MacでVPNを使う際は、インストール、権限設定、サブスクリプションの読み込み、接続確認を分けて進めることが大切です。macOSに「接続済み」と表示されても、目的のアプリがプロキシを経由しているとは限りません。まずクライアントの種類を確認し、システムの許可を済ませてから、実際の通信で出口と振り分けを確認すると、原因を特定しやすくなります。
Mac VPNの接続方式と権限の違い
「VPNクライアント」は日常的な総称で、実際にネットワークを経由させる方法はさまざまです。macOSのシステム設定にあるVPN構成、アプリのシステムプロキシ設定、クライアントが提供するトンネルモードは、それぞれ別の機能です。サブスクリプションリンクを受け取ったら、通常は対応するクライアントに読み込みます。システムVPNのサーバーアドレス欄に貼り付けるものではありません。
| 方式 | 適用範囲 | 主な許可設定と制限 |
|---|---|---|
| システムVPN構成 | システム対応のVPNプロトコル、または対応アプリで経路を設定 | VPN構成の追加を許可するよう求められる場合があります。一般的なプロキシのサブスクリプションには直接対応しません。 |
| システムプロキシ | 主にシステムプロキシ設定に従うアプリに適用 | クライアントから補助ツールの許可を求められることがあります。一部のアプリはこの設定を使用しません。 |
| トンネルモード | 仮想ネットワークインターフェースを使い、経路ルールに該当する通信を中継 | クライアントの実装によって、ネットワーク拡張や特権ヘルパーツールを使う場合があります。 |
Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUICはそれぞれ異なるプロキシプロトコルで、対応状況はクライアントごとに異なります。画面に「サブスクリプション」ボタンがあっても、すべての形式やプロトコルに対応しているとは限りません。配布ページやクライアントのドキュメント、サブスクリプション形式の説明を確認してください。ファイルの拡張子を変更しても、互換性の問題は解決しません。
クライアントのインストールと初回起動
ユーザーパネルのダウンロードページからクライアントを入手するか、推奨環境を確認してください。ダウンロード前に「このMacについて」でチップの種類とシステムのバージョンを確認し、対応するインストーラーを選びます。Appleシリコン版かIntel版かは、アプリ名だけでは判断できません。ユニバーサル版がある場合も、対応するシステムの範囲を確認してください。
- 配布元を確認する。ダウンロード先がパネルに記載された配布元、またはクライアントの公式配布元であることを確認してください。検索結果にある、出所の分からない再パッケージ版は使わないでください。
- インストールする。ディスクイメージの場合は、通常、開いてアプリを「アプリケーション」フォルダにドラッグします。インストーラーパッケージの場合は、画面の案内に従ってください。マウントしたディスクイメージからアプリを起動し続けないようにしましょう。
- 初回起動する。「アプリケーション」からクライアントを起動します。システムの確認画面に表示されたアプリ名と要求内容を読み、許可するか判断してください。
- 自動起動は後から設定する。まず手動で接続を確認し、必要に応じてログイン時の起動を有効にします。誤ったプロキシ設定がログインのたびに適用されるのを防げます。
開発元を確認できないというシステム警告が表示されたら、バージョン、署名に関する説明、ダウンロード元を確認してください。信頼でき、組織の管理ルールにも適合すると確認できた場合に限り、macOSのセキュリティ設定に沿って対処します。インストールのためにMac全体のセキュリティチェックを無効にしたり、出所の分からない権限昇格コマンドをターミナルに貼り付けたりしないでください。
会社管理のMacでは、管理ポリシーによってネットワーク拡張、VPN構成、ログイン項目が制限されている場合があります。その場合は管理者に問い合わせてください。許可できない原因を、安易にクライアントの不具合と決めつけないようにしましょう。
システムの権限とネットワーク拡張の許可
