MacでVPNを使う方法｜macOSのインストールからサブスクリプション設定まで

MacでVPNを使う際は、アプリをインストールするだけでなく、サブスクリプションや権限、通信の経路を適切に設定することが大切です。macOSの初期設定からサブスクリプションの取り込みまで、「クライアントの入手」「必要な権限の許可」「設定の取り込み」「接続確認」の順に進めましょう。まずブラウザーで確認し、その後に業務アプリを試すと、問題の切り分けがしやすくなります。

インストール前に確認すること：クライアント、サブスクリプション、システム要件

クライアントは設定を読み込んで接続を確立するアプリです。サブスクリプションリンクは接続先の設定を取得・更新するためのもので、サブスクリプションサービスが利用可能な接続先を提供します。それぞれ役割が異なります。クライアントをインストールしても接続先が使えるとは限らず、サブスクリプションリンクをコピーしただけでは通信が国際回線を経由するわけではありません。

まずMacの「このMacについて」で、チップの種類とmacOSのバージョンを確認します。ダウンロードページでAppleシリコン、Intel、ユニバーサル版に分かれている場合は、該当するインストーラーを選び、最低システム要件も確認してください。対応するOSやプロトコルはクライアントごとに異なるため、アプリ名だけで互換性を判断しないようにしましょう。

VPNKNをご利用の場合は、クライアントのダウンロード案内で手順を確認してから、パネルでサブスクリプションを取得できます。メールアドレスは不要で、ユーザー名とパスワードで利用を開始できます。サブスクリプションリンクには通常、アクセス用の認証情報が含まれます。パスワードと同じように安全に保管し、公開メモや共有ドキュメント、全体が写ったスクリーンショットには載せないでください。

クライアントをインストールする：システムのセキュリティ確認を維持する

ディスクイメージをダウンロードした場合は、画面の案内に沿ってアプリを「アプリケーション」フォルダーにドラッグし、そのフォルダーから起動します。インストーラーの場合は、信頼できる配布元の手順に従ってください。ダウンロードフォルダーやマウントしたディスクイメージから常時起動すると、アップデートや保存場所、権限の設定に問題が生じることがあります。

初回起動時に、macOSからインターネット経由で入手したアプリだと通知されることがあります。アプリ名と入手元を確認してから許可してください。開発元を検証できないと表示された場合は、まず正しいファイルをダウンロードしたか、配布元が信頼できるかを確認しましょう。入手元を確認できた場合に限り、「システム設定」の「プライバシーとセキュリティ」にある、システムが案内する起動許可の操作を検討してください。

「アプリが壊れている」という警告と「開発元を検証できない」という表示は別の問題です。破損の警告が出た場合は、インストーラーを再入手し、リリース情報を確認してください。配布元がチェックサムを公開している場合は照合できます。出所が不明なターミナルコマンドをコピーしたり、隔離属性を一括削除したり、システム全体のセキュリティ確認を無効にしたりすることはおすすめしません。

会社管理のMacでは、ネットワーク拡張機能やプロキシ設定、アプリのインストールが制限されている場合があります。管理ポリシーに関する通知が出たら、許可されている接続方法を管理者に確認してください。管理用の設定プロファイルを削除して解決しようとしないでください。

権限を許可する：システムプロキシとトンネルモードを区別する

クライアントによっては、VPN構成の追加やネットワーク拡張機能の有効化、ネットワーク設定を調整する補助プログラムのインストールを求められます。表示される要求はアプリの実装によって異なり、すべてのクライアントで同じ通知が出るわけではありません。インストールしたアプリからの要求であることを確認し、正常な動作に必要な権限だけを許可してください。

システムプロキシは通常、macOSのプロキシ設定に従うアプリにプロキシ接続を提供します。ブラウザーでは使えることが多い一方、一部の業務アプリやターミナルのプログラム、独自のネットワーク処理を行うアプリは設定を無視する場合があります。そのため、ブラウザーで目的のサイトにアクセスできても、すべてのアプリが同じ接続先を経由しているとは限りません。

トンネルモードは通常、仮想ネットワークインターフェースとルーティングを使い、より多くの通信をクライアント経由にします。TUNや拡張モードと呼ばれることがあります。追加の権限が必要な場合があり、通信の振り分けや除外設定、ルーティング設定の影響も受けます。「VPN接続済み」というシステム表示だけでは、すべての通信がプロキシ経由になっているとは確認できません。

