本文目录
Mac 上的代理设置会碰到多种系统授权提示，但不是每个问题都靠重新授权解决。客户端要能运行、配置要能加载，应用请求才有条件转发。准备启用更广的接管方式时，保留浏览器已验证可用的系统代理，再检查对应的网络权限和切换网络后的结果。
菜单栏客户端正在运行，但内核正常吗？
macOS 客户端常驻菜单栏，关闭主窗口后通常仍在运行。设置或日志里的内核状态，表示负责处理连接的进程是否正常；持续出现 core failed 或 permission denied 时，先处理本机启动与权限问题。
同时退出旧 ClashX、其他 Mihomo 客户端和 VPN，避免多套程序一起修改系统代理。
在 Profiles（订阅）中导入、更新并选中配置
这一节的页面与截图以 Clash Verge Rev 为例，Profiles 在中文侧栏叫“订阅”。其他 macOS 客户端按自己的配置入口操作，不必寻找同名页面；后面的权限也只按当前客户端实际要求处理。
在 macOS 导入远程配置
进入 Profiles（订阅）
粘贴服务方提供的 Clash 或 Mihomo 兼容 HTTPS 链接。
手动更新
等待新的更新时间，留意 401、403、timeout 或 parse error。
选中 Profile
确保当前标记不是旧配置或示例文件。
打开 Proxies
确认策略组和节点不是空白。
macOS 网络权限不能修复订阅错误。更新返回 401/403 时处理 token 或账号；返回 YAML 解析错误时核对内核和格式。只有 Profile 已加载，系统代理与 TUN 才能使用其中的节点和规则。
System Proxy：在浏览器中验证连接
菜单栏图标亮着只说明客户端在运行，不说明浏览器已经交给它。到 Proxies 的主要选择组里固定一条节点，模式保留 Rule。开启 System Proxy 后，macOS 可能要求允许应用更改网络代理；确认提示来自当前客户端，再输入系统凭据或使用 Touch ID。
用 Safari 或 Chrome 打开熟悉的网站，到 Connections 查看域名、规则和出口。页面成功且记录符合预期，说明这次系统代理请求正常；确认节点可用，还要看它确实走了所选节点。浏览器正常而终端没有记录时，后者可能不读取系统代理。
系统代理通过的证据
- macOS 网络设置出现当前客户端的本地代理端口
- 浏览器请求进入 Connections
- Rule 与最终出口符合预期
- 关闭 System Proxy 后同一请求不再经过 Clash
TUN 的网络扩展、VPN 与辅助服务权限
TUN 会创建虚拟网络接口，把更多 TCP、UDP 连接交给 Mihomo。终端工具、游戏启动器或不读取系统代理的软件完全没有 Connections 记录时，可以用 TUN 做对照；已经进入 Clash 却命中错误规则的请求，不需要扩大接管范围。
打开 TUN 时，macOS 可能要求安装或允许网络扩展、辅助服务或 VPN 配置。系统设置会显示具体项目，允许的开发者和应用应与当前客户端一致。
若开关立刻弹回，或日志显示 permission denied，按日志核对当前客户端所需的网络扩展、VPN 或辅助服务权限，在系统设置或客户端自带服务入口处理。回到客户端重新开启，并等待虚拟接口就绪。
权限提示与作用
| macOS 提示 | 它解决什么 |
|---|---|
| 修改系统代理 | 让遵循系统代理的应用连接本地端口 |
| 网络扩展 / VPN 配置 | 创建或运行 TUN 接管路径 |
| 管理员权限 / 辅助服务 | 执行需要系统权限的网络操作 |
| 本地网络访问 | 发现或连接局域网设备，是否需要取决于场景 |
在 TUN 下复测原来没有记录的程序
TUN 前后只比较一个动作
关闭 TUN 重现
确认该程序在系统代理下没有连接记录。
打开 TUN
保持相同 Profile、Rule 模式和固定节点。
重复完全相同的动作
例如执行同一条终端命令或打开同一启动器页面。
查看新连接
记录进程、域名、命中规则和出口。
开启后出现记录并成功，说明 TUN 已接管这条请求。记录显示 DIRECT，检查规则；走节点后 timeout，比较节点和网络；仍无记录，查看网络扩展状态、防火墙和其他 VPN，不要继续改订阅。
睡眠唤醒或切网后的断连
Mac 从睡眠恢复或从 Wi-Fi 切到手机热点后，真实出口网卡可能已变化，TUN 接口却仍保留旧状态。等几秒后重复原请求，观察 Connections，再按下面的现象处理。
系统代理模式下也要检查旧代理值有没有残留。若内核已停止监听，而 macOS 网络设置仍指向 127.0.0.1 的端口，仍走该代理的网页请求会失败；清除残留或重新启动当前客户端。只关闭主窗口不等于内核已停止。
唤醒后 Connections 为空
重载内核，让客户端重新识别 Wi-Fi 与默认出口。
换网络后只有 TUN 失败
重建 TUN 接口，并查看其他 VPN 是否抢占路由。
客户端退出后浏览器全断
检查 macOS 的 HTTP、HTTPS、SOCKS 代理是否仍指向旧端口。
NAS、打印机与公司内部域名的直连
打印机、NAS、路由器后台或公司内部域名在开启 TUN 后失联，往往不是节点问题，而是私有地址被带进了代理路径。关闭 TUN 后本地设备立即恢复，可以把范围缩到局域网规则、内部 DNS 或路由。
查看该 IP 在 Connections 中是否命中 DIRECT。家庭网络常见私有网段通常已有规则，公司自定义网段和 split DNS 则要按实际补充。不要复制一份包含陌生网段的“全局绕过列表”，只处理自己能确认的地址。
- IP 能开，内部域名不能开
- 更像内部 DNS 没有沿原网络解析。
- IP 和域名都进入代理组
- 把准确的本地网段或域名规则放到更宽规则之前。
- 关闭所有代理仍访问不了
- 问题已经离开 Clash，检查当前 Wi-Fi 和设备本身。
重启、睡眠唤醒后检查配置与权限
完成订阅、System Proxy 和 TUN 权限设置后，重启一次客户端，再让 Mac 睡眠并唤醒。Profile 仍是当前配置，浏览器请求进入 Connections，原来需要 TUN 的程序也能继续出现连接记录，说明权限和后台服务没有只在本次会话临时生效。
系统代理能用而 TUN 在重启后再次被拒绝时，按日志检查当前客户端的网络扩展、VPN 或辅助服务权限；睡眠后所有请求都没有记录时，重新载入内核并检查菜单栏进程。