アプリを起動しても、ネットワークの許可を求める画面がすぐに表示されるとは限りません。初回接続時、トンネルモードの有効化時、または補助ツールのインストール時に、初めて許可を求めるクライアントもあります。使用するモードを選んでから接続または有効化し、システムの確認画面が表示されるか確認してください。
VPN構成の追加を確認する画面では、該当するネットワーク構成を許可します。補助ツールが管理者による認証を求めるのは、ネットワーク設定の変更など、特権が必要な操作のためであることが一般的です。ネットワーク拡張は、システム設定から別途許可する場合があります。macOSのバージョンによって設定項目の名前や場所が異なるため、「VPN」「拡張機能」「ログイン項目」などで検索し、クライアントのドキュメントも参照してください。
権限の確認画面が表示されない
アプリがメニューバーで操作待ちの状態になっていないか確認し、すでに許可済みかどうかも調べてください。システム設定で該当する構成や拡張機能の状態を確認します。以前に拒否していた場合、接続ボタンを押し直すだけでは確認画面が再表示されないことがあります。クライアントの案内に従って機能を有効にし、必要であればアプリを完全に終了してから起動し直してください。
ネットワーク拡張がブロックされた
確認画面に表示された開発元の名前が、ダウンロード元と一致するか確認し、システム設定から承認待ちの項目を処理してください。再起動はシステムまたはクライアントから明示的に求められた場合に限ります。同じ役割を持つトンネルツールを複数同時に有効にしないでください。既存の企業向けVPN、コンテンツフィルター、セキュリティソフトが競合する場合もあるため、それぞれの用途を確認してから原因を調べましょう。
サブスクリプションの読み込み・更新と接続先の選択
サブスクリプションリンクは、設定を更新するための入り口で、認証情報やアクセストークンを含む場合があります。パネルのログインURLや個別のノード共有リンクとは別のものです。コピーする際はパネルのサブスクリプション機能を使い、ブラウザーのアドレスバーからアカウントページ全体を誤ってコピーしないようにしてください。
- 対応する形式を確認する。パネルで使用するクライアントまたは設定形式を確認し、該当するサブスクリプションリンクをコピーします。
- サブスクリプションを追加する。クライアントで「設定」「サブスクリプション」などの項目を開き、リンクから読み込みます。項目名は実際の画面に従ってください。
- 更新して内容を確認する。更新エラーがないこと、ノード一覧やグループが表示されていることを確認します。リンクを保存しただけで設定をダウンロードしていない場合、通常は接続できません。
- 接続先を選んで接続する。まずは既定のルールを使い、目的の地域に合った接続先を手動で選びます。その後、システムプロキシを有効にするか、必要に応じてトンネルモードを有効にしてください。
読み込みに失敗したら、「設定をダウンロードできない」のか「設定を解析できない」のかを切り分けます。前者はローカルネットワーク、リンクの有効性、パネルの状態を確認してください。後者は形式、クライアントのバージョン、プロトコルへの対応状況が主な確認点です。ノードが表示されても接続できない場合は、サブスクリプションが最新か、アカウントが有効か、選択した接続先に問題がないかを確認します。アプリの再インストールを繰り返す必要はありません。
IEPL専用線、中継、直結は、回線の経路や接続方式を表すもので、クライアントのプロトコルではありません。専用線かどうかと、ノードがTrojanなどのどのプロトコルを使うかは、別の要素です。また、専用線という名称だけで、どの地域のネットワークでも速いとは限りません。目的のサービスに合わせて地域を選び、実際に接続して確認してください。選択できる接続先は回線ページで確認できます。
サブスクリプションリンク全体、設定ファイル、読み込み用QRコードを公開の掲示板に投稿しないでください。サポートに問い合わせる場合は、エラーメッセージ、クライアントのバージョン、システムのバージョンを伝え、サブスクリプショントークンなどのアカウント情報は隠してください。
