macOS 网络扩展权限提示怎么处理：TUN 与增强模式

提示是正常流程，关键是先确认“谁在申请”

在 Mac 上开启 TUN、增强模式或类似的全局接管功能时，系统会要求你批准网络扩展、VPN 配置或特权辅助程序。这些提示是 macOS 对“接管整台电脑网络”这类高权限操作的正常管控，不代表客户端有问题。处理原则只有一条：确认提示中显示的应用名称与开发者，与你从官方渠道安装的客户端一致，再按提示批准；不再使用时，可以在系统设置中逐项撤销。

本文只讲系统权限，不涉及规则写法。规则与分流问题见 规则分流与故障排查；Mac 上客户端的选择见 macOS 机场客户端怎么选，桌面端其他话题从 桌面端客户端专题页 进入。

先分清几个说法

• TUN：通过虚拟网卡在网络层接管流量的方式，跨平台通用的叫法。
• 增强模式：部分 Mac 客户端对全局接管功能的称呼，实质与 TUN 类似，借助系统网络扩展或辅助程序实现。
• 网络扩展：macOS 提供的一套框架，允许应用以受控方式处理网络流量，包括 VPN 类的数据包隧道。
• 特权辅助程序：一些客户端不使用网络扩展，而是安装一个以管理员权限运行的后台程序来创建虚拟网卡、修改路由。

不同客户端采用的实现不同，所以看到的提示也不同。从应用商店安装的客户端通常走网络扩展路线，从发布页下载的跨平台客户端则常见辅助程序路线。

四类常见提示与处理方法

另外，如果你在客户端里开启了允许局域网连接，系统防火墙可能询问是否允许该应用接受传入连接。只在确实需要让其他设备通过这台 Mac 上网时允许。

在系统设置里去哪里找

macOS 不同版本中，相关入口的位置有所调整，常见的位置包括：

• “隐私与安全性”页面下方的安全区域，被阻止的系统扩展通常在这里出现允许按钮；
• “通用”中的“登录项与扩展”，较新的系统在这里集中管理网络扩展与后台项目；
• “网络”或“VPN”页面，列出客户端创建的 VPN 配置。

如果找不到，可以在系统设置顶部的搜索框里输入“扩展”或“VPN”。

不想授权，能不能照常使用

可以，只是覆盖范围会变小。如果你只在浏览器里访问海外网站，完全可以不开增强模式或 TUN，只使用系统代理。系统代理不需要网络扩展，也不需要安装辅助程序，客户端只是在网络设置里写入本地地址。代价是终端工具、部分独立应用以及需要 UDP 的软件不会走代理。等到确实需要覆盖这些程序时，再回来完成授权也不迟。对注重权限最小化的用户，这是更稳妥的起步方式。

批准之后仍然无法启用的情况

扩展显示已允许，但客户端提示未启用

先完全退出客户端再重新打开，必要时重启电脑。部分系统扩展在批准后需要重新加载才能生效。

同时存在多个 VPN 类配置

公司 VPN、其他代理客户端、某些安全软件也会使用网络扩展。多个同类扩展同时启用时，可能互相抢占路由或 DNS，表现为断网或部分网站无法访问。一次只启用一个全局接管类工具，其余的在客户端内关闭。断网问题的完整排查见 开启 TUN 模式后断网。

公司管理的 Mac

由单位统一管理的电脑，可能通过管理配置禁止安装系统扩展或添加 VPN 配置，你会发现允许按钮是灰色的。这种情况下不要尝试绕过，应遵守单位的设备管理规定。

系统大版本更新之后

升级系统后，个别客户端的扩展或辅助程序需要重新授权。如果升级后全局接管失效，先检查客户端是否有对应的更新，再重新走一遍授权。

撤销授权的完整步骤

当你决定停用某个客户端时，只删除应用本身往往会留下扩展、配置和后台程序。建议按以下顺序清理：

1. 在客户端内关闭增强模式或 TUN，退出客户端；
2. 如客户端提供卸载辅助程序或服务的选项，先执行它；
3. 在系统设置的 VPN 页面删除该客户端创建的配置；
4. 在登录项与扩展中关闭其网络扩展和后台项目；
5. 删除应用，重启电脑；
6. 检查网络设置中的代理选项是否已经恢复为关闭。

授权前的安全底线

授予网络扩展或特权辅助程序，就等于允许该应用看到并处理整台电脑的网络流量。批准前请确认安装包来自项目官方发布页、应用商店或机场官网，核验方法见 如何确认客户端下载来源安全。弹窗中的开发者名称与预期不符时，应拒绝并卸载。使用代理工具请遵守所在地法律法规与相关平台的服务条款。