v2rayN macOS 安装指南:未验证开发者提示与网络权限放行

安装包选择与应用位置

先打开屏幕左上角苹果菜单 →「关于本机」。看到「芯片」及 Apple 芯片型号，选 macOS ARM64；看到「处理器」及 Intel 型号，选 macOS x64。不要根据安装包体积判断架构，也不要把 Windows 安装文件当成 macOS 应用启动。

安装前可在「关于本机」记录系统版本，再对照所选发行包的最低系统要求。系统版本不足与 Gatekeeper 拦截是两类问题：「此应用程序无法在这台 Mac 上打开」并不必然表示需要安全放行。先确认架构和系统要求，再看弹窗的完整文字。

1. 确认架构

   打开苹果菜单 →「关于本机」，按芯片信息选择 ARM64 或 x64，下载入口见站内下载页。

2. 挂载镜像

   双击下载的 DMG 文件，在打开的磁盘窗口中找到 v2rayN 应用。若镜像无法挂载，先重新下载，不要直接修改系统安全设置。

3. 移入应用

   将 v2rayN 拖入 Finder 的「应用程序」。等待复制结束，推出磁盘镜像，再从「应用程序」启动。

4. 保留记录

   记下应用「关于」页的版本、系统版本和安装包架构。后续报错时附上这些信息，比只描述「打不开」更便于定位。

不要长期从磁盘镜像或下载目录运行应用。固定安装位置有利于后续更新、权限识别和登录项管理。更新前退出旧进程；如果旧版本启用了 TUN，先关闭 TUN 并清除系统代理，再替换应用。

「无法验证开发者」的放行路径

Gatekeeper 检查发生在应用启动阶段。弹窗提到「无法验证开发者」或「无法验证是否包含恶意软件」时，核心通常还没有开始监听端口，此时修改节点、订阅或 DNS 不会解决启动拦截。

1. 尝试启动

   在「应用程序」中双击 v2rayN，阅读并关闭拦截提示。只对来源已经确认的应用继续操作。

2. 打开安全项

   进入苹果菜单 →「系统设置」→「隐私与安全性」，向下查看「安全性」区域中刚被阻止的应用记录。

3. 单次放行

   核对记录中的应用名称，点击「仍要打开」，按系统要求完成管理员认证，并在后续确认框选择「打开」。

4. 重新检查

   返回「应用程序」再次启动。若没有对应记录，重新触发一次拦截后再查看；受组织管理的设备应交由管理员处理。

不同 macOS 版本对 Finder 右键 →「打开」的处理不完全相同，不能把它当成必然有效的入口。优先检查「隐私与安全性」里的明确放行记录。设备若由单位管理，「仍要打开」可能被策略禁用，反复输入管理员密码也不会覆盖管理策略。

系统代理与 TUN：先选接管方式

v2rayN 界面能打开，不代表所有应用的流量已经进入代理。系统代理会设置当前网络服务使用的代理地址，但应用是否遵循这些设置取决于自身实现。TUN 则通过虚拟网络接口接管流量，还涉及路由、DNS 与权限，首次排查应把两种方式分开验证。

如客户端请求修改网络设置，只在刚刚执行对应动作、且认证框明确指向该应用或其已知组件时授权。普通的系统代理配置不等于安装网络扩展，也不要求为了联网而授予「完全磁盘访问权限」或「辅助功能」。

• 查看系统代理：进入「系统设置」→「网络」→ 当前连接的 Wi-Fi 或以太网 →「详细信息」→「代理」。记录 HTTP、HTTPS 或 SOCKS 对应的地址与端口。
• 核对本地地址：本机代理通常使用 127.0.0.1。端口必须与 v2rayN 实际监听值一致，不能只因为教程写了某个数值就直接照填。
• 退出前恢复：在 v2rayN 选择「清除系统代理」，然后退出客户端。若应用异常退出，回到上述系统页面清除残留的本地代理设置。

网络扩展与网络权限的识别

「网络扩展」「VPN 配置」「本地网络」和管理员认证不是同一种权限。应先看系统提示写的是哪一种，再进入对应设置。v2rayN 的不同发行版本与运行方式可能采用不同接管实现；只启用系统代理时，没有网络扩展提示可以是正常现象。

如果系统提示「添加 VPN 配置」，核对应用名称后再决定是否允许；之后可在系统设置中搜索「VPN」查看相关条目。不要为排查普通代理连接而降低启动安全策略。TUN 启动后断网，应先关闭 TUN、清除系统代理，确认原始网络恢复，再查看客户端日志中的权限、路由和 DNS 错误。

• 没有弹出授权框：先确认是否真的启用了需要额外权限的功能，而不是只启动了应用窗口。
• 授权后仍失败：退出并重启应用，检查核心日志。日志中的「权限不足」与「地址已被占用」需要不同处理。
• 系统要求重启：先保存工作，再按提示重启。仅重开客户端不一定能完成系统组件的批准流程。

首次启动后的连接检查

权限处理完成后，先导入一份已知可用的配置。v2rayN 中打开「订阅分组」→「订阅分组设置」，添加名称和订阅地址，保存后在「订阅分组」菜单执行更新。菜单文案可能随版本略有调整，重点是先保存分组，再获取订阅内容；只保存网址不会自动证明节点已经导入成功。

VMess、VLESS 是配置使用的协议名称，不是 macOS 的权限类型。订阅地址用于拉取配置列表，单条分享链接描述一份配置，两者应使用对应导入入口。订阅里带入的 TLS、SNI、传输方式和路径应保持原值，不要为了排除安装问题随意改动。

1. 先看列表：更新后应能看到配置记录。列表为空时检查订阅响应、分组过滤和更新日志，不要先去批准网络扩展。
2. 再看核心：选择配置并设为活动服务器，查看日志中是否出现核心启动失败、缺少文件或端口占用。界面显示运行状态不能替代日志判断。
3. 核对监听：在「设置」→「参数设置」中查看本地监听端口相关项，再与系统网络代理页面对照。以下命令中的 10808 只是检查示例，执行前应替换为实际值。
4. 验证访问：先用系统代理方式访问一个日常可用的 HTTPS 网站，再检查是否产生对应连接日志。延迟测试成功不等于所有应用已经使用代理。

lsof -nP -iTCP:10808 -sTCP:LISTEN
scutil --proxy

第一条命令查看该 TCP 端口是否被进程监听，输出中的进程名和 PID 可用于识别占用者；没有输出时，先确认端口值，再检查核心是否运行。第二条命令读取系统当前代理配置，可关注 HTTPEnable、HTTPSProxy、HTTPSPort 等实际出现的字段。不要只看某个开关为 1，还要核对地址与端口是否成对正确。

安装与权限常见问题