macOSでネットワーククライアントを初めて設定する際、難しいのはファイルのダウンロードよりも、システム権限、サブスクリプションの読み込み、プロキシモードの連携です。初回は「インストーラーの入手元を確認する」「ネットワーク拡張機能を許可する」「サブスクリプションを読み込む」「回線を選ぶ」「ルール分岐を確認する」の順に進めれば、不要な再インストールや設定変更を避けられます。
このガイドは特定のクライアント画面に限定されません。ソフトによってボタン名は「設定」「サブスクリプション」「リモート設定」「プロファイル」など異なりますが、基本的な流れは共通しています。クライアントがサブスクリプションURLから回線情報を読み込み、ローカルプロキシまたはシステムレベルのトンネルを確立し、ルールに応じて接続をリモート回線経由にするか判断します。特定バージョンの画面位置を覚えるより、この流れを理解する方が確実です。
インストール前の準備：クライアント、アーキテクチャ、サブスクリプション情報
まずサービスの管理画面にログインし、ダウンロード欄からmacOS用クライアントを入手します。続いてサブスクリプション欄から自分のURLをコピーします。インストーラーとサブスクリプションURLは役割が異なります。インストーラーは接続機能を提供し、サブスクリプションURLは回線、プロトコル、更新情報を提供します。クライアントをインストールしただけでは、接続可能な回線が表示されないことがあります。
プロセッサのアーキテクチャを確認する
MacにはAppleシリコン搭載モデルとIntelプロセッサ搭載モデルがあります。ダウンロードページに別々のインストーラーが用意されている場合は、本体のアーキテクチャに合うものを選びます。ユニバーサル版がある場合は、そのまま使用できます。アーキテクチャが合わないと、アプリが開かない、起動直後に終了する、追加の互換実行環境を求められるといった症状が出ます。
チップまたはプロセッサの情報は、システムの「このMacについて」で確認できます。ここでシステムパラメータを変更する必要はなく、インストーラーの種類とデバイスを一致させるだけで十分です。クライアントにGUI版とコマンドライン版の両方がある場合、初心者はサブスクリプションの更新日時、現在の回線、プロキシモードを確認しやすいGUI版を優先してください。
クライアントが対応するプロトコルを確認する
サブスクリプション内の回線は、Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUICのいずれかを使用している場合があります。クライアントが該当プロトコルに対応していなければ、設定を解析して接続することはできません。読み込み後に回線一覧が空でも、サブスクリプションが無効とは限りません。クライアントのバージョンが古い、またはサブスクリプション内のプロトコル項目に対応していない可能性もあります。
| 確認項目 | 正常な状態 | 異常な状態 | 対処方法 |
|---|---|---|---|
| インストーラーのアーキテクチャ | 本体のチップと一致している | 起動できない、または起動直後に終了する | 対応するアーキテクチャ版またはユニバーサル版を再ダウンロードする |
| クライアントのプロトコル対応 | サブスクリプション内の回線を認識できる | 読み込みは成功したが一覧が空になる | クライアントを更新してからサブスクリプションを再取得する |
| サブスクリプションURL | ユーザーパネルから直接コピーする | 形式エラーまたはダウンロード失敗と表示される | 文字の欠落や余分な空白がないよう、もう一度コピーする |
| システム時刻 | 自動同期され、タイムゾーンも正しい | 証明書の検証に失敗する | 日付と時刻を自動設定に戻す |
- ✅ インストーラーはサービスの管理画面またはクライアント公式の配布元から入手した。
- ✅ 本体のプロセッサアーキテクチャとインストーラーが一致している。
- ✅ サブスクリプションURL全体をコピーし、非公開の場所に保存した。
- ✅ システムの日付、時刻、タイムゾーンが自動同期になっている。
- ❌ 出所の不明な転載サイトから、再パッケージされたインストーラーをダウンロードしない。
クライアントをインストールしてシステム権限を許可する
ダウンロードしたインストーラーを開き、案内に従ってアプリを「アプリケーション」フォルダへ移動してから、そのフォルダから起動します。ディスクイメージやダウンロードフォルダから長期間実行すると、自動更新、補助プロセス、権限の保存に問題が生じる場合があります。初回起動時、macOSは開発者の署名を確認し、VPN構成またはネットワーク拡張機能の追加を求めることがあります。
