NT-02.1網路擴充功能權限為何必須手動放行
Clash 系客戶端(包括 Clash Verge、Clash Plus 等基於 mihomo 核心的應用程式)要接管系統層級流量,依賴的是 macOS 提供的 NetworkExtension 框架。這套框架從 macOS Catalina 之後逐步取代了舊式核心擴充功能(kext),運作在使用者態而非核心態,安全邊界更清楚,但代價是每安裝一次新客戶端,系統都會把授權動作交給使用者手動確認——這不是客戶端的行為異常,而是系統設計本身如此。
具體表現為:客戶端啟動後跳出「系統擴充功能被阻擋」提示,或在設定裡開啟代理模式、TUN 模式時毫無反應、按鈕點了也沒有下一步動作。這類情況幾乎都指向同一件事:網路擴充功能尚未在系統設定裡被明確允許。系統預設對任何要求接管網路層的擴充功能都保持保留態度,即使客戶端本身完全正常,也必須走一遍授權流程才會生效。
macOS Ventura(13)之後,網路擴充功能的開關位置從「安全性與隱私權」整體移到了「隱私權與安全性」分類下的獨立入口,舊教學裡的選單路徑大多已失效,依照下文路徑操作即可,不必參照過時截圖。
NT-02.2在系統設定裡逐步放行網路擴充功能
網路擴充功能授權分兩步:第一次跳出彈窗時的即時確認,以及彈窗被誤關或錯過後的手動補授權。兩條路徑都要熟悉,因為實際操作中彈窗被系統提示音蓋過而錯過點擊的情況並不少見。
- 開啟客戶端並嘗試啟用代理模式(或 TUN 模式),系統會跳出一則含「網路擴充功能」字樣的通知,點擊通知或前往「系統設定」。
- 進入「系統設定」→「隱私權與安全性」,在頁面靠下方位置找到「網路擴充功能」一項(部分系統版本下位於「登入項目與擴充功能」分類內)。
- 點進去後,會看到已安裝客戶端的擴充功能名稱,勾選框旁邊會顯示狀態。將對應客戶端的開關切到允許狀態。
- 系統通常會再跳出一次確認對話框,要求輸入本機登入密碼或使用 Touch ID 確認,這一步是身分驗證而非客戶端行為,正常輸入即可。
- 回到客戶端重新點擊啟用代理或 TUN 模式,此時應能正常生效,狀態列或主畫面會顯示連線中或已連線。
若在「隱私權與安全性」頁面完全找不到「網路擴充功能」入口,大機率是客戶端的擴充功能註冊尚未完成,建議先完全退出客戶端(而非只是關閉視窗),重新開啟一次觸發註冊流程,再回頭檢查設定項是否出現。
| 現象 | 可能原因 | 處理方向 |
|---|---|---|
| 設定裡找不到網路擴充功能入口 | 擴充功能未完成註冊 | 完全退出客戶端後重新啟動一次 |
| 開關切開後仍無法連線 | 系統快取了舊的拒絕狀態 | 關閉開關、重新啟動客戶端、再重新打開開關 |
| 密碼驗證後毫無反應 | 驗證逾時或系統程序未刷新 | 重新點擊開關,避免長時間停留在驗證對話框 |
NT-02.3鑰匙圈反覆彈窗的處理方法
另一個高頻卡點是鑰匙圈(Keychain)權限彈窗反覆出現,常見提示為「是否允許‘鑰匙圈存取’使用您的機密資訊」或類似的憑證存取請求。這類彈窗與網路擴充功能權限來源不同:它是客戶端在讀取或寫入本機憑證、設定金鑰時觸發的系統層級安全確認,目的是防止未經授權的程序讀取敏感憑證。
正常情況下,彈窗出現時應點擊「永遠允許」而不是「允許」,系統會記住這次授權,之後啟動不再重複詢問。若每次啟動客戶端都重新跳出同一則鑰匙圈請求,通常是以下兩種原因之一:
- 點擊的是「允許」而非「永遠允許」,系統只授予單次工作階段權限,下次啟動視為新請求。
- 鑰匙圈中存在同名但簽章資訊不一致的舊項目(常見於卸載重裝客戶端後),系統無法判斷該信任哪一個,於是每次都重新詢問。
遇到第二種情況,可以開啟系統內建的「鑰匙圈存取」應用程式,在搜尋框輸入客戶端名稱或相關憑證關鍵字,檢查是否存在多筆同名記錄。若確認是舊版本殘留,刪除多餘項目後重新啟動客戶端,再在新跳出的授權請求裡選擇「永遠允許」即可解決重複彈窗問題。
刪除鑰匙圈項目前,務必確認該項目確實與目前排查的客戶端相關,避免誤刪系統或其他應用程式依賴的憑證。若無法判斷某筆記錄的用途,優先保留,只處理明確重複且帶有舊版本時間戳記的項目。
NT-02.4網路擴充功能與 TUN 模式的關係
macOS 對這類權限格外謹慎,是因為網路擴充功能框架正是 TUN 模式的底層實作。TUN 模式需要在系統裡建立一個虛擬網卡,把原本繞不開系統代理設定的命令列工具、部分沙盒應用程式的流量一併接管,這種「接管全局網路路徑」的能力若不設門檻,理論上可能被惡意程式濫用來竊聽或竄改流量。因此系統要求每一個申請此能力的程序,都必須經過使用者在設定裡的明確確認,而且該確認狀態會與應用程式簽章綁定,簽章變化(例如更換安裝檔來源)會導致授權狀態失效,需要重新走一次流程。
理解這層機制後,遇到 TUN 模式開關「點了沒反應」的情況,就不必懷疑客戶端本身出問題,永遠先檢查「隱私權與安全性」裡的網路擴充功能開關狀態,這是最常見也最容易被忽略的一步。
NT-02.5常見錯誤訊息與排查思路
除了權限彈窗本身,授權完成後仍可能出現一些邊緣情況,列出較常遇到的幾種供對照排查:
- 提示擴充功能已被系統阻擋,且設定裡開關為灰色不可點擊:通常是 macOS 的完整性保護機制介入,先嘗試重新啟動一次 Mac,重啟後系統會重新載入擴充功能註冊狀態,再進入設定檢查開關是否變為可操作。
- 輸入密碼確認後畫面卡住不動:先等待幾秒鐘,系統擴充功能載入有短暫延遲,若超過半分鐘仍無變化,結束客戶端程序後重新啟動一次。
- 多個 Clash 系客戶端交替使用時權限互相衝突:同一時間只保留一個客戶端的網路擴充功能處於啟用狀態,切換客戶端前先在設定裡關閉前一個的開關,避免虛擬網卡資源被同時佔用。
大多數權限類問題都不需要重裝客戶端解決,依照上述路徑逐項確認設定狀態,基本能在幾分鐘內排除故障。若放行網路擴充功能與清理鑰匙圈項目後問題依舊,再考慮是否是安裝檔本身損毀,重新下載對應平台的安裝檔。