MacでVPNサービスを初めて使うとき、最初にやるべきは回線選びではなく、クライアントを正しくインストールすることです。macOSのインストール手順はWindowsより2つほどハードルが高く、ダウンロード元は公式チャンネルを選ぶ必要があり、初回起動時にはGatekeeperを通過する必要があります。
インストールクライアント：ダウンロード元とインストール手順
クライアントをダウンロード
サービス提供元の公式サイトのダウンロードページからクライアントを入手してください。サードパーティのダウンロードサイトやネットディスクのリンクからはダウンロードしないでください。サードパーティ経由のインストーラーは再パッケージされている可能性があり、軽く見てもサブスクリプションリンクがすり替えられ、重いとマルウェアが仕込まれていることもあります。
インストーラーを入手したら、.dmgファイルをダブルクリックし、クライアントを「アプリケーション」フォルダにドラッグします。「壊れているため開けません」と表示された場合は、Gatekeeperが未署名アプリをブロックしていることが多いので、「システム設定 → プライバシーとセキュリティ」で「このまま開く」をクリックしてください。このボタンがグレーアウトしている場合は、左下の鍵アイコンをクリックして管理者パスワードを入力してからもう一度試してください。
初回起動
クライアントを起動すると、macOSが複数の権限リクエストを表示することがあります。これらは広告でも悪意のあるポップアップでもなく、このプログラムにネットワークを任せてよいかをシステムが確認しているものです。macOSのVPNクライアントは直接ネットワークを制御できず、「ネットワーク拡張」フレームワークを通じて動作する必要があるため、初回起動時の認可ダイアログは必ず通らなければならないステップです。
ネットワーク拡張 / システム拡張 / 通知
超えると接続失敗の原因に
IPチェック + DNSリークチェック
システム認可：ネットワーク拡張と権限ダイアログ
ネットワーク拡張の認可
初回起動時に「xxxがネットワーク拡張をインストールしようとしています。許可しますか？」というダイアログが表示されます。このダイアログでは必ず「許可」をクリックしてください。クリックしないとクライアントは接続を確立できません。
初回起動時のネットワーク拡張の認可ダイアログでは必ず「許可」を選んでください。「許可しない」を選んだ場合、クライアントは起動できても一切接続を確立できず、後でシステム設定から手動で再度有効化する必要があります。
そのときに許可しなかった場合、またはうっかり「許可しない」を選んでしまった場合は、「システム設定 → プライバシーとセキュリティ → ネットワーク」で該当するクライアントを見つけ、手動でスイッチをオンにしてください。
システム拡張の認可
一部のクライアントは「システム拡張」の認可も要求します。これは主にカーネルレベルのトラフィック転送に使われます。この認可は「システム設定 → プライバシーとセキュリティ」の一番下にある「システム拡張」のセクションにあります。「xxxによるシステム拡張の読み込みがブロックされました」と表示されたら、「許可」をクリックしてください。
通知とローカルネットワーク権限
一部のクライアントは「通知」権限を要求します。これは接続状態の変化を表示するためのものです。この権限は任意で、許可しなくても接続には影響しません。接続成功・切断の通知が見られなくなるだけです。
「ローカルネットワーク」権限は比較的重要です。クライアントがローカルネットワーク内のデバイスをスキャンする必要がある場合（たとえばLAN共有など）、この権限が必要です。自分だけで使う分には、この権限は許可しなくても構いません。
サブスクリプション取り込み：コピーから有効化まで
サブスクリプションリンクとは
サブスクリプションリンクは、サービス提供元が提供する一連のURLで、すべての回線情報が含まれています。取り込むと、クライアントが自動的にノードリストを取得するため、手動で1つずつ設定する必要はありません。
サブスクリプションリンクは通常 https:// で始まり、その後に長い文字列が続きます。一部のサービス提供元は clash:// で始まるリンクも提供しています。これはClash系クライアント専用の形式です。典型的なサブスクリプションリンクは次のようになります：
https://example.com/subscribe?token=xxxxxxxxxxxxxxxx
取り込み手順
- ✅ クライアントを開き、「サブスクリプション」または「プロファイル」タブを探す
- ✅ 「追加」または「インポート」ボタンをクリック
- ✅ サブスクリプションリンクを入力欄に貼り付ける
- ✅ 「OK」または「インポート」をクリックすると、クライアントが自動的にノードリストを取得
- ✅ ノードを選択し、「接続」をクリックして状態の変化を確認
取り込みに失敗した場合
取り込み後にノードリストが空の場合は、まずリンクが完全にコピーされているか確認してください。一部のチャットアプリは長いリンクを自動的に切り詰めることがあるため、手動でテキストを選択するのではなく、「リンクをコピー」ボタンを使うのがおすすめです。
リンクに問題がないのに取得に失敗する場合は、ネットワーク環境が原因でサブスクリプションURLにアクセスできない可能性があります。別のネットワーク環境で試すか、ブラウザでサブスクリプションリンクを開いて、テキストが正常に返るか確認してください。
動作確認：IPからDNSリークチェックまで