ネットワーク拡張機能の権限が必要な理由
システムプロキシモードは主にmacOSのプロキシ設定を変更し、システムプロキシに従うアプリの通信をローカルクライアントへ渡します。トンネルモードはAppleが提供するネットワーク拡張機能のインターフェースを通じて、より広範なネットワーク接続を処理します。どちらの方式でも、クライアントがシステムのセキュリティ機構を回避して権限を取得することはありません。macOS自身が表示する許可ダイアログに応答するのが正しい方法です。
システムからVPN構成、ネットワーク拡張機能、またはネットワークコンテンツのフィルタ追加を求められたら、まずダイアログに表示されたアプリ名を確認し、案内に従って許可します。操作によっては、現在のMacユーザーのログインパスワードや本体の認証が必要です。これはmacOSがシステム設定の変更を許可する通常の手順であり、サブスクリプションサービスが認証情報を収集しているわけではありません。
- クライアントを「アプリケーション」フォルダへ移動して起動する。
- システムのダイアログを読み、権限を求めているアプリ名が正しいことを確認する。
- VPN構成の追加またはネットワーク拡張機能の有効化を許可する。
- クライアントに戻り、ステータスバーに「権限が許可されていません」といった表示がないことを確認する。
- まずはグローバルモードを有効にせず、サブスクリプションの読み込みと基本確認を済ませる。
権限ダイアログが表示されない場合
まずクライアントを終了し、「アプリケーション」フォルダから再度開きます。その後、システム設定のプライバシーとセキュリティを開き、ページ下部にブロックされたシステムソフトウェアや拡張機能の表示がないか確認します。ネットワーク関連の設定に、対応するVPN構成が作成されているか確認することもできます。一度許可したクライアントでは、毎回ダイアログが表示されるわけではありません。そのため、ダイアログが出ないことが権限不足を意味するとは限りません。
システムに拡張機能がブロックされたと表示された場合は、現在のクライアントの開発者名と一致する項目だけを許可してください。許可後、システムの案内に従ってクライアントまたはデバイスを再起動します。クライアントを手動で移動、改名、上書きインストールしたことがある場合は、まず古いプロセスを完全に終了し、アプリ名を変えずに再インストールしてください。権限の記録が古いパスを参照するのを防げます。
サブスクリプションURLを読み込み、回線を取得する
クライアントのサブスクリプション、設定、リモート設定のページを開き、「クリップボードから読み込む」または「サブスクリプションURLを追加」を選びます。名前は識別しやすいサービス名を自由に入力し、URL欄には管理画面からコピーした完全なURLを貼り付けます。読み込み後に一度更新を実行し、サーバーから現在の回線とグループを取得します。
サブスクリプションURLは単一のノードアドレスではありません。通常はエンコードまたは構造化された設定一式を返し、回線名、サーバーアドレス、ポート、プロトコルパラメータ、グループ情報などが含まれます。クライアントが解析して初めて、選択可能なノードとして表示されます。回線が変更された場合は「サブスクリプションを更新」を使えば同期でき、1件ずつ手動で編集する必要はありません。
読み込みに成功したのに回線が表示されない
まずクライアントに表示されたエラーの種類を確認します。ネットワークリクエストの失敗なら、現在のネットワークからサブスクリプションURLにアクセスできるか確認します。解析エラーならクライアントを更新します。認証エラーやURL無効なら、ユーザーパネルに戻ってサブスクリプションをコピーし直します。コピー時に説明文、引用符、改行、末尾の空白を含めないでください。WebページのURLをサブスクリプションURLと取り違えないことも重要です。
一部のクライアントでは、Shadowsocks、VMess、Trojan、VLESSの単一共有URLを直接読み込めますが、これはサブスクリプションの読み込みとは異なります。単一URLの読み込みで取得できるのはその時点の設定だけで、サービス側で回線が更新されても自動同期されません。継続利用ではサブスクリプションの入口を残し、ノード一覧をサブスクリプション更新で管理してください。
プロトコルと回線タイプを選ぶ
