macOS 安裝 Clash 用戶端:網路延伸功能與鑰匙圈授權處理
macOS 首次啟動用戶端會連續彈出網路延伸功能、鑰匙圈與輔助使用權限請求。本文依彈窗出現順序逐一說明該點什麼、拒絕後怎麼補救,以及系統設定裡的複查位置。
為什麼 macOS 上的確認彈窗比其他平台多
Windows 和 Android 的代理用戶端通常只需要一次網路權限確認,但 macOS 的系統級安全機制更細。它把「接管網路流量」「讀寫敏感憑證」「模擬系統操作」拆成了三類互相獨立的授權,分別對應網路延伸功能、鑰匙圈存取與輔助使用。Clash 系用戶端要正常運作,至少會用到前兩類,如果介面上有「一鍵設定系統代理」之類的自動化按鈕,還會涉及第三類。
這套機制的設計初衷是防止惡意程式偷偷截取網路資料或竊取密碼,不是專門針對代理軟體設下的障礙。搞清楚每個彈窗背後對應的系統能力,授權時就不會猶豫,拒絕後也知道去哪裡補救,不需要重裝用戶端。
第一個彈窗:網路延伸功能(Network Extension)
用戶端首次嘗試開啟 TUN 模式或系統代理時,macOS 會彈出類似「『Clash』想要新增 VPN 設定」或「網路延伸功能已被阻止」的提示,同時系統設定裡的「一般 → VPN 與裝置管理」或「網路 → 篩選器與代理擴充功能」會出現一條待確認的紀錄。
這一步對應的是 NetworkExtension 框架裡的內容過濾器或個人 VPN 能力。TUN 模式需要用戶端在系統網路堆疊裡插入一張虛擬網卡,把全部或部分流量重新導向到 Clash 核心處理,這本質上和 VPN 應用程式的運作方式相同,所以系統統一走 VPN 設定的審核流程。
- 看到彈窗後點選「允許」或「打開系統設定」。
- 系統會跳轉到「隱私權與安全性」或「網路」分類,找到用戶端對應的項目,點選開關啟用。
- 部分 macOS 版本還會要求輸入本機管理員密碼才能完成確認,這是正常流程,輸入即可。
- 回到用戶端,重新點選啟動或開啟 TUN 開關,彈窗應不再出現。
如果誤點了「不允許」,用戶端裡的 TUN 開關通常會顯示為灰色或直接報錯「延伸功能未啟用」。這種情況不需要卸載重裝,直接到系統設定裡手動打開對應延伸功能即可,具體路徑見下一節。
第二個彈窗:鑰匙圈存取權限
網路延伸功能核准之後,系統通常會緊接著彈出「『Clash』想要使用系統鑰匙圈中儲存的機密資訊」。這一步是用戶端在向 Keychain Access(鑰匙圈存取)申請讀寫權限,用來保存 VPN 設定的憑證或密碼項目,避免每次重新開機都要重新走一遍系統授權流程。
這個彈窗和網路本身沒有直接關係,但如果拒絕,用戶端每次開啟系統代理都可能重新彈出確認框,體驗上會很囉嗦。建議點選「總是允許」,一次性解決。
手動打開鑰匙圈存取檢查權限
- 用「聚焦搜尋」(⌘+空白鍵)輸入「鑰匙圈存取」並打開。
- 左側選擇「登入」鑰匙圈,在右上角搜尋框輸入用戶端名稱。
- 雙擊比對到的項目,切換到「取用控制」分頁。
- 確認清單裡有用戶端本體,且狀態未被移除;如果被刪除,點選左下角加號重新加入。
第三個彈窗:輔助使用權限(如有自動化功能)
部分用戶端提供「一鍵設定系統代理」或「自動切換代理模式」這類快捷操作,底層依賴 macOS 的 Accessibility(輔助使用)權限來模擬系統操作。如果用戶端介面上有這類按鈕,首次點選時會彈出「『Clash』想要控制這台電腦」的提示。