接続先、DNS、振り分けの動作を確認する
接続状態だけでなく、アプリの動作も確認してください。接続後にIPアドレス確認ページを開いて更新し、現在の通信の出口を確認します。このページへの通信がルールによって直結になっている場合、ローカルの出口が表示されても想定どおりかもしれません。それだけでクライアント全体が機能していないとは判断できません。対象の通信に適用されたルールと、目的のサービスでの動作をあわせて確認しましょう。
- ✅ クライアントに設定が読み込まれ、接続先が選択されている。接続中に認証エラーやハンドシェイクエラーが繰り返し発生していない。
- ✅ 実際に使いたいWebサイトを開き、メニューバーのアイコンだけでなく、ページの表示やログイン操作が正常に行えるか確認する。
- ✅ クライアントの接続ログやルールの適用状況を確認し、対象のドメインに想定したポリシーグループが適用されているか調べる。
- ✅ システムプロキシを使わないアプリは個別にテストする。必要に応じてアプリ独自のプロキシ設定を確認するか、対応するトンネルモードを使う。
- ✅ 切断後にもう一度テストし、ネットワークが元に戻ることと、終了したクライアントを指すプロキシ設定がシステムに残っていないことを確認する。
DNSリークは接続先の地域だけでは判断できない
DNSの名前解決とWebサイトへの接続は、異なる経路を通る場合があります。DNSリークとは、問い合わせが想定した名前解決経路を通らず、プライバシー上望ましくないDNSサーバーに送られる状態を指します。IP確認ページにプロキシ経由の出口が表示されても、DNSが想定どおりとは限りません。ブラウザーのセキュアDNS、クライアントのDNS設定、システムのキャッシュも結果に影響します。
確認時は、クライアントのDNSポリシー、関連する通信ログ、信頼できるDNS検査の結果をあわせて見てください。検査ページに表示されるDNSサーバーの地域が、実際の通信経路と一致するとは限りません。システムDNS、ブラウザーのセキュアDNS、クライアントのルールを一度に変更すると、どの設定が変化の原因か特定しにくくなります。
ルールモードとグローバルモード
ルールモードでは、設定に基づいて通信をプロキシ経由または直結に振り分けます。グローバルモードは通常、ポリシーの選択方法を変えますが、すべてのアプリの通信を必ず中継するわけではありません。適用範囲はシステムプロキシかトンネルモードかによって異なります。ブラウザーは使えて業務アプリが使えない場合は、ノードが使えないと判断する前に、アプリがシステムプロキシに従うか、ドメインルールが適切かを確認してください。
よくある不具合の確認手順
接続済みなのにWebページが開かない：まずクライアントを切断し、ローカルネットワーク自体が使えるか確認します。ポータル認証が必要な公衆ネットワークでは、先に認証を完了してください。次に、システム時刻、サブスクリプションの更新状況、接続先、DNSを確認します。設定は一度に一つだけ変更して結果を記録しましょう。ルールとネットワークを同時に切り替えると、比較できなくなります。
ブラウザーは使えるのに、ほかのアプリは接続できない：アプリ独自のプロキシ設定と通信の適用範囲を優先して確認します。社内向けアドレスを使う場合は、社内ドメインが誤って国際回線に送られていないかも確認してください。特定のアプリを使うために、すべての振り分けルールを削除するのは避けましょう。
クライアント終了後にインターネットへ接続できない：現在のネットワークサービスのプロキシ設定を確認します。終了したクライアントが使っていたローカルアドレスを指している場合は、クライアントの案内に従って残ったプロキシ設定を解除してください。見覚えのないネットワーク構成を削除する前に、職場の環境やほかの必要なサービスに関係するものではないか確認しましょう。
スリープ復帰後やネットワーク切り替え後に動作しない：まず再接続し、クライアントでネットワークインターフェースの再読み込みが必要か確認します。同じネットワークで繰り返し発生する場合は、ネットワークの種類、発生状況、エラー内容をサポートページから送ってください。「接続できない」とだけ伝えるより、原因を特定しやすくなります。