如何在 Mac 上設定 VPN

開始前

安裝用戶端

1. 如果兩者都有，請從業者網站選擇版本，不要選商店版本。 App Store 版本在 Apple 的沙盒內執行，而沙盒會禁止 VPN 用戶端的部分用途：在你登入前就生效的終止開關、按應用程式分流。直接下載的通常是完整用戶端。只有在商店版本是唯一提供的版本時，才選擇它。
2. 先在業者網站登入，再從帳戶區域下載，確保你執行的檔案來自已證明你有訂閱的登入工作階段。
3. 開啟安裝程式，並在 macOS 詢問時批准延伸功能。 系統會顯示用戶端想加入網絡延伸功能或 VPN 設定，並將你帶到「系統設定」›「一般」›「登入項目與延伸功能」。請允許它。延伸功能未獲允許的用戶端雖然會開啟並登入，卻永遠無法連線。
4. 保持背景項目開啟。 同一個設定頁面會在允許在背景中運作下列出用戶端。為了整理清單而將它關閉，會令通道在睡眠後停止重新連線。
5. 登入用戶端，並為裝置取一個不會識別你身份的名稱；業者會儲存這個名稱。
6. 暫時不要連線。 先開啟設定。以下三項設定中，有兩項在大多數用戶端中預設為關閉。

值得檢查的三項設定

用戶端選單各有不同，但設定本身沒有分別。如果你不熟悉名稱，詞彙表中每一項都有說明。

終止開關

通道中斷時封鎖所有流量，而不是悄悄讓連線退回普通網絡。它通常預設為關閉，因為會令產品感覺沒那麼可靠 — 通道中斷後會變成完全無法連線，而不是在你沒有察覺的情況下繼續連線，這正是它的作用。請將它開啟。如果用戶端區分只在連線期間生效的開關與任何時候都生效的開關，請選後者：Mac 從睡眠中醒來並接入陌生 Wi-Fi 時，用戶端重新連線前會先在無保護的網絡上停留數秒，而這正是重要的空白。終止開關專頁說明了這個開關的用途。

通道內的 DNS

即使其他所有流量都在通道內，名稱查詢仍可能離開 Mac 的通道，讓你的網絡知道你瀏覽過哪些網站，而只隱藏你在網站上做了甚麼。尋找DNS 洩漏防護、使用業者 DNS或自訂 DNS 欄位，並將其設定為業者自己的解析器，而非第三方解析器。你已經信任業者處理流量；另一個只看到查詢的第三方只會增加涉及的各方，卻不會減少任何一方知道的資料。DNS 洩漏專頁說明了洩漏如何發生。

協定

除非出現問題，否則保持使用現代預設值 — 協定專頁列出哪些是現行協定，哪些已屬舊版。如果用戶端提供較舊的選項來修復連線問題，這是你需要明知後果才作出的取捨，之後應將它還原：名錄會標示業者仍提供的最弱協定，而手動選取它，就等於替自己選擇這個標記。

確認確實正常運作

連線後不要假設，請進行檢查。依照以下次序進行三項檢查，全部免費，也不需要安裝軟件：

1. 你的地址已變更。 開啟任何「我的 IP 是甚麼」頁面，確認國家與你選擇的出口位置相符。如果用戶端顯示已連線，但頁面顯示的是你自己的國家，代表延伸功能正在運作，但流量沒有經過它。
2. 查詢位於通道內。 執行 DNS 洩漏測試，查看它回報的解析器。只要有任何解析器屬於你的互聯網服務供應商，就代表上述 DNS 設定未有生效。
3. 終止開關確實按說明運作。 在進行下載時開啟「活動監視器」，找出用戶端的輔助程式或守護程序 — 它會帶有業者名稱 — 然後強制結束該程序，讓通道在沒有要求用戶端操作的情況下中斷。傳輸應立即停止。如果仍然繼續，這個開關就只是裝飾。

更完整的測試清單，以及每項測試能夠和不能夠顯示的內容，請參閱專門指南。

睡眠、喚醒與陌生 Wi-Fi

手提電腦會在從未使用過的網絡上開機，而 Mac 會在掀開螢幕後的最初幾秒完成危險的部分 — 加入 Wi-Fi、查看郵件、同步資料 — 此時任何用戶端都可能尚未重新連線。兩項設定可以封閉這段時間。開啟用戶端的自動連線，讓重新連線成為用戶端的工作，而不是你的工作；再開啟上面的永遠開啟的終止開關，讓 Mac 在重新連線前完全不發送任何資料。兩者同時啟用時，咖啡店網絡只會看到手提電腦加入網絡，然後保持沉默，直至通道建立。公共 Wi-Fi 專頁說明了這類網絡在其他情況下可以讀取甚麼。

如果用戶端提供信任網絡清單，讓你在這些網絡上保持關閉，請將清單維持在較短範圍。家中的網絡應列在其中，是因為打印機在那裡，而不是因為背後的互聯網服務供應商看不見流量。