩定。
匯入訂閱：先確認格式，再檢查連線
訂閱連結通常包含設定存取憑證，應比照密碼妥善保管。VPNRB 使用者可登入面板取得訂閱與 macOS 用戶端入口；實際支援的格式、協定與系統版本，請以面板說明為準。不要將連結貼到公開轉換網站，也不要在求助截圖中顯示完整網址。
Shadowsocks、VMess、Trojan、VLESS、Hysteria2 與 TUIC 並非可任意互換的設定名稱。用戶端必須同時支援實際使用的協定及其參數。支援某種協定，也不代表能直接讀取所有訂閱格式。此處列出的是相容性檢查項目，不表示 VPNRB 提供所有協定。
- ✅ 選擇用戶端支援的訂閱格式，將連結貼到「訂閱」或「設定」入口，不要貼進瀏覽器搜尋欄。
- ✅ 手動更新訂閱，確認清單中出現線路名稱；若清單空白，先檢查連結是否完整、方案狀態及更新錯誤。
- ✅ 選好線路後啟用一種流量接管方式，日常驗證可先從規則模式開始。
- ✅ 開啟目標網站並檢視連線記錄，分辨設定解析失敗、交握失敗與規則未匹配。
- ❌ 不要同時執行多個會接管網路流量的用戶端，以免代理連接埠、預設路由或 DNS 設定互相覆蓋。
IEPL 專線、中轉與直連描述的是線路傳輸路徑，與用戶端協定屬於不同層面。IEPL 通常用於專用傳輸鏈路的一段；中轉會經過額外的轉送入口；直連則是由本地網路直接連上遠端入口。單憑名稱都無法判斷特定 Mac 的實際體驗，應在相同使用環境下進行驗證。
Apple 服務並行使用：先檢查規則，不急著切換地區
iCloud、App Store 與系統更新涉及不同網域、連線與帳號狀態。切換出口不會自動變更 Apple 帳號的國家或地區。遇到商店內容、付款方式或帳號驗證問題時，應分開檢查帳號設定與網路連線，不要為了排查網路故障而連續切換帳號地區。
日常可先使用用戶端提供的規則模式，檢查 Apple 相關連線是走直連還是代理。不能一概要求所有 Apple 服務都必須直連：本地網路可能無法順暢連上部分目標，而某個遠端出口也可能影響下載或同步。請依照發生問題的服務調整，並在修改後確認結果。
若 iCloud 檔案停留在等待狀態，先暫停大型檔案傳輸並查看用戶端連線記錄；確認失敗的是驗證、檔案傳輸或其他請求，再暫時調整相關規則。不要為了修復同步而直接登出 Apple 帳號，重新設定帳號可能導致額外的本機資料處理。
AirDrop、印表機與區域網路共享也仰賴本地網路連線。啟用虛擬介面接管後，請確認區域網路網段已列入排除規則。若找不到本地裝置，先暫停流量接管進行比較，再檢查用戶端的區域網路存取設定。
若已啟用 iCloud 專用代理，它可能影響 Safari 出口的觀察結果，實際行為取決於系統與網路設定。排查時可暫時停用相關功能進行比較，完成後再恢復；不要直接把 Safari 的出口視為所有應用程式的出口。
DNS 與分流驗證：不只看連線圖示
先在用戶端關閉時記錄出口，再啟用用戶端，透過IP 查詢頁面確認瀏覽器目前的出口。若目標是依規則代理，出口沒有變化不一定代表故障，也可能是查詢網站被設為直連；還需查看連線記錄，確認實際套用的策略。
DNS 洩漏通常是指查詢經由非預期的解析路徑送出。例如，原本希望某個代理網域的查詢進入通道，結果卻交由本地網路的解析器處理。系統代理不會自動接管所有 DNS；TUN 模式也需要正確設定 DNS 路由或攔截規則。瀏覽器內建的加密 DNS 也可能形成獨立路徑。
可使用 DNS 檢測頁面查看解析器資訊，並與用戶端的 DNS 設定比對。不過，檢測結果中的機構名稱無法單獨證明有 DNS 洩漏：公共解析服務可能使用分散式出口，用戶端也可能刻意讓直連網域在本地解析。判斷標準應是「實際路徑是否符合預期」，而不是是否出現熟悉的地名。
終端工具的行為也不盡相同。部分指令不會自動讀取 macOS 圖形介面的系統代理，需要明確設定代理參數，或使用已正確接管流量的虛擬介面；dig 的結果也無法完整代表所有應用程式的系統解析行為。因此，若瀏覽器能連線、終端卻無法連線，應先確認流量接管範圍，而不是立刻認定線路失效。
常見故障：保留現場，逐項排查
顯示已連線，網頁仍無法開啟
先確認訂閱是否有效、所選線路是否已建立連線，再檢查請求是否進入用戶端。若記錄中沒有目標請求，優先檢查系統代理或流量接管開關；若出現網域解析錯誤，檢查 DNS；若交握失敗，則確認節點設定、系統時間與網路環境。每次只修改一項，才能判斷變更是否有效。
休眠後無法連線，或切換網路後未恢復
先中斷用戶端連線，再測試本地網路。若本地網路恢復，檢查用戶端的重新連線與路由恢復情況；若仍無法連線，查看系統代理是否仍有設定。不要只關閉視窗，請使用用戶端的中斷連線或結束操作停止流量接管。解除安裝軟體前也應先中斷連線，避免留下失效的本機代理設定。
瀏覽器正常，Apple 服務或其他應用程式異常
確認異常應用程式是否使用相同的網路路徑，再檢查相關網域匹配到的規則。暫時切換全域代理可用於定位問題，但不應直接當成長期方案；若切換後恢復正常，請繼續找出遺漏的規則或 DNS 差異，再切回日常分流設定。