先に結論から。macOSでの設定順序は「まず許可、次に読み込み、最後に確認」です。順序を入れ替えてもすぐにエラーは出ませんが、トラブル時に原因を見誤ります。ノードが壊れていると思ったら、実際にはシステム拡張がまだ読み込まれていなかった、というケースです。以下、この順序で解説します。
事前準備:OSバージョンとアカウント権限の確認
macOS 10.15 Catalina 以降、サードパーティ製のネットワーククライアントはカーネル拡張からシステム拡張(System Extension)の枠組みへと順次移行し、許可の入口はシステム側で一元管理されるようになりました。macOS 13 からは設定アプリの名称が「システム設定」に変わり、それ以前は「システム環境設定」でした。メニュー名は異なりますが、仕組みは同じです。まず拡張の読み込みを許可してはじめて、クライアントがネットワークトラフィックを引き受けられます。
アカウントについては、クライアントのインストール、システム拡張の許可、VPN 設定の書き込みのいずれにも管理者権限が必要です。この Mac を家族で共用していて、普段は標準ユーザーでログインしている場合は、管理者のユーザー名とパスワードを把握しているか先に確認してください。そうでないと、許可のダイアログが出たときに待つしかなくなります。
クライアントの入手元も事前に決めておきましょう。App Store 版はサンドボックスと審査の制約を受け、システムが提供するネットワークインターフェースしか使えないため機能は控えめです。公式サイトから直接ダウンロードした版はシステム拡張をインストールでき、TUN モードで全体のトラフィックを引き受けられます。2つの入手元のクライアントを同時にインストールしないでください。同じ VPN 設定を奪い合い、「インストールはできるのに接続できない」という症状になります。
- ✅ システムが macOS 10.15 以降で、メニューの場所は自分のバージョンに合わせて読み替えられる。
- ✅ 現在のアカウントが管理者である、または管理者パスワードを把握している。
- ✅ 手元に有効なサブスクリプションリンクがあり、通常は https で始まる。
- ❌ 2つの入手元のクライアントを同時にインストールしない。古いクライアントを完全に削除しないまま新しいものを入れるのも避ける。
クライアントのインストール:まずシステム拡張の許可を通す
インストーラを「アプリケーション」フォルダにドラッグしたあと、初回起動時に Gatekeeper に止められることがあります。「システム設定 → プライバシーとセキュリティ」を開き、該当する項目の横にある「このまま開く」をクリックすれば進めます。システムのセキュリティ機能をオフにする必要はありません。
ここからが本記事で最も重要な部分、許可の順序です。次の5ステップのとおりに進めれば、「接続できない、ノードが壊れた」と勘違いする回り道を減らせます。
- クライアントを起動します。初めて接続を試みると、macOS が「VPN 構成を追加しますか」というシステムダイアログを表示するので、ログインパスワードを入力するか Touch ID で確認します。このダイアログはクライアントではなくシステム側のもので、このアプリにネットワークトラフィックの引き受けを許可する確認です。
- クライアントがシステム拡張を使う場合(TUN モード対応のクライアントはほぼ該当)、インストール時または初回起動時に「開発元のシステムソフトウェアの読み込みがブロックされました」と表示されます。「システム設定 → プライバシーとセキュリティ」を開き、ページ下部にあるこの項目を見つけて「許可」をクリックし、もう一度パスワードを入力します。
- macOS 15 以降ではこの項目は「プライバシーとセキュリティ → システム拡張」の領域に移動しました。場所は変わりましたが、ボタン名は今も「許可」です。
- 許可が完了すると、システムがクライアントの再起動を求めます。バージョンによっては Mac 本体の再起動が必要です。案内に従ってください。飛ばしてはいけません。拡張が読み込まれていないと、以降の設定はすべて空回りします。
- クライアントに戻って状態を確認します。拡張が正常に読み込まれていれば接続ボタンが押せる状態になり、ステータスバーに「接続済み」と表示されます。読み込まれていない場合はボタンがグレーのまま、またはクリックしても何も起きません。
許可のダイアログは一度しか出ない
システム拡張の許可を拒否しても、システムが何度もダイアログで知らせることはありません。「プライバシーとセキュリティ」に未処理の記録が1件残るだけです。この記録が見つからない場合は、まずクライアントが本当に要求を出したかを確認し、次に現在ログインしているアカウントがインストール時の管理者アカウントかどうかを確認してください。
