Mac Clash Verge 使用教程 下载安装、订阅导入与节点连接指南

一 应用层与图形界面容器#

Clash Verge Rev 前端界面负责配置文件的下载、编辑、可视化策略组交互以及核心进程的生命周期管理。由于它运行在标准普通用户的沙盒环境中，默认没有权限修改 macOS 的全局网络偏好设置，更无法直接向操作系统内核申请创建虚拟网络接口。

二 特权辅助工具（Privileged Helper Tool）#

为了打破普通用户权限与底层网络管理的鸿沟，Clash Verge Rev 引入了遵循苹果官方安全标准的特权辅助工具机制（通常注册为 com.clash-verge.helper）：

1. 辅助工具以系统最高权限（root）驻留在后台；
2. 当用户在界面上切换“系统代理”或开启“TUN 模式”时，主程序通过 macOS 原生的 XPC 进程间通信向该辅助服务发出安全指令；
3. 辅助服务负责代为调用系统的 networksetup 命令行工具修改各物理网卡的代理参数，或在 BSD 内核中创建专用的 utun 虚拟网卡接口；
4. 这种优雅的架构设计，彻底避免了日常每次打开软件都需要繁琐输入管理员密码的痛点，兼顾了安全性与使用的丝滑感。

三 Mihomo 原生内核引擎#

负责实际网络数据包的路由分流、DNS 劫持解析以及高强度加密解密。无论底层是承载传统的 HTTP / SOCKS5 流量，还是处理经过 utun 网卡导入的原生 UDP 数据流，Mihomo 均能以纳秒级的判定速度执行路由分流。

一 芯片架构与 DMG 安装包选型#

前往 Clash Verge Rev 官方 GitHub Releases 页面，在 Assets 列表中针对 Mac 用户通常会看到两个主流安装包：

1. Clash.Verge_x.x.x_aarch64.dmg（Apple Silicon 专属）：专为搭载苹果自研 M 系列芯片（M1、M2、M3、M4 及其 Pro/Max/Ultra 衍生型号）的 Mac 电脑打造。该版本为原生 ARM64 二进制代码编译，能够直接利用苹果芯片的高能效核心运行，CPU 占用率极低且极其省电，日常内存常驻通常低于 60MB；
2. Clash.Verge_x.x.x_x64.dmg（Intel 处理器专属）：专为 2020 年以前生产的搭载传统 Intel 处理器的旧款 Mac 电脑设计。虽然 M 系列芯片也可以通过 Rosetta 2 转译运行 x64 版本，但转译过程会带来额外的内存开销与性能损耗，因此 M 系列用户务必认准 aarch64 标识。

二 标准化安装与部署步骤#

1. 下载完成后，在“访达”（Finder）中双击打开下载好的 .dmg 磁盘镜像文件；
2. 在弹出的安装窗口中，将左侧的 Clash Verge 应用图标按住并拖拽至右侧的 Applications（应用程序）文件夹快捷方式中；
3. 拖拽拷贝完成后，在访达侧边栏推出 DMG 磁盘镜像，即可在“启动台”（Launchpad）或“应用程序”文件夹中找到客户端。

三 解决“应用已损坏，您应该将它移到废纸篓”报错#

由于 Clash Verge Rev 是完全免费开源的社区项目，开发者通常未向苹果缴纳每年昂贵的企业开发者证书年费进行代码公证（Notarization）。当首次打开应用时，macOS 门禁系统会触发安全防御，弹出全屏黄色警示弹窗，阻断应用程序的运行。

解决该问题无需关闭全系统 SIP（系统完整性保护），只需在 macOS 终端中清除该应用的“下载隔离扩展属性”（Quarantine Attribute）：

1. 使用快捷键 Command + 空格 唤出聚焦搜索（Spotlight），输入 Terminal 并回车打开“终端”；
2. 在终端窗口中键入以下指令并按下回车：

1
# 强制移除 Clash Verge 的 macOS Gatekeeper 隔离扩展属性
2
sudo xattr -cr /Applications/Clash Verge.app

