如何在 Mac 上設定 VPN

開始前

安裝客戶端

1. 如果兩種版本都有，請從業者網站選擇版本，不要選商店版本。 App Store 版本會在 Apple 的沙盒中執行，而沙盒會禁止 VPN 客戶端所需的某些功能：登入前就能維持運作的終止開關、依應用程式進行分割通道。直接下載的通常是完整客戶端。只有在商店版本是唯一提供的版本時，才選它。
2. 先在業者網站登入，再從帳戶區域下載，這樣你執行的檔案就來自已證明你擁有訂閱的那個工作階段。
3. 開啟安裝程式，並在 macOS 詢問時核准延伸功能。 系統會顯示客戶端想要加入網路延伸功能或 VPN 設定，並將你帶到「系統設定」›「一般」›「登入項目與延伸功能」。請允許它。延伸功能未獲允許的客戶端可以開啟、登入，卻永遠無法連線。
4. 保持背景項目開啟。 同一個設定頁面會在允許在背景中執行下列出客戶端。為了整理清單而將它關閉，會導致隧道在睡眠後停止重新連線。
5. 登入客戶端，並替裝置取一個不會識別你身分的名稱；該名稱會由業者儲存。
6. 先不要連線。 先開啟設定。以下三項設定中，有兩項在大多數客戶端中預設為關閉。

值得檢查的三項設定

客戶端選單各不相同，但設定本身不會改變。若你不熟悉名稱，三項設定都能在術語表中找到說明。

終止開關

隧道中斷時封鎖所有流量，而不是讓連線悄悄退回一般網路。它通常預設為關閉，因為這會讓產品感覺不那麼可靠 — 隧道中斷會變成無法連線，而不是你未察覺的中斷，這正是它存在的全部目的。請將它開啟。如果客戶端區分只在連線時套用的開關與永遠套用的開關，請選後者：Mac 從陌生 Wi-Fi 喚醒時，客戶端重新連線前會在未受保護的網路上停留數秒，而這正是重要的空白。終止開關的用途請見專頁。

隧道內的 DNS

即使其他所有流量都在隧道內，名稱查詢仍可能離開 Mac 的隧道，讓你的網路知道你造訪了哪些網站，卻只隱藏你在那些網站上做了什麼。請尋找DNS 洩漏防護、使用業者 DNS或自訂 DNS 欄位，並將它設為業者自己的解析器，而不是第三方解析器。你已經信任業者處理流量；另一個只能看見查詢的對象，會增加涉及的對象數量，卻不會減少其中任何一方知道的資訊。洩漏如何發生，請見DNS 洩漏頁面。

通訊協定

除非遇到問題，否則請保留現代預設值 — 通訊協定頁面列出哪些是目前版本、哪些已成為舊版。如果客戶端提供較舊的選項來修正連線問題，那是需要明知代價後作出的取捨，之後再將它撤銷：名錄會標示業者仍提供的最弱通訊協定，而手動選取它，就等於替自己選擇該標記。

確認它確實正常運作

連線後請進行檢查，不要只是假設。依照以下順序完成三項檢查，全部免費，也都不需要安裝軟體：

1. 你的位址已變更。 開啟任何「我的 IP 是什麼」頁面，確認國家／地區與你選擇的出口位置相符。如果客戶端顯示已連線，但頁面顯示的是你自己的國家／地區，代表延伸功能正在執行，但流量沒有經過它。
2. 查詢位於隧道內。 執行 DNS 洩漏測試，並查看它回報的解析器。任何屬於你的網際網路業者的解析器，都表示上述 DNS 設定沒有生效。
3. 終止開關確實如其所述運作。 在下載進行時，開啟「活動監視器」，找到客戶端的輔助程式或背景程序 — 它會帶有業者名稱 — 然後強制結束該程序，讓隧道在未要求客戶端操作的情況下中斷。傳輸應立即停止。如果仍然繼續，這個開關只是裝飾。

更完整的測試清單，以及每項測試能顯示和不能顯示的內容，請見專屬指南。

睡眠、喚醒與陌生 Wi-Fi

筆記型電腦會在從未使用過的網路上開啟，而 Mac 會在掀開上蓋後的最初幾秒內完成危險的部分 — 加入 Wi-Fi、檢查郵件、同步資料 — 此時任何客戶端都還沒重新連線。兩項設定可以關閉這段空白。客戶端中的自動連線，讓重新連線成為客戶端的工作，而不是你的工作；以及上方的永遠啟用終止開關，讓 Mac 在重新連線前什麼都不傳送。兩者都啟用時，咖啡店網路會看見一台加入網路後便保持沉默、直到隧道建立的筆電。這類網路在其他情況下能讀取什麼，請見公共 Wi-Fi 頁面。

如果客戶端提供一份可信任網路清單，讓它在這些網路上保持關閉，請將清單維持精簡。家中網路應列在其中，是因為印表機在那裡，而不是因為背後的網際網路業者看不見流量。