Intel Mac 安装 Clash Verge Rev：系统代理与 TUN 首次配置分步教程

1. 为什么还要单独写一篇 Intel Mac：检索词与安装包歧义从哪里来

过去几年里 Apple 把整个 Mac 产品线逐步搬到了自研M 系列芯片上，但大量2017—2020 年前后出厂、仍在主力的 Intel 机型不会被一夜淘汰：写论文、剪辑、后端开发与普通办公场景里，这颗 x86_64 CPU 依旧常见。对你来说，最直接的差异不是「翻墙原理突然变了」，而是发行页上那一排架构后缀：一旦把仅供 ARM64 使用的 dmg 双击到 Intel 机器上，轻则是无法打开，重则是在论坛里看到别人用 Rosetta 硬跑另一类包，你开始怀疑是不是「自己的 macOS 版本太旧」——其实只是把下载对象搞混了。

其次，当你在百度或微信搜索里更愿意输入Intel Mac 安装 clash、老式 MacBook 怎么用 tun这类带机型限定词的长尾句时，泛泛而谈的「macOS 一通百通」往往在第二步就和你屏幕上的系统设置措辞对不上——尤其是 Ventura、Sonoma、Sequoia 各代对「VPN 与配置文件」「隐私与安全性」「登录项与扩展」的布局调整，使得结合真实菜单路径来描述 Intel 支线比抄一段英文发行说明更有意义。

Clash Verge Rev 这一系图形壳把 mihomo（Clash Meta） 内核塞进 Tauri 桌面端，YAML、策略组和规则_providers 的思考方式与 Linux、Windows 完全一致；本篇真正要多写的，是让 Intel 路线的读者在二进制架构、macOS 写入系统代理的契约与网络扩展被拒后的回溯路径三件事上少走弯路。若你正准备从Clash for Windows 迁到桌面生态，可先阅读站内 CFW 迁移指南再回来看 macOS Intel 专有流程——心态上会从「我找得到菜单吗」转成「我本来就知道代理分几层」。

2. 安装：如何确认处理器、选对 x86_64／amd64 镜像并处理隔离属性

请点击屏幕左上角苹果菜单 → 关于本机：若芯片一栏写的是各种 M1／M2／M3／M4，你应当立刻切换到 Apple Silicon 安装专篇；只有当这里显示处理器：Intel Core …，本篇的下载策略才与你的硬件匹配。前往本站下载聚合页时，请明确选择写明 Intel／x86_64／amd64 一侧的 dmg 或其他 macOS 安装介质，而不要看到「Universal」就认为可以闭眼点——个别旧发行仍可能分拆多条链路，一切以页面上的架构标签为准。

典型流程仍然是：挂载镜像后将 Clash Verge Rev（或发行名略有差异的同族应用）拖入应用程序文件夹，首次从启动台点开若遇到 Gatekeeper「无法验证开发者」，应在访达中对该图标右键 → 打开一次建立用户级例外——这与你的机场订阅是否正常无关，但却是无数新手在 QQ 群里发出「打不开啊」截图的真正原因。极少数情况下来自浏览器的隔离属性（quarantine）会与 Helper 装载顺序打架：只有在你完全信任包来源并已核对校验和／签名信息时，才可以考虑在终端对应用本体执行xattr清除com.apple.quarantine；不懂命令也没关系，先试「右键打开」多半已经够用。

# Remove Finder quarantine on the app bundle (trusted releases only).
xattr -dr com.apple.quarantine "/Applications/Clash Verge.app"

不要在第一次启动就立刻同时勾选系统代理、TUN、局域网共享、服务模式与自定义 DNS——那是把五个变量一次性丢进方程式。更稳妥的路线是：只要能稳定常驻菜单栏／托盘 → 内核能载入 → 再往模式层推进。若你连应用本体都偶发崩溃，却在群里问「我是不是该换节点」，统计学上多半是冤枉了那家机场。

3. 订阅导入与 mihomo 内核就绪：在动模式前先排除「根本没节点」

打开 Clash Verge Rev，第一件事永远是把远程配置拽进来并让 Profile 生效。若你连订阅 URL 与安全导入姿势都不熟，请先把站内 订阅导入教程读完，再回到这里继续——否则很容易出现「我刚装了最新版 dmg，所以一定是 TUN 坏了」这种归因错误：实际上只是订阅 403、UA 被要求、时钟漂移或 TLS 握手被中间人干扰。

导入成功后耐心等待自动刷新完成；在策略组／代理页挑选一个你相信暂时健康的节点（或让 URL-Test／Fallback 自己跑），转到日志观察是否仍存在大面积 certificate、i/o timeout、DNS 报错。如果这些噪音没停，请先处理订阅链路或换出口，不要着急去拨动 TUN 开关——在网络扩展栈里看见的症状往往只是订阅故障的二次放大。