初めて設定する場合は、まずクライアントのドキュメントに記載された標準モードを使いましょう。システムプロキシやルーティングを変更するツールを複数同時に起動しないでください。社内ネットワークに接続する必要がある場合は、社内ドメインやネットワーク帯を直接接続にする必要があるか確認します。すべての通信を同じ出口に強制すると、社内リソースにアクセスできなくなることがあります。

• ✅ 権限の確認画面で、アプリ名と入手元を確認する。
• ✅ まず通信の転送方法を1つに絞り、使えることを確認してから調整する。
• ✅ システムからアプリやMacの再起動を求められた場合は、案内に従ってからテストする。
• ❌ 補助機能、ブラウザー拡張機能、ネットワーク接続の権限を同じものとして扱わない。

サブスクリプションを取り込む：形式を確認して接続先を更新する

クライアントの「サブスクリプション」「設定」「プロファイル」などの画面を開き、リンクからの取り込みを選択します。パネルに表示された完全なURLを貼り付け、見分けやすい名前を付けてください。メニュー名はクライアントによって異なります。クライアント別の取り込み方法がパネルに用意されている場合は、該当する方法を使いましょう。

1. 正しいリンクをコピーする。パネルのログインページのURLをコピーしたり、クエリパラメーターを省いたりしないでください。貼り付けた後、先頭や末尾に空白や改行が混ざっていないか確認します。
2. ダウンロードまたは更新を実行する。クライアントが設定を読み込むまで待ち、空の設定名だけでなく、接続先の一覧が表示されたことを確認します。
3. 取り込んだ設定を有効にする。複数の設定を保存できるクライアントでは、取り込み後に現在使用する設定へ切り替える必要があります。
4. 接続先を選んで通信の転送を有効にする。まず目的の地域の接続先を選び、システムプロキシを有効にするか、必要に応じてトンネルモードを使い、最後に目的のサイトへ接続できるか試します。

設定の解析に失敗した場合は、サブスクリプションの形式とクライアントの対応状況を確認してください。Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUICはそれぞれ異なるプロキシプロトコル、またはプロトコル体系です。対応状況はクライアントのバージョンやコアにも左右されます。プロトコルに対応していても、すべてのサブスクリプション形式を読み込めるとは限りません。

接続先の一覧と通信ルールも別のものです。接続先だけを含むサブスクリプションもあれば、ルールやDNS設定まで含む完全な設定もあります。サブスクリプションから生成された設定を手動で変更する場合は、更新の仕組みを先に確認してください。次回の更新で変更内容が上書きされることがあります。長期間維持したいルールは、クライアントが対応するローカル上書き機能や独立したルール設定に保存しましょう。

形式を変換するために、個人用のサブスクリプションURLを出所不明のオンラインツールへ渡さないでください。変換サービスがURLに含まれる認証情報を取得する可能性があります。リンクの漏えいが疑われる場合は、パネルで認証情報をリセットできるか確認し、新しいリンクを取り込み直してください。

接続を確認する：Web、出口、DNSをチェック

実際の利用環境に合わせて接続を確認しましょう。まず、未接続の状態で通常のネットワークが使えることを確認し、その後クライアントを有効にして目的のサイトへアクセスします。メニューバーのアイコンや接続先のテストボタン、「接続成功」という表示だけでは、業務アプリの通信が想定どおり転送されているとは確認できません。

まずブラウザーで、その後に実際のアプリで確認

信頼できるIPアドレス確認ページを使い、接続前後のグローバルIPアドレスが選択した接続先の想定と合っているか比較します。IPアドレスの位置情報データベースには誤差があり、出口の地域だけでは個々の通信経路を確認できません。続けて、実際に使う業務アプリや同期ツール、開発ツールを開き、ログインやデータの読み込みを確認しましょう。

ブラウザーは使えるのにターミナルで失敗する場合は、ターミナルのツールがシステムプロキシに従うか、プロキシ環境変数を個別に設定する必要があるかを確認します。ネット上で見つけたローカルポートの設定をそのまま使わないでください。プロキシの種類や待ち受けアドレス、ポートは、現在のクライアントの設定に合わせます。トンネルモードを有効にした後も、目的のプログラムで改めて確認してください。