プロトコルはクライアントとサーバーがデータをカプセル化して送信する方法を決め、回線タイプは通信が通るネットワーク経路を示します。直接接続は現在のネットワークからリモートノードへ直接つなぐため経路が単純ですが、品質は利用中の通信事業者と国際出口の影響を受けやすくなります。中継回線は入口に接続してから中継ネットワーク経由で出口へ送るため、ネットワーク間の経路を制御しやすい傾向があります。IEPL専用線は比較的独立した国際通信経路を提供するもので、通常の公衆インターネット経由の直接接続とは異なります。
Hysteria2とTUICはQUICの考え方に基づいて通信を処理するため、パケットロス時の回復特性が従来のTCP方式と異なる場合があります。Trojan、VLESS、VMess、Shadowsocksの実際の使い勝手も、クライアントの実装、サーバー設定、利用中のネットワークに左右されます。プロトコル名だけで速度を判断せず、同じネットワークで近い時間帯に、接続確立、Webページの応答、長時間接続の安定性を比較してください。
プロキシモードを選び、接続を確認する
サブスクリプションを読み込んだら、まず回線を1つ選び、ルールモードまたはシステムプロキシモードを有効にします。ルールモードはドメイン、アドレス範囲、アプリのリクエストに応じてプロキシ接続と直接接続を振り分けるため、日常利用に適しています。グローバルモードはより多くの通信をリモート回線へ送るため、短時間の診断に便利ですが、国内サイト、LAN機器、ソフトウェア更新まで遠回りになる場合があります。直接接続モードでは、通常クライアントは動作したまま、リクエストはリモートノードを経由しません。
システムプロキシとトンネルモードの違い
システムプロキシは、アプリがmacOSのプロキシ設定に従うことを前提とします。ブラウザや一般的なネットワークアプリの多くは利用できますが、独自のネットワークスタックを実装したアプリは無視する場合があります。トンネルモードはシステムのネットワーク層で接続を処理するため適用範囲が広く、UDPやデバイス全体の通信を扱う場面にも適しています。ただし、より高いレベルのネットワーク拡張機能の権限を求められます。
初回確認では、異なるクライアントを2つ同時に起動しないでください。また、ブラウザ拡張機能、ほかのプロキシツール、システムトンネルを重ねて動作させないようにします。複数のローカルプロキシが同時にシステム設定を変更すると、ポート競合、プロキシループ、クライアント終了後も設定が残るといった問題が起きます。
- ✅ クライアントに接続済みと表示され、現在の回線名が明確になっている。
- ✅ 一般的なWebページと目的の国際サイトをどちらも正常に開ける。
- ✅ 接続を切断すると、システムネットワークが元の状態に戻る。
- ✅ ルールモードで、国内サービスとLANリソースに引き続きアクセスできる。
- ❌ システムプロキシを制御するクライアントを複数同時に実行しない。
- ❌ 公開検査ページにサブスクリプションURL全体を入力しない。
DNSとルール分岐が一致しているか確認する
DNSはドメイン名をネットワークアドレスに変換します。ドメインのリクエストはローカルネットワークで解決され、その後の接続だけがリモート回線を通る場合、解決結果と出口の地域が一致しないことがあります。DNSリークにつながる可能性もあります。確認時は、クライアントのDNSモード、ルール分岐、システムが現在使用しているDNSサービスが互いに一致しているかを確認してください。
トンネルモードを有効にした後、信頼できるDNS検査ページで、名前解決のリクエストが意図しないローカルネットワークを向いていないか確認できます。結果はクライアント設定と合わせて判断してください。ローカルDNSが表示されても、必ずしも接続失敗を意味しません。ルールモードでは、直接接続するドメインにローカルDNSを使う場合があるためです。修正すべきなのは、本来リモート回線を通るはずのドメインが、誤った経路で継続的に解決されているケースです。
Webページは開けるのに特定のアプリだけ接続できない場合は、そのアプリがシステムプロキシを無視していないか確認します。一時的にトンネルモードへ切り替えて適用範囲を確認することも、クライアントのルールでアプリがアクセスするドメインやアドレスが直接接続と誤判定されていないか調べることもできます。すべての異常を回線速度のせいにしないでください。ルール分岐の誤判定の方がよくある原因です。
よくある障害の確認手順