这一阶段偶尔会出现Helper 安装向导：它通常意味着要把某些需要 root 才有的系统网络能力注册成后台服务。习惯性跳过会在后来表现为界面显示系统代理开启，但scutil --proxy或可视化设置里没有对应条目，或 utun 起不来——若弹窗写明来自你刚装的这份 Verge／Verge Rev，且在签名路径上无异议，建议你当场完成授权，再往下走第四、第五节。

4. 系统代理：向 macOS 写入设置，以及为什么终端常常「看起来不买账」

点击客户端中的系统代理按钮后，请打开系统设置 → 网络，选中当前正在使用的Wi‑Fi 或以太网服务，进入详细信息 → 代理一节（Sonoma／Sequoia 可能把标签排布略有挪动，请以你机器为准），核对HTTP、HTTPS与（若写明）SOCKS是否已经指向127.0.0.1与某个整数端口——该端口应与界面展示的mixed-port或等价提示一致。不要盲目照抄社交网络截图里的 7890：不同 Profile 改写后混用端口并不少见。

验证链路建议分两路并行：其一是用Safari 或 Chrome打开任意 IP／地理位置探测站，核对出口是否与所选数据中心匹配；其二是在心中牢牢记住：类 Unix 终端里的 curl、Git、pip、pnpm 绝大多数情况下不会自动继承 GUI 勾选过的系统代理——这是几十年工具链史的默认语义，不因你用的是 Intel i5 还是 M3 而变化。除非你显式加上--proxy参数，或在~/.zshrc导出HTTPS_PROXY，否则它们在 TUN 未接管前看起来「永远直连」其实是完全符合预期。

系统代理路线的优点是对系统侵袭性相对较低，与只做浏览器和科学阅读的场景高度契合；缺点则是任何硬编码远端 IP、跳过系统 PAC／代理表的程序仍旧会按自己的逻辑直连——常见于部分游戏客户端、二进制更新器与老旧的 IDE 插件通道。别把这类现象解释为「Intel Mac 太老」，它只是反复提醒你要么加环境变量，要么进入下一节的 TUN，把「包有没有流经内核策略」这件事从应用自觉上升为路由层决策。

5. TUN 模式：utun／网络扩展、「透明接管」真正能解决什么问题

打开 TUN 模式后，macOS 往往在接口列表里挂上新的utun类虚拟网卡（名字随系统细节略有出入），再通过路由优先级把符合条件的数据包塞进 mihomo，由规则和策略决定走代理还是DIRECT。用户直觉上叫它透明代理没有错：对那些从不读取「系统 HTTP 代理设置」的软件，这是一条比一遍遍写环境变量更「一劳永逸」的路线——前提是你在心理上接受：必须处理网络扩展（Network Extension）／VPN Configuration Profile这一系列弹窗，以及可能与公司全局 VPN／商业加速器／抓包套件产生的路由竞争。

第一次在 GUI 勾选 TUN 时，你可能会遇到「要在系统层级添加 VPN 配置吗」「是否允许 xxx 载入网络扩展」等顺序敏感的问答；任一环节点了「不允许」，表现出来的都可能是：开关亮起但内核侧空转。此时不要盲目长按电源键「修复」——回到隐私与安全性以及登录项与扩展相关列表，撤回拒绝或在 MDM 限制允许的前提下重装触发向导，是比玄学重启更高成功率的解法。

你可以在终端跑一次ifconfig观察新增的 utun 接口，但更关键的是阅读 Clash／mihomo 的连接日志：TUN 只回答 packet 有没有进入用户态管线，并不替你保证命中节点——若 GeoIP／域名规则早早就把会话送去直连，你会觉得「为什么我开了全套还上不去某站」。关于 fake-ip、sniffer、DNS fallback 的更底层心智模型请参阅站内 TUN 专题说明页，本书写 Intel 路线的现实操作，不再重复推导细节。

6. Helper、辅助功能与老系统边角：别让半授权状态糊弄你

Privileged Helper在不少发行里负责把系统代理表的写入／恢复与虚拟网卡的创建／销毁封装在安全边界里；拒绝安装≠更安全，更多是让自己陷入「看得到按钮却落不到 sysctl／路由层」的境地。建议你养成习惯：第一次看到签名信息里写明来自信任发行方本体路径，就一次性装好，避免长期停留在「理论上开了系统代理但实际没写成功」的假阳性。