DNSは通信の振り分け先に合わせて確認する

DNSはドメイン名をIPアドレスに変換します。ブラウザーの暗号化DNS、システムのリゾルバー、クライアントのDNS機能では、異なる経路が使われることがあります。信頼できるDNS確認ページは状況を把握する参考になりますが、結果が示すのはその時点のテストだけです。すべてのアプリの動作確認に代わるものではありません。

ルールで国内サイトを直接接続するよう明示されている場合、国内のDNSサーバーによる名前解決が確認されても、必ずしも設定ミスではありません。確認すべきなのは、プロキシ経由にするはずのドメインの名前解決要求が、意図しないネットワークから送信されていないかです。DNSを変更する際はクライアントのドキュメントを参照し、社内ドメインに必要な名前解決経路も維持してください。

よくあるトラブル：発生箇所に応じて確認する

サブスクリプションを更新できないが、通常のネットワークは使える

まずシステムの日付と時刻が正しいか確認し、次にリンクの有効性、設定形式の適合性、サービスパネル上のサブスクリプションの状態を確認します。クライアントで更新時に使用するネットワーク経路を指定できる場合は、その設定も確認してください。プロキシ経由の経路が使えなくなると、設定の更新にも失敗することがあります。何度も再インストールするより、エラーの文面を記録しておくと役立ちます。

接続すると、どのサイトも開けない

まず通信の転送を無効にし、通常のネットワークが復旧するか確認します。その後、現在の接続先やDNS設定、ほかのネットワークツールとの競合を調べてください。アプリを終了してもアクセスできない場合は、現在利用中のネットワークサービスのプロキシ設定に、このMacを参照する項目が残っていないか確認します。変更前に元の設定を記録し、特に会社から配布されたプロキシ設定を上書きしないよう注意してください。

スリープ復帰後に切断される、または権限を何度も求められる

スリープからの復帰時にはネットワークが再接続されるため、クライアントの再接続が必要になることがあります。まずネットワークの認証が完了していることを確認してから、接続し直してください。権限を何度も求められる場合は、アプリが「アプリケーション」フォルダーにあり、古いコピーを同時に起動していないか確認します。ネットワーク拡張機能や補助プログラムのエラーは、許可を繰り返しクリックするのではなく、クライアントのログとシステムの通知を確認して対処しましょう。

ホテルのネットワークに接続できない

ホテルのWi-Fiでは、認証ページを開いて手続きを済ませる必要がある場合があります。一時的にプロキシとトンネルを無効にしてネットワーク認証を完了し、その後クライアントを有効にしてください。通常のネットワークが使えるのに特定の接続方法だけ失敗する場合は、クライアントのログとサービスの案内を確認しましょう。接続先の名前だけで原因を判断しないでください。

IEPL専用線、中継、直接接続は回線の構成方法を表すもので、macOSの権限の種類でもクライアントのプロトコルでもありません。専用線と表示された接続先に変更しても、アプリの権限、誤ったサブスクリプション、ローカルのDNS設定の問題は自動的に解決しません。問題が続く場合は、パネルのサポートチケットから、システムとクライアントのバージョン、エラー表示、試した対処をお知らせください。ログを送る前にサブスクリプションの認証情報を必ず伏せてください。

日常の使い方：設定を更新し、元に戻せる状態を保つ

初回接続が正常にできたら、必要に応じて通信ルールを調整します。普段使う国内サイト、社内ネットワーク、国際サービスで異なる経路を設定できますが、変更は一度に1種類にとどめ、関連するアプリで動作を確認してください。クライアントの更新とサブスクリプションの更新も別のものです。前者はアプリの機能を更新し、後者はサービスが提供する設定を更新します。

インストールが終わっても、すぐに大きなプランへ変更する必要はありません。VPNKNの月額プランは利用開始日を基準に毎月更新され、追加データパックは使い切るまで有効期限がありません。まず実際の利用量を確認してから、プランページで課金方法を比較しましょう。利用できるデバイスの台数に制限がないことは、データ通信量に上限がないという意味ではありません。

最後に、現在使っているクライアント、設定、通信の転送モード、直接接続が必要なリソース、通常のネットワークへ戻す方法を簡潔に記録しておきましょう。次にネットワークを変更したりシステムを更新したりするときも、同じ順序で確認すれば、接続先やDNS、ルールを同時に変更するより、原因を特定しやすくなります。