macOS 自带 VPN 与专用 VPN 应用有何不同

在较新的 Mac 上打开“系统设置”，你会看到一个叫 VPN 的栏目。很自然的想法是：Mac 已经有 VPN 了，没必要再下载应用。真相要微妙一些。macOS 内置的是一个 VPN 客户端，也就是填写某项服务信息的地方，而不是服务本身。它够不够用，取决于你想做什么，以及你愿意自己输入多少内容。

本文用实用的角度对比 Mac 自带 VPN 与专用 VPN 应用：各自要准备什么才能用起来，各自给你什么、又拿走什么，以及什么样的人通常更适合哪一种。如果你只是想看应用的安装步骤，macOS 设置教程里有。

Mac 上的“自带 VPN”指的是什么

VPN 有两半。一半是服务：位于互联网上某处的服务器、账号系统，以及运营它们的人。另一半是客户端：你设备上的软件，负责与这些服务器建立加密隧道，并把流量送进去。Cloudflare 的“什么是 VPN”把这层关系讲得很清楚。

macOS 只附带后一半。在“系统设置”的 VPN 栏目里，你可以添加 VPN 配置并选择连接类型。较新的版本提供 IKEv2、L2TP over IPSec 和 Cisco IPSec。它们都是公开记录的标准做法，IKEv2 在 RFC 7296 中定义，并依赖 RFC 4301 里的 IPsec 架构。客户端懂得这些“语言”，但在你提供详细信息之前，它并不知道该连到哪里。

这解释了一个常见的意外：人们点了“添加 VPN 配置”，看到要填服务器地址、远程 ID 和本地 ID 的空白栏，却不知道该写什么。这些信息必须来自你的公司、学校或 VPN 服务商。如果服务商没有为自带客户端公布这些信息，实际上就是在告诉你去用他们自己的应用。

使用自带客户端需要准备什么

如果要走手动路线，开始之前需要一份简短的信息清单。支持这种方式的服务商通常会全部公布。

信息	用途
连接类型	从支持的类型中选择，例如 IKEv2
服务器地址	隧道连接的目的地
远程 ID	服务器用来标识自己的名称，常与服务器地址相同
本地 ID	你设备的名称，有时可以不填
认证方式	用户名和密码、共享密钥，或证书
用户名和密码	你在该服务上的账号信息
共享密钥或证书	用来证明服务器是真品的额外材料

任何一项填错，都会表现为含糊的失败，比如连接超时或认证失败，往往要花一些时间才能找出是哪一栏的问题。尽量复制粘贴，并且绝不要接受来自非官方渠道的信息。

一步步测试手动配置

如果你手动创建了配置，请有条理地测试，而不是碰运气。

1. 打开“系统设置”>“VPN”，按服务商指定的连接类型添加配置。
2. 保存后打开开关，观察状态文字。如果“正在连接”一直不结束，通常是服务器地址写错，或网络被拦截。
3. 如果状态变成认证错误，请慢慢重新输入用户名和密码。复制密码时带上末尾空格，是典型的原因。
4. 显示已连接后，打开该配置的详情，检查“通过 VPN 发送所有流量”之类的选项。如果没有开启，可能只有去往 VPN 自身网络的流量会走隧道。
5. 访问一个显示公网 IP 的网站，然后关闭 VPN 再比较。如果地址没变，说明隧道虽然建立了，但你的流量没有进入。
6. 合上盖子，等一分钟再打开，看连接能否自动恢复。许多手工创建的配置，重连不如应用那样顺畅。

把你填写的内容记下来。几周后出问题时，这份记录能省下好几个小时。

自带客户端擅长什么

直接否定它是不公平的。对合适的用户来说，自带客户端很好用。

• 无需安装任何东西。 没有应用要单独下载或更新，也没有额外的后台软件。
• 属于系统的一部分。 苹果随 macOS 一起更新它，并且与菜单栏状态项和网络设置紧密结合。
• 组织可以统一管理。 公司和学校可以通过设备管理，把配置推送给大量 Mac，员工不用输入任何东西。
• 使用开放标准。 如果服务商公布了设置，它们应该能用于任何支持同类连接方式的设备，而不仅仅是 Mac。
• 有流量走向的选项。 在连接选项里，你可以选择让所有流量都通过 VPN，也就是人们熟悉的“全部保护”行为。

