MacでのVPNの使い方：macOSへのインストールから設定まで

MacでVPNを使う際に大切なのは、最初にどのスイッチを入れるかではなく、クライアント、サブスクリプション設定、通信の振り分け方法を適切に組み合わせることです。信頼できるクライアントをインストールし、必要な権限を設定して、対応するサブスクリプションを追加したら、実際に通信できるか確認しましょう。画面に「接続済み」と表示されても、接続処理が完了したことを示すだけで、対象アプリの通信が選択した経路を通っているとは限りません。

インストール前に確認：クライアントとサブスクリプションの対応状況

一般に「Mac VPN」と呼ばれるものには、システムのVPN設定を使うアプリのほか、システムプロキシやトンネルモードで通信を転送するプロキシクライアントもあります。インストール画面が似ていても、設定を共通して使えるとは限りません。サブスクリプションのリンクをmacOSのシステムVPN設定に直接入力しないでください。サービスがシステム対応の接続方式と必要なパラメーターを明示している場合を除き、通常は対応クライアントに追加します。

Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUICは、それぞれ異なるプロキシプロトコルまたは実装方式であり、サブスクリプションのファイル形式ではありません。クライアントが特定のプロトコルに対応していても、サービスが発行するあらゆるサブスクリプションを読み込めるわけではありません。設定形式、プロトコルへの対応、クライアントのバージョンを確認し、サービスのクライアント案内に従ってください。

• ✅ 「このMacについて」でAppleシリコンかIntelプロセッサかを確認し、対応するインストーラーを選びます。ユニバーサル版の対応状況はリリースノートを確認してください。
• ✅ サービスの管理画面またはクライアントの公式リリースページからインストーラーを入手し、アプリ名と開発元の情報を確認します。
• ✅ 使用中のmacOSがクライアントの対応範囲内か確認し、サブスクリプションを追加するアプリも調べておきます。
• ❌ 見知らぬ第三者が提供するサブスクリプション変換サイトを必須の手順と考えないでください。変換の過程で認証情報が漏れるおそれがあります。

BaiVPNをご利用の場合は、ユーザーパネルのダウンロードページで対応状況をご確認ください。この記事では実際のサブスクリプションURLを公開せず、インストーラーへの直リンクも掲載していません。古いファイルや機密性の高い認証情報が長期間流通するのを防ぐためです。

クライアントをインストール：まず通常どおり起動し、その後に権限を設定

1. インストールを完了します。ディスクイメージを入手した場合は、開いて案内に従い、アプリを「アプリケーション」フォルダに移動します。インストーラーの場合は、各手順を確認しながら進めてください。一時的にマウントしたイメージからアプリを起動し続けないようにしましょう。
2. 初回起動。「アプリケーション」フォルダからクライアントを開き、通知に表示されたアプリがインストールしたものと一致することを確認します。インターネットからダウンロードしたアプリの起動確認や、補助コンポーネントのインストール許可を求められる場合があります。
3. セキュリティに関する通知を確認。開発元を検証できないという通知が表示された場合は、公式の案内に戻り、署名、互換性、入手元を確認します。入手元の信頼性を確認でき、公式の手順で必要とされている場合に限り、システムの案内に従って続行してください。
4. 接続はまだ開始しない。クライアントがシステムプロキシ、ネットワーク拡張機能、トンネルモードのどれを使うかを確認します。通知を消すためだけに、すべての権限を許可する必要はありません。

システム整合性保護やMac全体のセキュリティチェックを無効にしたり、入手元の分からないターミナルコマンドを実行したりして、インストールの問題を解決しないでください。「アプリが破損しているため開けません」などと表示された場合は、検証を回避するのではなく、公式の案内を確認してから再ダウンロードしてください。

macOSでは、設定項目の名称がバージョンによって異なります。新しいバージョンでは「システム設定」、古いバージョンでは「システム環境設定」と表示される場合があります。別のバージョンの画面を見ながら項目を探すより、設定内の検索で「VPN」「拡張機能」「プライバシーとセキュリティ」を検索するのがおすすめです。