這一權限範圍比前兩者更廣,系統預設不會主動彈窗提醒缺失,只有點選相關功能按鈕時才會觸發。如果發現某個自動化按鈕點選後沒有任何反應,大概率是權限沒給,而不是用戶端出錯。
- 打開「系統設定」→「隱私權與安全性」→「輔助使用」。
- 在右側清單裡找到用戶端,打開開關。
- 如果清單裡沒有該用戶端,先點選一次觸發權限請求的功能,系統會自動把它加進清單待勾選。
- 勾選後可能需要完全退出用戶端再重新打開,權限才會生效。
拒絕之後怎麼補救:系統設定裡的三個複查位置
如果在安裝過程中手忙腳亂把某個彈窗點了拒絕,不需要重新下載安裝檔,直接到系統設定裡找到對應開關補授權即可,三處入口分別對應前面三類權限。
| 權限類型 | 系統設定路徑 | 影響功能 |
|---|---|---|
| 網路延伸功能 / VPN 設定 | 隱私權與安全性 → VPN 與裝置管理(或 網路 → 篩選器與代理擴充功能) | TUN 模式、系統級流量接管 |
| 鑰匙圈存取 | 鑰匙圈存取應用程式 → 搜尋用戶端名稱 → 取用控制 | 設定憑證持久保存 |
| 輔助使用 | 隱私權與安全性 → 輔助使用 | 一鍵設定系統代理等自動化按鈕 |
三處權限互不影響彼此的生效狀態,可以逐一排查:先確認「VPN 與裝置管理」裡用戶端開關是打開的,再檢查鑰匙圈項目沒有被移出取用清單,最後如果用到自動化按鈕,確認輔助使用裡有勾選。逐項打開後回到用戶端重新嘗試一次對應操作,通常不需要重新開機。
常見現象與對應處理
TUN 開關打開後立刻自動關閉
多半是網路延伸功能權限沒有完全生效。先在「VPN 與裝置管理」裡確認項目狀態為「已連線」或對應開關為開啟,如果項目乾脆不存在,說明首次彈窗時點了拒絕,回到用戶端重新觸發一次 TUN 開關,讓系統重新發起授權請求。
用戶端每次重新開機都要求重新輸入密碼
這是鑰匙圈權限被撤銷或者選擇了「僅此一次允許」而不是「總是允許」導致的。按照上文鑰匙圈存取的手動檢查步驟,把取用控制改為始終允許即可一次性解決。
系統提示「延伸功能來自不明開發者」
如果安裝檔來源正常,這條提示通常出現在首次執行未簽署或使用了自訂憑證簽署的延伸功能時。可以在「隱私權與安全性」的底部找到「仍要打開」或類似確認按鈕完成放行,這是系統的常規安全提示,不代表安裝檔本身有問題。
更新系統版本後權限全部失效
macOS 大版本升級後,系統會重置部分敏感權限的授權狀態作為安全策略的一部分,這是系統行為,和用戶端版本無關。升級完成後依本文順序把三類權限重新過一遍即可恢復。
安裝完成後的一次性驗證
三類權限都確認無誤後,建議做一次完整驗證,確保代理鏈路真正生效,而不是僅僅介面顯示「已連線」:
- 在用戶端節點清單裡選擇一個節點,查看延遲數值是否正常返回,而不是顯示超時。
- 打開系統的「網路」設定,查看目前使用中的網路下方是否出現了用戶端設定的代理描述。
- 用瀏覽器造訪任意 IP 查詢頁面,確認返回的地理位置與所選節點一致。
- 如果開啟了 TUN 模式,嘗試關閉瀏覽器代理擴充功能後再測試一次,確認系統級流量確實被接管,而不是只有瀏覽器擴充功能在生效。
這四步做完之後,基本可以確認整套授權與網路設定都已經落地,後續正常使用不會再頻繁彈出確認框。