ВПН для macOS: настройка на Mac с Apple Silicon и Intel

Десктопные VLESS-клиенты обычно умеют работать двумя способами. В режиме системного прокси macOS передаёт клиенту трафик только тех программ, которые учитывают настройки прокси, - в основном браузеров. Остальные приложения, включая часть мессенджеров и игр, идут в сеть напрямую.

В режиме VPN, его ещё называют TUN, клиент создаёт виртуальный сетевой интерфейс, и через туннель идёт весь трафик Mac. Если важна конфиденциальность, нужен именно он. Режим прокси пригодится, когда через туннель сознательно нужно пустить один браузер.

Переключатель режимов обычно находится на главном экране клиента или в его настройках подключения. Менять режим лучше при выключенном туннеле: так клиент корректно снимет старые сетевые настройки.

Для режима VPN клиенту нужно системное разрешение. macOS покажет окно с просьбой добавить конфигурацию VPN или сетевое расширение; подтвердите его паролем администратора или Touch ID. Если окно случайно закрыли, разрешение можно выдать позже в Системных настройках, в разделе конфиденциальности и безопасности.

Если клиент работает через системное расширение Apple, подключение появится в Системных настройках в разделе VPN. Оттуда туннель можно включать и выключать, не открывая сам клиент.

На Mac с чипами M1 и новее ставьте сборку клиента для Apple Silicon или универсальную. На Intel-модели нужна сборка для x86_64 или универсальная. Intel-версия запустится и на Apple Silicon через Rosetta 2, но нативная работает быстрее и бережнее к батарее.

Если Rosetta 2 ещё не установлена, macOS сама предложит её поставить при первом запуске Intel-программы.

Тип процессора видно в меню Apple, пункт "Об этом Mac". У Apple Silicon там есть строка "Чип" с названием вроде Apple M1, у Intel-моделей - строка "Процессор".

Откройте любой онлайн-тест утечек DNS при включённом туннеле. Он покажет, чьи DNS-серверы получают ваши запросы. Серверов вашего провайдера в списке быть не должно.

Если провайдер всё-таки виден, скорее всего, клиент работает в режиме системного прокси. Переключите его в режим VPN и повторите проверку.

Отдельно проверьте IPv6. Если провайдер выдаёт IPv6-адрес, а клиент настроен только на IPv4, часть соединений может пойти мимо туннеля. В настройках клиента обычно есть параметр работы с IPv6: включите его поддержку или отключите IPv6 в настройках сети Mac.

В Системных настройках macOS можно создать VPN-подключение и без сторонних программ, но только по протоколам IKEv2, L2TP через IPSec и Cisco IPSec. VLESS система не знает, поэтому ключ Private туда не добавить.

Клиент добавляет поддержку VLESS поверх системы. Встроенный раздел VPN при этом остаётся как есть и может пригодиться для рабочего подключения.

В режиме системного прокси команды в Терминале - curl, git, Homebrew - обычно идут в сеть напрямую: системные настройки прокси они не читают, если не задать им переменные окружения вручную.

В режиме VPN этого делать не нужно. Туннель работает на уровне сетевого интерфейса, и любая программа, с окном или без, отправляет трафик через него.

Стационарный Mac часто не выключают неделями, и включать туннель вручную после каждой перезагрузки неудобно. Добавьте клиент в объекты входа: Системные настройки, раздел "Основные". Тогда он будет запускаться при входе в учётную запись, а если в самом клиенте включено автоподключение, туннель поднимется без вашего участия.

Если Mac подключён к роутеру кабелем, отдельной настройки для Ethernet не нужно: в режиме VPN туннель охватывает любой активный сетевой интерфейс.

Для Mac mini, который работает как домашний сервер или медиацентр, учтите обратную сторону: при включённом туннеле исходящий трафик идёт через сервер Private, и доступ к такому Mac снаружи может перестать работать так, как раньше. Если вы открывали к нему доступ из интернета, проверьте эти сценарии после настройки.

Kill switch нужен на те секунды, когда туннель перестраивается: после пробуждения Mac, при смене сети или переключении сервера. Без него программы в это время выходят в интернет напрямую, с ним - ждут, пока туннель вернётся. Его задача - защищать трафик именно в такие моменты.

Включается он в настройках клиента. На стационарном Mac дома можно обойтись и без него, а на ноутбуке, который подключают к чужим сетям, лучше держать включённым.

Safari и Chrome берут настройки прокси из macOS. У Firefox свои параметры сети, и по умолчанию он тоже использует системные. Если кто-то когда-то задал в Firefox ручной прокси, в режиме системного прокси он пойдёт мимо клиента.

В режиме VPN эта разница исчезает: туннель работает на уровне сетевого интерфейса, и все браузеры идут через него, какие бы настройки прокси в них ни стояли.

Перенесётся ли ключ на новый Mac через Ассистент миграции, зависит от клиента, поэтому после переноса откройте его и проверьте список серверов. Чтобы подключить ещё один Mac, поставьте на него клиент и добавьте тот же ключ: его можно снова скопировать из чата с ботом, например в Telegram Desktop. Ключ работает на пяти устройствах одновременно.

Клиент, скачанный не из App Store, обновляется по-разному: у одних есть встроенная проверка версий, у других новую сборку нужно скачивать самому. После крупного обновления macOS загляните на страницу клиента: свежая версия обычно исправляет совместимость.