Mac 机场教程：Clash Verge Rev / sing-box 安装、系统代理与 TUN（2026）

Mac 上用机场与 Windows 的几点不同

macOS 用户用机场的基本流程与 Windows 一致，但有几个系统特性会让第一次上手的人卡住：

• Gatekeeper 拦截。任何不是从 App Store 安装、又没做开发者公证的软件，首次打开都会提示「已损坏」或「无法验证开发者」。这不是软件问题，需要手动放行。
• 网络扩展与系统服务授权。TUN 模式需要创建虚拟网卡，macOS 要求安装系统服务或批准网络扩展并输入管理员密码。
• 系统代理按网络位置生效。macOS 的代理设置是绑在当前网络接口（Wi-Fi、以太网）上的，切换网络后客户端需要重新应用。
• 命令行工具不读系统代理。git、brew、npm、curl 这些开发者常用的工具需要单独设置环境变量或走 TUN。
• 芯片架构。Apple 芯片与 Intel 需要不同安装包，装错直接打不开。

把这几点理解清楚，后面的步骤就很顺。客户端层面，Mac 上我们推荐的是 Clash Verge Rev 与 sing-box 官方客户端，两者都免费开源；Surge、Stash 这类付费或 App Store 分发的客户端也很好，但不在本文范围。

Mac 上开始前要准备什么

没选好机场的话先看Mac 机场推荐，优先挑协议明确（VLESS）且有自研客户端做备选的几家；是否提供 Clash 或 sing-box 专用订阅以用户中心为准。

路线一：Clash Verge Rev 分步操作

第一阶段：下载与放行

1. 搜索「clash-verge-rev releases」进入 GitHub Releases 页面，Apple 芯片下载文件名带 aarch64 的 dmg，Intel 下载带 x64 的 dmg。
2. 双击 dmg，把应用图标拖进「应用程序」文件夹，然后推出 dmg。
3. 在「应用程序」里双击打开。若提示「已损坏，无法打开」或「无法验证开发者」，先点取消，到「系统设置 → 隐私与安全性」滚到底部，会看到一条关于该应用被阻止的提示，点「仍要打开」。
4. 如果设置里没有出现这条提示，打开「终端」，输入移除隔离属性的命令（xattr -cr 后面跟上应用的完整路径，可以把应用图标拖进终端窗口自动填入路径），回车后再打开应用。
5. 首次启动会提示安装系统服务用于后续 TUN 模式，建议同意并输入密码。

第二阶段：导入订阅与选节点

1. 在机场用户中心复制 Clash 订阅链接。
2. 打开 Clash Verge Rev，进入「订阅」页面，在顶部输入框粘贴链接，点导入。几秒后出现订阅卡片，显示流量与到期时间，点一下让它处于选中状态。
3. 进入「代理」页面，点测速图标对「节点选择」组测延迟，选一个数值低的节点。
4. 进入「设置」页面，打开「系统代理」开关。菜单栏的客户端图标会变化表示已生效。

第三阶段：日常设置

1. 「设置」里打开「开机自启」与「静默启动」，登录后自动在后台运行。
2. 「订阅」页面右键订阅卡片编辑，更新间隔设 720 或 1440 分钟。
3. 如果需要终端走代理，在「设置」里找到终端代理命令的复制按钮，粘贴到终端执行，或写进 shell 配置文件。

更详细的 Clash Verge Rev 功能说明（规则模式、局域网共享、内核切换）见Clash Verge Rev 新手教程。

路线二：sing-box 官方客户端分步操作

1. 到 sing-box 项目官方站点或 GitHub Releases 下载 macOS 版图形客户端，按芯片选择安装包。部分版本也在 App Store 上架，用非国区账号可直接安装。
2. 安装并打开，首次启动会请求安装网络扩展，点允许并输入管理员密码。若系统弹出「系统扩展已被阻止」，到「系统设置 → 隐私与安全性」允许，然后重新打开客户端。
3. 在「配置」页新建「远程」配置，粘贴机场的 sing-box 订阅链接，保存。机场若只有 Clash 订阅，参考订阅转换教程或使用内置转换的第三方 sing-box 客户端。
4. 选中配置回到仪表盘，点启动。sing-box 默认以 TUN 方式接管所有流量，不需要再开系统代理。
5. 在「组」页面测速并选节点。

sing-box 配置文件结构、规则集、DNS 设置等进阶内容见sing-box 使用教程。

关键设置解释：系统代理与 TUN 在 macOS 下的差异

两个开关不要同时开。Clash Verge Rev 用户开 TUN 时记得先关系统代理；sing-box 用户默认就是 TUN，若之前用别的客户端留下了系统代理设置，在「系统设置 → 网络 → 当前接口 → 详细信息 → 代理」里确认全部关闭。

终端代理

开发者最常问的问题。方法一：在终端执行导出 http_proxy、https_proxy、all_proxy 三个环境变量指向客户端本地混合端口的命令（Clash Verge Rev 默认 7897，可在设置里查看），需要长期生效就写进 .zshrc。方法二：开 TUN，一劳永逸。方法三：只给 git 配置代理，用 git config 设置 http.proxy。Homebrew、npm、pip 等工具各自读环境变量即可。

公司 Wi-Fi 与 802.1X

部分公司网络本身有强制代理或证书拦截，这时机场客户端的系统代理会与公司代理冲突。做法是在客户端「设置」里把公司内网域名加入绕过列表，或者在公司网络下改用 TUN 并把公司内网网段加直连规则。

怎么确认 Mac 上的流量已经走代理

1. 菜单栏图标：客户端图标为活动状态；Clash Verge Rev 设置页系统代理开关为开。
2. 系统设置核对：「系统设置 → 网络 → Wi-Fi → 详细信息 → 代理」里应看到 HTTP、HTTPS、SOCKS 代理指向 127.0.0.1 与客户端端口；sing-box TUN 模式下这里应为空，但「网络」列表会多出一个 utun 类接口。
3. 出口 IP：浏览器访问「查我的 IP」类网站，地区应为所选节点地区。
4. 终端验证：终端执行 curl 访问一个国外地址，能返回说明终端代理或 TUN 生效。
5. 分流验证：国内网站速度不变，国外网站能开；客户端连接面板里国内域名显示 DIRECT。
6. AI / 流媒体：切到机场标注的专用分组后再验证，解锁以品牌资料标注为准，建议先月付观察。

Mac 用户的常见问题速查

Mac 用户的进阶场景

• 开发者：Docker 容器出站、模拟器、CLI 工具都走代理，TUN 是最省事的选择。sing-box 在这方面默认体验好。
• 视频会议与远程桌面：对延迟敏感，选专线节点并固定，不要用自动测速组频繁切换，可参考IEPL 与 IPLC 的区别。
• Mac 与 iPhone 配合：同一机场订阅在 iPhone 上用 Shadowrocket 导入即可，见Shadowrocket 教程；注意设备数限制。
• 给局域网设备共享：Clash Verge Rev 打开「允许局域网连接」后，电视盒子等设备可把代理服务器填为 Mac 的内网 IP 和混合端口，详见电视盒子教程。

适合 Mac 用户的机场

Mac 用户的典型画像是多设备（Mac + iPhone + iPad）、对稳定性和延迟敏感、常用 AI 工具。本站 17 家品牌资料都没有逐一列出 Mac 客户端，Clash Verge Rev 与 sing-box 都靠订阅导入；有自研客户端的机场（是否提供 Mac 版以官网为准）多一条退路。设备数各家都写「以官网为准」。下表按评分列出：

更多对比见Mac 机场推荐与Clash Verge Rev 客户端页。

常见问题