3. 终端会提示输入当前 Mac 用户的开机登录密码（输入密码时屏幕不会显示任何字符，直接盲打完毕后按回车确认）；
4. 命令执行完毕后没有任何报错输出即代表执行成功。此时重新在“启动台”中点击打开 Clash Verge Rev，软件即可瞬间顺畅启动，再无任何安全拦截阻碍。

一 远端订阅的导入与初始化#

1. 启动 Clash Verge Rev，在左侧导航栏点击进入“订阅”（Profiles）面板；
2. 在界面右上角点击“新建”（New）按钮，弹出配置添加对话框：
   • 类型（Type）：保持默认的“Remote”（远端网络订阅）；
   • 名称（Name）：填写具有辨识度的标签，例如“主力机场-专线”；
   • 订阅地址（URL）：将从机场后台复制的 Clash 原生订阅链接粘贴至输入框中；
   • 更新间隔（Interval）：推荐设置为 720 分钟（12 小时）或 1440 分钟（24 小时），避免高频重复拉取触发机场 API 的防刷流控；
3. 点击“保存”（Save），客户端内置网络下载模块会向机场服务器发起握手请求，数秒内完成配置下载并生成卡片；
4. 鼠标单击新生成的配置卡片，卡片边框高亮变色，即代表该配置已被内核正式挂载。

二 节点延迟测速与策略组交互#

在左侧导航栏点击“代理”（Proxies）面板：

1. 点击右上方的“闪电”或“时钟”图标，内核会并发向全球测速目标发起轻量探测；
2. 绿色延迟（低于 200ms）：代表香港、日本、新加坡等近距离低延迟节点或优质专线（IPLC/IEPL），适合即时视频会议与网游加速；
3. 黄色延迟（200ms 至 600ms）：通常为美西、欧洲等长途大带宽节点，适合流媒体 4K 追剧与大文件下载；
4. 红色或超时（Timeout）：代表该节点当前离线或遭遇网络阻断，内核在选择自动策略时会自动规避这些失效节点。

一 规则模式（Rule，日常主力黄金推荐）#

在规则模式下，Mihomo 内核会严格比对每一笔网络连接的目标域名与 IP：

1. 国内主流应用、各大银行、政企系统以及被明确收录在 geosite:cn 与 geoip:cn 规则库中的国内流量，一律走 DIRECT 直连物理网卡，保障国内网络极速响应且完全不消耗任何代理流量；
2. 所有海外知名站点、学术研究平台、流媒体及未匹配规则的海外流量，自动分配给所选的出口代理节点；
3. 实现了“国内秒开、国外加速”的无感漫游体验。

二 全局模式（Global，跨境排障专用）#

在全局模式下，内核完全忽略分流规则，将除局域网私有 IP 以外的所有网络连接，无论访问国内还是海外，全部强制导入用户当前选定的代理节点。

• 适用场景：需要彻底伪装对外公网 IP 地址的跨境业务、海外特定锁区系统的访问；
• 副作用：访问国内微信、B站、淘宝等应用时同样绕道海外节点，不仅加载缓慢，还会白白消耗昂贵的机场专线流量。

三 直连模式（Direct，网络基准对照）#

所有网络数据包均不走任何代理节点，原封不动地通过物理网卡发出。通常用于在怀疑代理出现故障时，快速比对本地真实物理宽带的连通性与网络延迟。

一 终端工具“不走代理”的底层技术成因#

这是由于 macOS 的系统代理（System Proxy）机制本质上是通过修改系统设置，向系统声明 HTTP、HTTPS 与 SOCKS5 代理端口。然而：

1. 终端中的绝大多数命令行工具（如 curl、git、ssh）默认出于安全性考虑，完全忽略操作系统的全局代理设置；
2. 传统解决方案是每次打开终端都必须手工执行 export https_proxy=http://127.0.0.1:7897，一旦开启新终端窗口就会遗忘，使用体验极度割裂。

二 TUN 模式的降维打击#

开启 TUN 模式后，Clash Verge Rev 依托特权辅助工具在 macOS 内核中虚拟出一个专用的 utun 网络适配器，将整台 Mac 的所有出站数据包在第三层网络层强制接管：

1. 免除一切环境变量配置：终端、命令行编译器、开发工具开箱即用享受极致代理加速；
2. 全协议全应用透明捕获：网游的原生 UDP 通信、VoIP 音视频流等非 HTTP 流量，同样被虚拟网卡完整捕获并智能分流。