サブスクリプションの読み込み:リンク、QR コード、手動入力
サブスクリプションリンクはクライアントと回線をつなぐ唯一の認証情報で、ノード一覧、プロトコルパラメータ、更新先アドレスが含まれます。読み込み方法は次の3つで、手軽な順に並べています。
- リンクを貼り付け:クライアントで「サブスクリプションを追加」または「クリップボードから読み込み」をクリックし、https で始まるリンク全体を貼り付けます。名前は任意で、確定するとクライアントが自動的にノード一覧を取得します。
- QR コードで読み込み:サブスクリプションページには通常 QR コードも用意されています。Mac ではクライアント内蔵の読み取り機能を使うか、スマホで読み取ってリンクを Mac に送る方法でもかまいません。
- 手動入力:サーバーアドレス、ポート、プロトコル種別、パスワードまたは UUID を項目ごとに入力します。サブスクリプションリンクがない場合に限って使いましょう。手入力はプロトコルパラメータを落としやすく、接続はできてもページが開かない原因になります。
読み込みに成功すると、クライアントの左側にサブスクリプションのグループが現れ、展開するとノード名と地域が確認できます。グループが空だったり「更新に失敗しました」と表示されたりする場合は、まずリンクが改行で途切れていないか確認してください。チャットからリンクをコピーすると、末尾に余分な空白が付いたり数文字足りなかったりすることがよくあります。
プロトコルについては、主要なクライアントは Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC に対応しています。このうち Hysteria2 と TUIC は QUIC ベースで、パケットロスが多い回線で有利ですが、クライアントのバージョン要件があります。クライアントが古い場合、この2つは一覧に表示されないことさえあります。リンクが壊れているわけではないので、クライアントを更新すれば解決します。
| 読み込み方法 | 向いている場面 | よくあるトラブル | 確認するポイント |
|---|---|---|---|
| サブスクリプションリンクを貼り付け | 日常利用、一度読み込めば長く更新される | 形式エラー、または取得結果が空 | リンクが完全か、余分な空白が入っていないか確認 |
| QR コードを読み取る | スマホから設定を移行する | 読み取っても反応がない | QR コードの出所が信頼できるか、画面の明るさが十分かを確認 |
| パラメータを手動入力 | サブスクリプションリンクがなく、単一ノードを一時的に使う | 接続はできるがページが開かない | プロトコル種別と暗号化パラメータが一致しているか確認 |
| 設定ファイルを読み込む | まとめて移行、複数端末で統一 | 設定ファイルが拒否される | ファイル形式がクライアントの要求バージョンと一致しているか確認 |
接続と確認:出口が本当に切り替わったかを見る3つのポイント
接続ボタンを押してステータスが「接続済み」になっても、トラフィックが回線を通っているとは限りません。macOS では少なくとも3つを確認します。出口 IP が変わったか、DNS 解決が引き受けられたか、IPv6 が漏れていないかです。
- 出口 IP を確認:ブラウザで IP を表示する任意のページを開き、接続前後の結果を比べます。IP が変わっていなければトラフィックはプロキシを通っていません。よくある原因は、振り分けルールが現在のサイトを直接接続に分類しているか、クライアントが「ルールモード」で動いていてこのルールに該当していないかです。
- DNS を確認:「ターミナル」で
scutil --dnsを実行し、現在使われているリゾルバを見ます。プロキシ経由の場合、リゾルバはローカルのループバックアドレスや回線側のアドレスを指すのが一般的です。依然としてプロバイダの DNS が表示されるなら、DNS が引き受けられておらず、漏えいのリスクがあります。 - IPv6 を確認:任意の IPv6 チェックページにアクセスします。IPv6 アドレスがそのまま露出していて、プロキシの出口と一致しない場合、クライアントは IPv4 のトラフィックしか引き受けていません。設定で「IPv6 をブロック」を有効にするか、デュアルスタック対応の回線を選ぶ必要があります。
# 現在の DNS リゾルバを確認
scutil --dns | grep nameserver
# デフォルトルートとネットワークインターフェースを確認
netstat -rn | head -n 10