对于 IT 部门已配置好的公司 VPN，这个客户端通常正是你应当使用的。对于服务商公布了 IKEv2 设置的个人服务，熟悉技术的用户也许更喜欢这条路。

专用应用多了什么

专用应用围绕一项服务构建，替你处理琐碎的部分。典型的优势包括：

• 登录取代设置。 输入用户名和密码，点连接即可，应用本来就知道各种地址。
• 位置列表。 切换位置只需点一下，不必新建配置。
• 隧道之外的功能。 视应用而定，可能有断网保护开关、分应用隧道、自动重连，或选择连接方式的选项。读一读断网保护开关是什么和分应用隧道是什么，判断自己是否需要。各个应用功能不同，不要想当然认为某项功能一定有。
• 更快的支持。 客服通常比起你手工输入的配置更了解他们自己的应用，错误提示也有针对性。
• 跨平台一致。 同一个应用和同一组登录信息，可以用在手机、笔记本和 PC 上，帮家人设置时尤其方便。

XPASS 的客户使用免费的 VPNclient 应用，并用 My Pass 页面上的 VPN 用户名和密码登录。该页面还显示适用于你套餐的设置说明与连接方式。如果不确定是否能手动设置，请到那里查看。macOS 安装包可以在下载页面找到。

逐项对比

问题	自带客户端	专用应用
需要安装吗	不需要	需要
要输入什么	服务器地址、ID、认证信息	用户名和密码
谁提供连接信息	服务商或 IT 部门	应用已内置
选择位置	修改配置	从列表中选择
附加功能（断网保护、分应用隧道）	基础客户端不包含	取决于应用
组织能否统一管理	很容易	通常不行
是否只服务一项服务	可添加多个配置	通常绑定一项服务
最适合	工作 VPN 与技术用户	日常个人使用

这些行已经把故事讲完了：自带客户端是一个灵活的插座，而应用是一台完整的电器。

苹果的其他隐私功能不是一回事

苹果还在 iCloud 和 Safari 中提供一些隐私功能，例如覆盖部分浏览流量的中继。它们有用，但范围不同。整机 VPN 会把许多应用的流量放进同一条加密隧道，而隐私中继是围绕特定类型的流量和特定的信任模型设计的。在假设其中一个能替代另一个之前，请先读隐私中继与完整 VPN 的区别。

该怎么选：四种情形

你的公司给了你 VPN 设置。 完全按 IT 部门的要求使用自带客户端或公司自己的工具。不要在没问过的情况下再装个人 VPN，因为两者可能冲突。

你想要一个用于咖啡馆、酒店和出行的个人 VPN。 应用通常更省事，也更不容易出错：登录、点连接，然后继续做事。只有当服务商公布了设置，才能走自带路线。

你熟悉技术，想要一套设置用在多台设备上。 标准 IKEv2 设置如果可用，可以同时填在 Mac、iPhone 等设备上，但要做好自己排查问题的准备。

你在为家人设置 Mac。 选应用。需要填的栏目越少，出错的机会越少，电话里也更容易讲清登录方式。

不要同时开两个

同时拥有自带配置和应用，并不意味着应该同时连接两者。当两个 VPN 客户端同时试图控制路由和 DNS 时，会出现奇怪的结果：无法上网、网页变慢，或连接不断掉线。一个简单的规则可以避免：

1. 决定哪一个是主要 VPN。
2. 连接之前先断开另一个。
3. 出现怪事时，先全部关闭，再只开一个。
4. 在“系统设置”>“VPN”里删除不再使用的配置。

如果两种都试过后 Mac 仍然经常断线，Mac 排错指南会告诉你如何隔离原因。

局限与注意事项

• 自带客户端无法凭空变出一项服务。 没有服务商提供的信息，它毫无用处。
• 标准类型并不一样强。 一些较旧的类型被认为比新类型弱。如果使用手动设置，请选择服务商推荐的现代类型，而不是凭习惯。VPN 协议是什么用通俗的话解释了差别。
• 不要从论坛复制设置。 错误的服务器地址可能把你的流量送到你不认识的人那里。
• 两种方案都不能让你匿名。 VPN 改变的是谁能看到你的流量，但账号、Cookie 和习惯依然会识别出你。
• 保持应用的默认设置，除非客服建议修改。

总结

Mac 自带的 VPN 是客户端而不是服务：只要你提供全部细节，它就能用标准连接类型连到你已有的 VPN。专用应用用灵活性换来了便利，提供登录、位置列表，视应用而定还有断网保护等附加功能。工作配置，或者服务商公布了设置而你喜欢掌控时，选自带客户端；日常个人使用，选应用；任何时候都不要两个同时开。

如果应用适合你，简单的预付套餐是一个起点，具体方式可以在价格页面了解。