三 在 Mac 上规范化开启 TUN 模式#

1. 打开 Clash Verge Rev 的“设置”（Settings）面板；
2. 找到“服务模式”（Service Mode），确认右侧状态已点亮绿色指示灯（若未安装，点击管理齿轮输入 Mac 开机密码完成安装）；
3. 进入“TUN 模式”高级设置，协议栈（Stack）强烈推荐选择 System 或 Mixed，享受 macOS 原生内核的高效零拷贝吞吐；
4. 返回主界面，将“TUN 模式”滑块开关拨向开启状态；
5. 此时打开终端，无需配置任何 export 变量，直接执行 curl -I https://www.google.com，即可看到秒级返回的 HTTP 200 响应。

一 使用 networksetup 查看当前物理网卡代理配置#

macOS 通过 networksetup 管理系统的网络接口设置。在终端中查询主 Wi-Fi 网卡的 HTTP 代理状态：

1
# 查询当前 Wi-Fi 网卡是否被启用了系统代理
2
networksetup -getwebproxy "Wi-Fi"
3
networksetup -getsocksfirewallproxy "Wi-Fi"

若返回结果中 Enabled: Yes 且 Port: 7897，证明系统代理已被客户端成功挂载生效。

二 检查 macOS 系统中活动的 utun 虚拟网卡接口#

通过 ifconfig 命令核查 TUN 模式是否成功在内核中创建了虚拟网卡：

1
# 检索当前活动的所有 utun 虚拟隧道接口及 IP 分配
2
ifconfig | grep -A 4 "^utun"

若返回的列表中出现形如 utun3 或 utun4 且绑定了 inet 198.18.0.1 网段的接口，表明 TUN 虚拟网卡已在内核中稳固常驻。

一 Homebrew 极速安装与更新痛点彻底根治#

在终端运行 brew update 或 brew install 时，Homebrew 会同时从 GitHub 下载 Ruby 脚本并从海外 CDN 拉取 Bottles 预编译二进制包。在传统系统代理模式下，终端直接直连，导致拉取速度经常暴跌至每秒数 KB 甚至频繁断连。

• 开启 TUN 模式后：由于虚拟网卡在网络第三层直接拦截了终端发出的所有 TCP 连接，无论你使用系统自带的 zsh 还是 fish，无需在 Shell 配置文件中编写任何繁琐的临时代理变量，Homebrew 的下载速度将瞬间拉满本地光纤带宽，数十秒内即可完成大型开发套件的构建部署。

二 Git 命令行与 SSH 密钥克隆全量加速#

很多开发者习惯使用 git clone git@github.com:... 的 SSH 方式拉取代码。然而标准 HTTP 系统代理完全无法代理基于 22 端口的 SSH 协议，导致代码拉取时常遭遇卡死。 在 Clash Verge Rev 中开启 TUN 模式后，SSH 发起的数据包同样被作为普通 L3 IP 报文完美接管，并根据分流规则中的 DOMAIN-SUFFIX,github.com 定向导入高速专线节点，彻底终结了 Git 克隆卡死的历史。

一 iCloud 私有转送与 Fake-IP 模式的逻辑互斥#

iCloud 私有转送是苹果为付费 iCloud+ 订阅用户提供的一套双跳匿名代理机制，主要保护 Safari 浏览器的网络轨迹。

1. 冲突根源：私有转送在系统底层注册了高优先级的网络传输拦截器，强制将 Safari 的所有 DNS 查询与加密流量封装进苹果自建的 QUIC 隧道中；
2. 引发的异常：当 Clash Verge Rev 开启 Fake-IP 模式时，客户端期望由 Mihomo 拦截 DNS 并分配 198.18.0.x 虚拟 IP。而苹果的私有转送会抢先截流，导致 Safari 无法获取客户端返回的 Fake-IP，表现为 Chrome 和终端均可翻墙，唯独 Safari 提示“无法连接至互联网”；
3. 治理动作：打开 Mac 的“系统设置” -> 点击顶部的 Apple ID 账户 -> 进入“iCloud” -> 找到“私有转送”（Private Relay），将其切换为“关闭”状态，将网络掌控权彻底交回给 Clash Verge Rev。