# 現在の出口 IP を確認(要ネット接続)
curl -s https://api.ipify.org3項目すべてをクリアしてから日常利用を始めてください。ここで2分かけることで、あとで「調子が良かったり悪かったりする」と悩む時間を大幅に減らせます。
振り分けルールと回線タイプ:名前ではなく用途で選ぶ
振り分けルールは、どのトラフィックをプロキシ経由にし、どれを直接接続にするかを決めます。よくあるモードは3つです。グローバルモードはすべてのトラフィックを回線に任せます。ルールモードは内蔵のルール表で判断し、中国本土のサイトは直接接続、海外のサイトはプロキシ経由にします。ダイレクトモードはプロキシをまったく使いません。初心者はまずルールモードから始め、プロキシを通したいサイトが直接接続になっている場合に、そのドメインだけ個別にルールを追加するのがおすすめです。
回線タイプについては、IEPL 専用線は端から端までの専用チャネルで、公共のインターネットを中継しないため遅延が安定しパケットロスも少なく、ビデオ会議やリアルタイム共同作業に向いています。中継回線はまず中国本土の入口に接続してから海外の出口へ転送する方式で、コストを抑えられますが、夜のピーク時間の品質は入口の帯域に左右されます。直接接続回線は海外サーバーにそのまま接続する方式で、設定は最も簡単、遅延を気にしない用途に向いています。3つに絶対的な優劣はなく、実際に何をするかで選んでください。
よくある権限エラーと対処法
以下は macOS で発生頻度の高いエラーで、ほとんどは自分で解決できます。
「システムソフトウェアの読み込みがブロックされました」と表示される
「システム設定 → プライバシーとセキュリティ」を開き、下部でブロックされた項目を見つけて「許可」をクリックし、パスワードを入力します。ボタンがグレーの場合は、左下の鍵アイコンを先に解除してください。macOS 15 以降はこの記録が「システム拡張」のサブ項目に表示されることがありますが、場所が違うだけで操作は同じです。
ダイアログが繰り返し出て、許可しても表示され続ける
多くは古いバージョンのクライアントの残骸が原因です。クライアントをゴミ箱に移動したあと、「ライブラリ → Application Support」に同名のフォルダが残っていないか確認し、削除してから再インストールしてください。2つの入手元のクライアントが同時にあると、システムは同じ設定について何度も確認を求めてきます。
接続は成功するのにページが開かない
順番に確認します。まず DNS が引き受けられているか、次に振り分けルールがそのドメインを直接接続に分類していないか、最後にクライアントの「LAN を直接接続」が有効で対象がたまたまそのセグメントに入っていないかを確認します。3つの原因は症状が同じでも、対処法はまったく異なります。
サブスクリプションの更新に失敗する
まずネットワーク自体が通じているか確認します。サブスクリプションのアドレスは通常海外にあり、更新時にプロキシを通っていないとタイムアウトすることがあります。「更新時にプロキシを使う」スイッチを用意しているクライアントなら、それをオンにすれば解決します。リンク自体が期限切れの可能性もあるので、その場合は再取得してください。
「とりあえずファイアウォールを切る」はやめる
macOS 標準のファイアウォールは、通常の VPN 接続を既定で遮断しません。つながらないときにファイアウォールを切っても、拡張が許可されていない問題は解決せず、Mac の防御レベルを下げるだけです。正しい確認順序は常に、拡張の許可 → サブスクリプションの読み込み → DNS とルート → 振り分けルールです。
日々のメンテナンス:アップデート、バックアップ、複数端末
macOS のメジャーアップデートのたびに、システム拡張の許可状態がリセットされることがあります。症状はクライアントは開けるのに接続できないというものです。OS を更新したらまずクライアントを開いて状態を確認し、必要ならもう一度許可してください。
サブスクリプションリンクはクライアント内だけに保存し、気軽にスクリーンショットを撮ってグループに送らないようにしましょう。リンクの流出が疑われる場合は再生成してください。古いリンクはその時点で無効になります。複数端末で使う場合、同じサブスクリプションを Mac、スマホ、タブレットにそれぞれ読み込めます。端末台数は無制限です。
プライバシーについて、本サービスの方針はログを記録しないことです。閲覧内容もアクセス履歴も記録しません。これは方針の表明であり絶対的な保証ではありません。アカウントとリンクの管理はご自身で行っていただく必要があります。