権限の通知：システムプロキシとトンネルモードの違い

クライアントが権限を求める場合は、その権限が明確な機能に対応しているか確認しましょう。システムプロキシが影響するのは、主にシステムプロキシ設定に従うアプリです。トンネルモードでは通常、仮想ネットワークインターフェースを通じて、より広い範囲の通信を処理します。クライアントによって実装は異なり、Network Extensionを使うものもあれば、補助サービスを必要とするものもあります。そのため、どのアプリでもシステム拡張機能の承認を求められるわけではありません。

必要な権限を拒否した場合は、システム設定で該当するアプリや構成を探し、クライアントのドキュメントに従って再度有効にしてください。会社が管理するネットワーク構成を、ついでに削除しないよう注意しましょう。管理対象のMacではネットワーク拡張機能のインストールが制限されている場合があります。その際は制限を回避しようと何度も試すのではなく、デバイス管理者に相談してください。

初回設定では、ネットワーク通信を制御するプロキシやVPNを複数同時に動かさないでください。デフォルトルート、システムプロキシ、DNS設定を取り合い、一方は接続済みと表示されていても、別のアプリの通信が異なる経路へ送られることがあります。

サブスクリプションの追加：リンクはWebページでもログインパスワードでもありません

サブスクリプションのリンクには、設定を取得するための認証情報が含まれていることがあります。ノード一覧が返される場合もあれば、ルール、ポリシーグループ、DNS設定を含む完全なファイルが返される場合もあります。ブラウザーでリンクを開けても、使用中のクライアントで読み込めるとは限りません。設定テキストが表示されても、項目を一つずつ手作業でコピーする必要があるわけではありません。

1. 管理画面からサブスクリプションを取得します。自分のユーザーパネルにログインし、使用するクライアントに対応したサブスクリプションの項目を探します。コピーする際はURL全体を保ち、空白や改行、チャットアプリが付けた句読点を加えないでください。
2. クライアントに設定を追加します。サブスクリプション、設定、または設定ファイルの画面を開き、リンクから読み込む項目を選びます。あとで見分けやすい名前を付けてから更新してください。
3. 読み込み結果を確認します。ノードやポリシーグループが表示されるか、更新時にエラーが出ていないか、読み込んだ設定が現在有効になっているかを確認します。
4. 経路を選んで接続します。まずはサービスが提供するデフォルトルールを維持し、目的に合った経路を選んでから、必要なプロキシモードまたはトンネルモードを有効にします。

「未対応の形式」と表示された場合は、リンクを複数のクライアントに何度も読み込ませるのではなく、サブスクリプションの種類を確認します。認証に失敗した場合は、管理画面でサブスクリプションの有効性を確認してください。更新がタイムアウトする場合は、通常のネットワーク接続を確認し、サブスクリプションの取得に特定のネットワーク経路が必要か、公式の案内を確認します。

サブスクリプションのリンクはパスワードと同じように管理してください。スクリーンショットや問い合わせを送る前に、URL全体、QRコード、トークンを隠しましょう。リンクが漏れた疑いがある場合は、管理画面のリセット機能を使い、各デバイスの設定も更新してください。

初回接続：ノード名より振り分けルールが重要

ルールモードでは通常、ドメイン、アドレス、アプリなどの条件に応じて、直接接続するかプロキシ経由にするかを決めます。ローカルサービスも使う日常利用に適しています。グローバルプロキシモードでは通常、そのプロキシエンジンに届いた通信を選択中のポリシーに渡します。ただし、システム上のすべての通信が自動的に処理されるわけではありません。対象範囲はシステムプロキシ、トンネル、除外設定によって異なります。

ブラウザーでは対象のWebサイトを開けるのに、デスクトップアプリでは開けない場合は、まずそのアプリがシステムプロキシに従うか確認してください。コマンドラインツール、一部のアプリ、ブラウザーには、それぞれ独自のプロキシ設定がある場合があります。より広い範囲の通信を対象にするには、クライアントのドキュメントに従ってトンネルモードを有効にし、LAN、社内ネットワーク、仮想マシンの通信に影響がないか確認します。