二 彻底消除 WebRTC 真实 IP 泄漏#

WebRTC 协议常用于网页端视频通话与音视频会议（如 Google Meet、Zoom 网页版）。然而它有一项底层特性：能够穿透代理直接向 STUN 服务器探测本地物理网卡的真实公网 IP。

• 加固配置：在 Clash Verge Rev 的 Merge 扩展中，开启 strict-route: true 并确保勾选了“严格路由”，使得所有 UDP 探测数据包必须无条件经过 utun 虚拟网卡出境，确保对外暴露的永远是远端代理节点的出口 IP。

一 编写基于 macOS 进程名的分流规则#

Mihomo 内核原生支持通过 macOS 的 BSD 内核进程名进行精准路由。在 Merge 扩展中，可以声明如下规则：

1
# 针对 macOS 进程的精细化分流策略
2
rules:
3
  - 'PROCESS-NAME,Telegram,⚡ 香港极速专线'
4
  - 'PROCESS-NAME,Slack,⚡ 香港极速专线'
5
  - 'PROCESS-NAME,zoom.us,⚡ 香港极速专线'
6
  - 'PROCESS-NAME,Spotify,🇺🇸 美国长途通道'
7
  - 'PROCESS-NAME,Figma,⚡ 香港极速专线'
8
  - 'PROCESS-NAME,WeChat,DIRECT'
9
  - 'PROCESS-NAME,DingTalk,DIRECT'

二 进程分流对系统开销的极致优化#

传统的域名规则匹配需要等待应用发起完整的 DNS 解析请求并比对域名后缀。而基于 PROCESS-NAME 的底层拦截机制，直接在操作系统分配套接字时即可完成策略裁决：

1. 跳过冗余域名检索：特定大型办公软件发出的所有复杂子域名请求，均在首帧直接被赋予指定的出口策略组，大幅降低了内核路由树的检索开销；
2. 免除域名漂移困扰：很多海外云服务拥有数以千计的动态 CDN 边缘节点，仅靠域名白名单容易发生漏判；绑定进程名称则能实现百分之百的绝对接管与分流。

一 科学配置开机登录项（Login Items）#

1. 打开 Mac 的“系统设置” -> “通用” -> “登录项与扩展”；
2. 在“在登录时打开”模块中，点击“+”号将 Clash Verge 添加进列表，并勾选“隐藏”；
3. 在“允许在后台”列表中，确认 com.clash-verge.helper 特权辅助工具的开关处于开启状态；
4. 这样 Mac 开机登录后，客户端会在后台静默完成特权提权与核心启动，无需手动点击图标即可瞬间出网。

二 阻止后台频繁自旋与降频保护#

M 系列芯片采用了由大核（性能核心）与小核（能效核心）构成的异构计算架构：

1. 优先调度能效核心：原生 ARM64 编译的 Clash Verge Rev 会被 macOS 调度器自动分配给低功耗能效核心执行，日常待机与小流量通信时的整机能耗低于 0.2W，对电池续航的影响微乎其微；
2. 合理设定健康检查周期：在策略组中，切勿将测速间隔设置低于 60 秒。推荐将测速周期保持在 180 秒至 300 秒之间，避免因为高频并发发包导致芯片持续无法进入深度休眠状态（C-State）。

三 应对企业 EDR 管控与 macOS 系统完整性保护兼容#

在部分企业统一部署的 Mac 办公电脑中，可能安装了类似 Jamf、CrowdStrike 或各类移动设备管理（MDM）企业配置文件。

1. 防止辅助工具被拦截：如果企业安全软件拦截了 com.clash-verge.helper 的守护行为，向 IT 管理员申请将该可执行文件添加进免查杀信任名单；
2. 免除 SIP 限制的合规运行：Clash Verge Rev 的特权辅助工具完全遵循苹果标准的 SMJobBless 规范，无需用户关闭 macOS 的 SIP（System Integrity Protection）系统完整性保护，即可合规地完成虚拟网卡驱动的动态挂载，确保企业合规审计与网络加速的完美平衡。