接続に成功したら、クライアント右上の緑のアイコンだけで判断せず、実際にトラフィックがプロキシを経由しているか確認する必要があります。
クライアント右上の緑のアイコンだけで正常と判断しないでください。クライアントに「接続済み」と表示されていても、それはプロキシプロセスが動作しているというだけで、トラフィックが実際にプロキシを経由しているとは限りません。必ず外部ツールで検証してください。
IPアドレスを確認
最も直接的な方法は、https://ip.sb または https://ifconfig.me にアクセスして、表示されるIPアドレスが選択したノードの地域と一致するか確認することです。IPアドレスがローカルのものであれば、トラフィックがプロキシを経由していないため、クライアントの設定を確認する必要があります。
DNSリークを確認
DNSリークとは、トラフィックはプロキシを経由しているものの、DNSクエリはプロキシを経由せず、ローカルのISPに直接送信されてしまう状態を指します。これではISPがあなたのアクセス先ドメインを把握できてしまいます。
確認方法は https://www.dnsleaktest.com にアクセスし、「Standard Test」をクリックします。結果にローカルのISP名（例：中国電信、中国聯通）が表示された場合はDNSリークが発生しているため、クライアント設定で「DNSプロキシ」または「DNSハイジャック」スイッチをオンにしてください。
分流ルールを確認
分流ルールは、どのトラフィックをプロキシ経由にするか、どのトラフィックを直接接続にするかを決定します。分流が機能しているかどうかは、中国国内のサイトにアクセスしたときの遅延が正常かどうかで確認できます。中国国内のサイトへのアクセスもプロキシを経由していると、速度が明らかに遅くなり、分流ルールが機能していないことを示します。
| チェック項目 | ツール | 確認する内容 | 正常な状態 |
|---|---|---|---|
| IPアドレス | ip.sb | 出口IPの地域 | 選択したノードと一致 |
| DNSリーク | dnsleaktest.com | DNSサーバーの帰属 | ローカルISPが表示されない |
| 分流ルール | 中国国内のサイトへのアクセス | 遅延 | 直接接続とほぼ同等 |
また、Clash系クライアントを使用している場合は、「ログ」タブで各接続の詳細なプロセスを確認できます。ログにはDNSクエリ、TCP接続、TLSハンドシェイクなどの手順が記録されます。いずれかの手順で止まっている場合は、対応するノードまたはプロトコルに問題があることを示しています。
よくある質問：権限ダイアログが見つからない場合
ネットワーク拡張の認可入口が見つからない
初回起動時に「許可しない」を選んでしまい、後から再認可したい場合は、「システム設定 → プライバシーとセキュリティ → ネットワーク」で探してください。リストに対象のクライアントがない場合は、まず「システム設定 → 一般 → ログアウト」で一度ログアウトしてから、クライアントを再度開いてください。システムが再び認可リクエストを表示します。
システム拡張の入口が見つからない
「システム拡張」の認可入口は「システム設定 → プライバシーとセキュリティ」の一番下にあります。見つからない場合は、まず「システム拡張」という欄があるか確認してください。macOSはVentura以降、システム拡張の入口の場所が変わっています。どうしても見つからない場合は、ターミナルで sudo spctl --master-disable を実行してGatekeeperを一時的に無効にする方法もありますが、この方法は推奨しません。正しい認可経路を見つけることをおすすめします。
また、macOS 15以降を使用している場合、システム拡張の認可の場所が調整されている可能性があります。入口が見つからない場合は、「システム設定」右上の検索ボックスに「ネットワーク拡張」または「システム拡張」と直接入力すると、対応する設定ページにジャンプします。
クライアントが接続できない場合
クライアントが接続済みと表示されるのにサイトにアクセスできない場合は、まず別のノードに切り替えてみてください。一部のノードはちょうどメンテナンス中かもしれません。すべてのノードがダメな場合は、システム時刻が正しいか確認してください。時刻のずれが5分を超えるとTLSハンドシェイクが失敗します。
まとめ：まずは流れを一通り理解してから最適化を
インストールから有効化まで、macOSのVPN設定の流れはおおむね以上のとおりです。初回はさまざまな権限ダイアログに戸惑うかもしれませんが、一度流れを理解してしまえば、日常の使用はとても簡単です。クライアントを開き、ノードを選び、接続する。これだけです。
macOSのVPN設定の流れはそれほど複雑ではありません。難しいのは主に初回起動時のシステム認可です。ネットワーク拡張の認可という関門を越えれば、その後のサブスクリプション取り込みと動作確認は標準的な操作です。権限ダイアログの入口が見つからない場合は、「システム設定 → プライバシーとセキュリティ」を項目ごとに確認すれば、たいてい対応するスイッチが見つかります。
最後にいくつか実用的なアドバイスを。クライアントは常に最新版を維持してください。macOSのメジャーアップグレードのたびに、ネットワーク拡張の認可の仕組みが変わる可能性があります。サブスクリプションリンクは定期的に更新してください。サービス提供元が回線を調整することがあり、サブスクリプションを取り込み直すと最新のノードリストを取得できます。問題が発生したら、まずクライアントのログを確認してください。ほとんどの問題はログに手がかりがあります。