経路に付くIEPL専線、中継、直結などの表示は、ネットワーク経路の構成を表すものであり、Macのローカル権限とは別の問題です。IEPLは通常、通信事業者の専用回線を利用する方式、中継は中間ノードを経由して転送する方式、直結はサービスが用意する中継拠点を通常経由しない方式を指します。具体的な経路はサービスの案内をご確認ください。どの表示も、使用中のネットワークや時間帯に実際の接続を確認することの代わりにはなりません。

接続を確認：通信、出口、DNSをあわせてチェック

まず、クライアントの接続前に通常のネットワークが使えることを確認し、接続後に対象アプリを開き直してテストします。キャッシュが使われているかもしれないページを一度更新するだけで判断しないでください。クライアントの接続ログを確認し、対象の通信に想定したルールとポリシーが適用されているかを調べます。ログに「直結」と表示される場合、ノードを切り替えてもルール選択の誤りは解決しません。

• ✅ 対象のWebサイトと実際に使うアプリで、トップページを開くだけでなく、通常の操作ができる。
• ✅ 信頼できる出口確認ツールを使い、結果が想定した経路と一致するか確認する。地域データベースには誤差があるため、都市名だけで判断しない。
• ✅ クライアントのDNSとルーティングの設定を確認し、名前解決の通信が想定どおり処理されているか、ブラウザーのセキュアDNSが別の経路を使っていないか確認する。
• ✅ 接続を切った後にローカルネットワークを再確認し、クライアントがプロキシやルーティングの設定を元に戻せるか確かめる。

DNSリークとは、名前解決の通信が想定と異なる経路を通ることであり、「ページが開けない」こととは別です。ルールによる振り分けでは、設計どおりにローカルドメインをローカルDNSで解決する場合があり、必ずしもリークとは限りません。反対に、出口アドレスが変わっても、DNSが想定どおり処理されている証明にはなりません。ブラウザーの暗号化DNS、クライアントのDNS、システムのリゾルバーを設定とあわせて確認しましょう。見慣れないリゾルバー名だけで結論を出さないでください。

IPv6も確認が必要です。一部のアドレスファミリーだけがトンネルに入っていると、通信が異なる経路を通ることがあります。まずクライアントがサポートする完全な設定を使って原因を調べ、システムのネットワーク機能を恒久的に無効にすることを安易な解決策にしないでください。

よくあるトラブル：問題が起きた箇所から確認

接続済みなのにWebページが開かない

まずクライアントを切断し、通常のネットワークが使えるか確認してから、現在の設定、ポリシーグループ、システムプロキシが有効かを調べます。ドメイン名の解決に失敗する場合はDNSログを確認し、接続がタイムアウトする場合は同じ地域の別の経路を試します。一度に変更する設定は一つだけにし、エラーが起きた時刻とメッセージを記録すると、ルール、名前解決、経路のどこに原因があるか判断しやすくなります。

権限の通知が繰り返し表示される、またはスリープ後に接続できない

アプリが「アプリケーション」フォルダに置かれ、古いコピーが同時に起動していないことを確認します。クライアントを再起動してから、ほかのツールによってネットワーク設定が上書きされていないか調べてください。補助コンポーネントを再インストールする場合は、そのクライアントの正式なメンテナンス手順のみを使います。スリープから復帰した後に異常が起きた場合は、まず切断して再接続し、すべてのネットワーク設定をすぐに削除する必要はありません。

アプリ終了後、通常のネットワークも使えない

システムにローカルホストを指すプロキシ設定が残っていないか、VPN構成が接続中のままになっていないかを確認します。まず元のクライアントを再度開き、切断または復元機能で設定を戻してください。手動で変更する必要がある場合は、元の値を記録し、そのクライアントの設定だと確認できる項目だけを変更します。問題の種類別の詳しい確認方法はトラブルシューティングガイドをご覧ください。