案例一 首次打开提示“Clash Verge 已损坏”且无法打开#

故障现场：某设计师新购入了一台 MacBook Pro（M3 Max 芯片），从官方仓库下载了 aarch64.dmg 并完成安装。在访达中双击打开图标时，系统弹出警告对话框“‘Clash Verge’已损坏，打不开。您应该将它移到废纸篓”。
根本原因：macOS 的安全防护体系对从网络浏览器直接下载的未签名二进制应用，自动被打上了 com.apple.quarantine 安全隔离扩展属性。由于未经过苹果服务器公证，系统出于防范恶意软件的考虑直接阻断了应用的加载。
处置流程：

1. 打开“终端”应用；
2. 输入提权指令：sudo xattr -cr /Applications/Clash Verge.app 并回车；
3. 输入开机登录密码并确认；
4. 重新点击应用图标，软件瞬间正常启动，主界面顺利呈现。

案例二 开启 TUN 模式时提示“Install Service Failed”#

故障现场：用户尝试开启 TUN 模式，点击服务模式管理安装时，客户端转圈数秒后报错提示“Install Service Failed”，无法激活绿色常驻指示灯。
根本原因：该台 Mac 属于企业 IT 部门统一部署的管控电脑，系统目录下的 /Library/PrivilegedHelperTools 文件夹权限被组策略限制，普通进程无法在其中释放特权辅助二进制程序。
处置流程：

1. 打开终端，检查该目录的系统权限：ls -ld /Library/PrivilegedHelperTools；
2. 修复该目录的拥有者权限：sudo chown root:wheel /Library/PrivilegedHelperTools；
3. 确保目录具备正常的写入权限：sudo chmod 755 /Library/PrivilegedHelperTools；
4. 返回 Clash Verge Rev 重新点击安装服务，系统弹出密码输入窗口，输入管理员密码后特权服务成功注册，TUN 模式顺利开启。

案例三 退出软件后 Mac 无法上网且提示代理服务器无响应#

故障现场：用户在合上电脑前通过快捷键 Command + Q 强制退出了 Clash Verge Rev。再次打开电脑后，虽然 Wi-Fi 显示已连接，但 Safari 和 Chrome 访问任何网页均提示“无法连接到代理服务器”。
根本原因：强制退出主程序时，客户端未来得及向系统发送注销系统代理的指令，导致 macOS 网络偏好设置中的 HTTP 与 SOCKS 代理依然指向了 127.0.0.1:7897，而此时本地端口已无进程监听。
处置流程：

1. 最简单的修复方式是重新启动 Clash Verge Rev，让本地代理端口恢复监听；
2. 若不想打开软件，打开“系统设置” -> “网络” -> 点击当前连接的“Wi-Fi”后面的“详细信息”；
3. 选择“代理”选项卡，将右侧已经开启的“网页代理（HTTP）”、“安全网页代理（HTTPS）”与“SOCKS 代理”全部关闭并点击完成；
4. 物理网络瞬间恢复直连通信。

案例四 网络位置从公司 Wi-Fi 切换到手机热点后代理断连#

故障现场：某程序员在公司办公正常，下班后在高铁上使用 iPhone 开启个人热点供 Mac 上网。连入热点后，Clash Verge Rev 显示节点连接超时，网页全部无法打开。
根本原因：macOS 会为不同的网络连接（例如公司有线网、办公室 Wi-Fi、iPhone 个人热点）维护独立的“网络服务接口”。客户端在启动时可能仅将代理设置绑定到了之前的“Wi-Fi”接口，当网络切换至“iPhone USB”或虚拟热点适配器时，系统路由表未能动态对齐。
处置流程：

1. 在 Clash Verge Rev 的通用设置中，开启“自动检测物理网络接口”（Auto Detect Interface）；
2. 在托盘区右键点击客户端图标，选择“重启核心”（Restart Core）；
3. 内核重新扫描当前活动的网络接口并重写默认网关，热点连接在 2 秒内恢复极速代理出网。

Q1 M1/M2/M3/M4 芯片的 Mac 应该下载哪个安装包#

A1：务必下载文件名中带有 aarch64 或 arm64 的 DMG 安装包。带有 x64 的安装包是专为旧款 Intel 处理器准备的。下载原生 ARM 架构版本能获得最佳的系统级性能与超低的电量消耗。

