山水云 macOS 使用指南：Mac 网络代理、权限与连接设置

在深入动手配置 Mac 客户端之前，理解苹果操作系统独特的网络栈架构能够帮助用户在遇到连接异常时快速定位症结。苹果系统在经历多个版本的安全演进后，引入了更为严格的应用沙盒与系统完整性保护机制。在目前的 macOS 生态中，主流的代理分流实现方式主要分为两类：第一类是操作系统级网络代理（System Proxy），通过修改系统网络设置中的 HTTP、HTTPS 与 SOCKS5 代理参数，引导常规应用程序将网络请求转交至本地监听端口；

第二类则是基于苹果官方 Network Extension 框架构建的虚拟网卡模式（TUN 模式），能够接管整机所有网络协议流量。 在搭载较新 macOS 系统的苹果电脑上，用户可以通过进入‘系统设置’，点击左侧导航栏的‘网络’，随后选择当前处于活动状态的网络接口（如 Wi-Fi 或雷雳以太网）。

在 macOS 平台上使用山水云服务，推荐选择代码公开透明、社区长期维护的开源或知名独立客户端。山水云官方遵循开放通用协议标准，不强制捆绑任何不透明的定制修改版软件，用户应尽可能从官方开源代码仓库下载 DMG 安装包镜像。 在首次安装并打开第三方代理应用时，由于苹果系统的安全保护策略（Gatekeeper），屏幕上经常会弹出‘无法打开应用，因为无法验证开发者’或‘应用已损坏’的警告提示。

这是因为部分非 Mac App Store 分发的开源工具未经过苹果的企业证书公证。遇到此类提示时，切勿盲目从不可信的非官方镜像站下载二次打包文件。规范的解决步骤是：进入 Mac 的‘系统设置’，点击‘隐私与安全性’，向下滚动至‘安全性’区域，在此处便能看到刚才被拦截应用的名称，点击其旁边的‘仍要打开’按钮并输入管理员密码即可放行。

如果你在 Mac 客户端上启用了 TUN 模式或虚拟网卡增强功能，系统必然会触发高级驱动层权限授权流程。苹果系统对于能够接管整机数据包的驱动层扩展拥有极高的防护等级。当客户端首次尝试创建虚拟网络适配器时，macOS 会在屏幕中央弹出一个醒目的系统级警报：‘某应用想要添加网络扩展配置’或‘某应用想要过滤网络内容’。

许多用户在看到‘过滤网络内容’这一严厉措辞时会产生迟疑甚至直接点击‘不允许’，导致后续网络连接彻底中断。实际上，这是苹果系统对所有虚拟网卡与分流驱动的标准权限说明，旨在提醒设备所有者正有软件在创建局部数据通路。要让客户端正常接管流量，必须点击‘允许’。

一个在新手群体中极其普遍的误区，是将山水云用户中心的‘网站登录账号’与 Mac 客户端内的‘配置订阅’混为一谈。不少用户在打开刚下载的客户端后，四处寻找山水云的用户名和密码输入框，甚至将网站密码误输入到客户端的本地配置中，这是完全混淆了两者功能的表现。 正规的现代化代理架构遵循‘分发与鉴权分离’标准。

山水云作为节点服务基础设施，为每位合法订购的用户生成独一无二的加密订阅 URL。这个 URL 本质上是一个包含了节点服务器地址、加密密钥、传输协议及端口参数的结构化数据分发链接。在 Mac 客户端中，你只需要找到‘配置（Profiles）’板块，点击新建并把这段长链接粘贴进去，点击下载或保存即可。

成功导入订阅并选择可用节点之后，验证连接是否真正生效需要遵循严谨的测试逻辑。最直观的检验方法是打开浏览器，访问权威的 IP 查询平台，核对当前的公网出口 IP 地址是否已经变更为了所选山水云节点所在地区（例如香港、日本或新加坡），并确认没有回退为本地宽带运营商的属地信息。 在此过程中，必须合理选择分流工作模式。

主流客户端通常提供‘规则模式’、‘全局模式’与‘直连模式’。 日常使用中务必坚决选用‘规则模式’。在规则模式下，访问百度、淘宝、微信等中国大陆主流互联网服务时，数据包将直接走本地宽带直通线路，既不会消耗套餐流量配额，也不会因为绕道境外而降低国内网站的加载速度；

在日常使用中，Mac 用户经常会遭遇两类经典网络异常。第一类是‘休眠唤醒后网络彻底断开’。MacBook 凭借出色的低功耗待机机制，用户习惯于合盖即走。然而，当系统从深度睡眠中被唤醒时，网络硬件迅速恢复工作，但后台代理内核的守护进程可能未能及时与系统网络扩展完成重新握手，导致网络请求挂起。此时只需在客户端托盘菜单中临时关闭一次连接再重新开启即可恢复。

第二类故障是‘客户端退出后连国内网页也打不开了’。其成因在于客户端退出时未能将系统代理设置复位。此时浏览器依然尝试向本地已关闭的 7890 端口发送数据，导致连接被拒绝。规避该问题的最佳方式是在退出软件前，先在界面上手动关闭系统代理开关；