如何在 Mac 上设置 VPN

开始前

安装客户端

1. 如果服务商网站和商店都提供版本，请从服务商网站选择版本，而不是从商店选择。App Store 版本运行在 Apple 的沙盒中，而沙盒会限制 VPN 客户端的部分用途：在登录前就生效的终止开关、按应用分流。直接下载的通常是完整客户端。只有在商店版本是唯一选项时，才选择它。
2. 先登录服务商的网站，再从账户区域下载，这样你运行的文件就来自已确认你有订阅的会话。
3. 打开安装程序，并在 macOS 提示时批准扩展。系统会提示客户端想要添加网络扩展或 VPN 配置，并将你引导至“系统设置”›“通用”›“登录项与扩展”。请允许它。扩展未获允许的客户端可以打开并登录，但永远无法连接。
4. 保持后台项目开启。同一个设置页面会在允许在后台下列出客户端。为了整理列表而将其关闭，会导致隧道在睡眠后停止重新连接。
5. 登录客户端，并将设备命名为不会暴露你身份的名称；该名称会由服务商保存。
6. 暂时不要连接。先打开设置。下面三个设置中的两个，在大多数客户端中默认关闭。

值得检查的三个设置

客户端菜单各不相同，但设置本身没有区别。如果其中任何一个名称你不熟悉，都可以在术语表中找到对应条目。

终止开关

如果隧道断开，它会阻止所有流量，而不是让连接悄悄退回普通网络。它通常默认关闭，因为这会让产品显得不那么可靠 — 隧道断开后会变成完全断网，而不是用户没有察觉的断开，这正是它存在的意义。请将其开启。如果客户端区分了仅在已连接时生效的开关和始终生效的开关，请选择后者：Mac 从睡眠中唤醒并接入陌生 Wi-Fi 时，客户端重新连接前会在裸网络上停留几秒，而这段空白才是关键。该开关的作用见专门页面。

隧道内的 DNS

即使其他所有流量都在隧道内，名称查询仍可能从隧道外离开 Mac，让你的网络知道你访问过哪些网站，却只隐藏你在这些网站上做了什么。请查找DNS 泄漏防护、使用服务商 DNS或自定义 DNS 字段，并将其设置为服务商自己的解析器，而不是第三方解析器。你已经在将流量交给服务商；一个只能看到查询的第二方会增加知情方的数量，却不会减少其中任何一方掌握的信息。泄漏如何发生，见DNS 泄漏页面。

协议

除非出现故障，否则保持现代默认协议 — 协议页面列出了哪些协议是当前版本，哪些已经过时。如果客户端提供较旧的选项来解决连接问题，可以在了解取舍的前提下使用，然后再撤销选择：名录会标记服务商仍提供的最弱协议，手动选择它，就等于为自己选择了该标记。

确认它确实在工作

连接后不要直接假定它正常，而是进行检查。按以下顺序进行三项检查，全部免费，也不需要安装软件：

1. 你的地址发生了变化。打开任意“我的 IP 是什么”页面，确认国家或地区与所选出口位置一致。如果客户端显示已连接，但页面显示的仍是你所在的国家或地区，说明扩展正在运行，但流量没有经过它。
2. 查询位于隧道内。运行 DNS 泄漏测试，并查看它报告的解析器。只要出现属于你的互联网服务商的解析器，就说明上面的 DNS 设置没有生效。
3. 终止开关确实按说明工作。在下载运行期间打开“活动监视器”，找到客户端的辅助进程或守护进程 — 它会带有服务商的名称 — 然后强制退出该进程，使隧道在未要求客户端断开的情况下掉线。传输应立即停止。如果仍在继续，说明这个开关只是摆设。

更完整的测试列表，以及每项测试能够和不能说明什么，见专门指南。

睡眠、唤醒和陌生 Wi-Fi

笔记本电脑会在从未见过的网络上打开，而 Mac 会在掀开屏幕后最初几秒内完成最危险的操作 — 加入 Wi-Fi、检查邮件、同步数据 — 此时任何客户端都还没来得及重新连接。两个设置可以关闭这段窗口。开启客户端中的自动连接，让重新连接成为客户端的任务，而不是你的任务；同时开启上面的始终启用终止开关，这样在重新连接前 Mac 就不会发送任何内容。两者同时开启后，咖啡馆网络会看到一台加入网络后保持静默、直到隧道建立的笔记本电脑。此类网络原本能够读取什么，见公共 Wi-Fi 页面。

如果客户端提供可信网络列表，并允许在这些网络上保持关闭，请让列表尽可能短。家庭网络可以列入其中，因为打印机在家里，而不是因为其背后的互联网服务商看不到流量。