Q2 为什么每次打开软件都要提示输入系统管理员密码#

A2：正常情况下无需每次输入密码。如果每次开启都需要输入密码，说明你没有成功安装“特权辅助工具”（Service Mode）。进入设置面板中的“服务模式”，点击安装并正确输入一次开机密码，之后无论切换系统代理还是开启 TUN 模式，客户端均可静默提权运行，无需重复输入密码。

Q3 TUN 模式和系统代理可以同时开启吗，推荐哪种组合#

A3：可以同时开启，但长期使用时推荐单独开启 TUN 模式并关闭系统代理。TUN 模式已经在网络三层接管了整台 Mac 的所有 TCP、UDP 流量，包括浏览器和终端；关闭系统代理开关能够让系统底层的网络设置保持纯净的直连状态，即使客户端突发崩溃，整台电脑也不会遭遇断网瘫痪。

Q4 为什么开着代理时，AirDrop 隔空投送和局域网共享打印机搜不到#

A4：这是因为分流规则中未对局域网本地私有流量进行豁免。打开配置文件的 Merge 扩展或本地规则，确保在规则列表的最前端加入了 IP-CIDR,192.168.0.0/16,DIRECT,no-resolve、IP-CIDR,10.0.0.0/8,DIRECT,no-resolve 以及针对苹果 Bonjour 局域网广播协议的直连放行规则。

Q5 为什么在开启客户端后，活动监视器中显示 CPU 占用很高#

A5：首先进入设置检查 TUN 模式的协议栈设置。如果协议栈被设置为了 gvisor，在用户态处理大流量时会消耗较为密集的 CPU 计算资源。将其切换为 macOS 原生内核支撑的 System 协议栈，CPU 占用率通常会瞬间下降至 3% 以下。同时检查是否开启了过于频繁（如低于 30 秒）的自动节点测速。

Q6 卸载 Clash Verge Rev 时如何彻底清除系统残留#

A6：在完全退出软件后，首先在设置中点击“卸载特权服务”（Uninstall Service）；接着将应用程序中的 Clash Verge.app 移入废纸篓；最后在访达中按下快捷键 Command + Shift + G，前往 ~/Library/Application Support/clash-verge 目录并将其删除，即可彻底清除所有的本地缓存与配置数据。

Q7 提示 Error connect ECONNREFUSED 127.0.0.1 端口 9097 怎么排查#

A7：9097 端口是客户端前端与底层 Mihomo 内核进行 RESTful 控制通信的接口。抛出该错误表明底层内核未能成功启动或启动后瞬间崩溃。常见原因包括：最近导入的配置文件存在 YAML 缩进错误、端口被其他冲突应用占用，或核心二进制文件损坏。可尝试在订阅管理中切换回健康的备用配置，或在内核管理中点击重新下载核心。

Q8 开启代理后打不开国内银行网银或特定税务网站怎么处理#

A8：国内部分政企与银行系统会在前端安全控件中检测客户端是否存在活动的虚拟网络接口（utun）。遇到此类业务办理时，最简单有效的方法是暂时在客户端中关闭 TUN 模式并切换为“直连模式”（Direct），待网银转账或申报业务完成后，再重新切换回“规则模式”。

Q9 如何让特定应用程序（例如 Telegram）单独走固定低延迟节点#

A9：在 Clash Verge Rev 的扩展配置中，可以通过 Mihomo 独有的进程级规则实现。在 rules 中追加 PROCESS-NAME,Telegram,香港专线组，内核在识别到由 Telegram 进程发起的网络会话时，会自动将其绑定至指定的低延迟专线出口，实现单软件的定向调度。

Q10 升级 macOS 新系统（如 macOS Sequoia）后代理异常断开怎么办#

A10：苹果每次发布跨版本 macOS 更新时，底层的系统网络安全策略往往会进行加固重构。在升级大版本系统后，建议先在 Clash Verge Rev 设置中将旧版特权服务卸载并重启 Mac，随后重新打开客户端点击重新安装服务模式。这能确保特权服务二进制与新版操作系统的权限模型完全同步。