トラブル対応は、影響範囲の小さい操作から始めます。まずサブスクリプションを更新して回線を切り替え、次にモードと権限を確認し、最後に再インストールを検討します。クライアントを直接削除すると、ログ、サブスクリプション、原因特定に役立つ状態情報まで同時に消える場合があり、問題の層を判断しにくくなります。
拡張機能がブロックされた、または接続ボタンが反応しない
システム設定のプライバシーとセキュリティを開き、承認待ちの項目がないか確認します。次にネットワーク設定でVPN構成が有効になっているか確認します。構成があるのにクライアントが未許可と表示する場合は、クライアントを終了して再起動します。それでも反応しない場合は、該当する古いネットワーク構成を削除し、クライアントから再度追加をリクエストします。その際は、現在のクライアントに一致する項目だけを処理してください。
サブスクリプションの更新に失敗する
まず基本的なネットワークが利用できることを確認し、サブスクリプションURLをコピーし直します。ブラウザではサービスの管理画面にアクセスできるのに、クライアントだけ更新できない場合は、システム時刻、クライアントのバージョン、別のプロキシツールによるリクエストの遮断を確認します。サブスクリプションURLが漏えいした、またはリセットされた場合は、管理画面で新しい入口を作成し、すべてのクライアントから古い設定を削除してください。
接続後にWebページを開けない
サブスクリプションの更新、回線の切り替え、ルールモードへの変更、DNS設定の確認を順に試します。ブラウザだけに問題がある場合は、ブラウザ独自のプロキシ拡張機能を無効にして再試行します。すべてのアプリで問題がある場合は、トンネル権限、残存するシステムプロキシ、現在のネットワークによる通信方式の制限を重点的に確認します。診断のためにプロトコルを切り替える場合は、サブスクリプションに既存の設定を使い、サーバーパラメータを推測して入力しないでください。
クライアントを終了してもインターネットに接続できない
通常はシステムプロキシが復元されていないことが原因です。クライアントを再度開き、先に切断またはシステムプロキシの無効化を実行してから正常に終了します。クライアントを起動できない場合は、macOSのネットワーク設定で現在のネットワークサービスのプロキシ項目が有効なままになっていないか確認します。残った設定を消去してネットワークに再接続すればよく、ルーターを変更したり、ほかのネットワークサービスを削除したりする必要はありません。
- ローカルネットワーク自体で一般的なWebサイトにアクセスできることを確認する。
- サブスクリプションを更新し、具体的なエラー表示を確認する。
- 同じグループ内の別の回線に切り替える。
- ルールモード、システムプロキシ、トンネルモードが競合していないか確認する。
- ネットワーク拡張機能、VPN構成、DNS設定を確認する。
- ほかのプロキシ系ツールを終了してから再度テストする。
- エラー情報を保存してから、クライアントを再インストールするか判断する。
日常の更新と設定メンテナンス
クライアントが正常に動作した後の日常的なメンテナンスは、サブスクリプションの更新、クライアントの更新、ルールの確認が中心です。サブスクリプション更新は回線を同期し、クライアント更新は新しいプロトコル項目やシステムインターフェースに対応します。両者は代替できません。macOSの更新後に接続動作が変わった場合は、まずクライアントが現在のシステムに対応しているか確認し、ネットワーク拡張機能の状態を再確認してください。
重複するサブスクリプションを何度も作成しないでください。同じ入口を複数回読み込むと、回線一覧に同名の項目が増え、実際に使用している設定を特定しにくくなります。有効なサブスクリプションを1つ残して分かりやすい名前を付け、クライアントの更新機能で管理すれば十分です。
Macを買い替える場合は、アプリケーションフォルダ全体をコピーするのではなく、ユーザーパネルからクライアントとサブスクリプションを再取得してください。システムネットワーク拡張機能の許可記録は本体の環境に紐づくため、古いファイルを移行しても新しいデバイスでのシステム許可の代わりにはなりません。移行後は古いデバイスからサブスクリプション設定を削除し、使わなくなったデバイスにURLが長期間残らないようにします。
最後に全体の流れを確認しましょう。クライアントが動作し、システム権限がネットワークの処理を許可し、サブスクリプションが回線を配布し、プロトコルが通信を担い、ルール分岐が経路を決め、DNSがドメインを解決します。どこか1つに問題があるだけでも「接続できない」と表示されますが、層ごとに確認すれば原因をすばやく絞り込めます。