辅助功能（Accessibility）在部分快捷键方案、托盘深度集成脚本里可能被请求；若没有相关需求，可以保持关闭，只在客户端明确写明某功能非要不可时再评估。与它相比，更值得 Intel 老伙计警惕的是：系统大版本翻新后突然被静默重置的网络扩展条目——升级 Sonoma／Sequoia 后若「昨天都行今天全瞎」，请先检查登录项 → 允许的扩展列表里是不是出现灰色禁用状态的 Clash／Verge 家族扩展，再结合「关闭 TUN 仅保留系统代理是否恢复上网」二分法定位冲突源。

对部分仍在 macOS Catalina、Big Sur 等早期版本上做备用开发或实验机的朋友而言，证书信任链过时、旧版 Swift Runtime也会影响第三方 GUI 的稳定度——这类问题往往在发行说明里会直接写出最低系统版本要求，若你已低于下限，应考虑升级操作系统或改用更轻量的纯内核＋远端面板方案，而把 Verge Rev 定位为「受支持版本上的日常使用壳」而非「万能的考古工具」。

7. 和 M 芯片教程怎么切换阅读：Rosetta、误装包与并行收藏建议

当你在 ARM Mac 上误装了 Intel Universal 二进制里仅勾选 x86 slide的那一侧时，Rosetta 2 往往能把它跑起来，长期代理却以更高 CPU 温控与潜在的 Helper 生命周期怪癖为代价；反过来，在Intel 机器上误下aarch64‑only dmg则通常直接打不开——这条不对称性决定了为什么搜索引擎里仍存在大量「我到底是不是装错 dmg」的问句。

实践中推荐你把三篇一齐丢进书签：Apple Silicon 专篇（M 架构）、本篇 Intel 支线和泛 macOS／不分芯片的基础篇——当同事递给你一台你从不知道年份的工作室旧 Mac mini 时，只需要十秒钟看「关于本机」就能把阅读路径切换到正确 URL，而不会对着一张 M2 教程截图在老款 MacBook Pro 菜单里硬找一模一样的项目名。

行文上两篇专章对系统代理 vs TUN、终端默认语义、VPN 叠叠乐的结论是一致的：差别不在翻墙哲学，而在你手里这块硅片该吃哪一盒安装包。

8. 常见故障图谱：整机断流、浏览器幸存、VPN 叠叠乐

「刚开 TUN 整个电脑像断网」：优先在 GUI 关掉 TUN、保留系统代理或暂时全关三种状态各测一轮；若关掉 TUN 立刻恢复，则把怀疑对象锁定在utun 路由、与其他 VPN 的默认网关重写、被拒绝的网络扩展半成品，而不是急匆匆卸载机场订阅。随后再校对订阅是否在别的设备仍可握手、本地系统时钟是否漂移。

「Safari／Chrome OK，Steam／某 IDE 永远不跟」：典型是应用不读取系统 HTTP 代理或不走你期望的 SOCKS 通道；先试 TUN，再在连接日志中搜目标域名看它有没有进入内核管线。若已进入 tun 却仍异常，再考虑 QUIC／HTTP3、硬编码 DNS 与规则误判。

「terminal 死活像直连」：再次强调：请先配置HTTPS_PROXY或等价工具链字段，而不要在没有 TUN 的情况下期待神奇继承；一旦你打开 TUN 且路由覆盖正确，很多 CLI 场景的感知行为会改变，但仍建议你显式写明代理，以减少「到底走没走 SOCKS5」的神秘感。

「公司里另一套全局 VPN + Clash」：长期方案只能二选一作为主路由执掌者，或通过规则对白名单域名／网段放行；不要指望两个全量接管和平共处，否则你会在各种日志里看见互相抢default的滑稽场面。

9. 模式之外：规则优先级、DNS 与 Fake-IP 的第二战场

实战中大量「明明是模式问题」的假阳性其实来自规则顺序：例如 GEOIP CN 早于某些域名后缀规则、又或者策略组的默认兜底落在DIRECT你却以为它在「RULE 自动魔法」。一旦你确认scutil --proxy或 utun 都健康，却仍访问指定服务诡异，就请把目光转向日志中的命中行与DNS mode是否在订阅侧被改过。

第一次配置时请遵守单变量原则：不要同一时间换多家机场、重写 DNS、fuzzing TUN 栈外加手改超长 YAML。站内规则进阶文更适合你在「链路已绿」之后才慢慢啃；在当下阶段，更现实的目标是把每一段症状映射到层级正确的排查树。

10. Intel Mac 常见问题（简答）

更完整的问答结构已写入本页FAQPage JSON-LD，便于搜索结果直接展示条目；以下为正文可读版速览。

11. 首次配置自检清单（可逐项打勾）