如何在 macOS 上配置 Clash Verge 的系统代理？

为什么需要配置系统代理？

在macOS上使用Clash Verge时，配置系统代理是让所有浏览器及网络应用都通过代理规则访问互联网的关键步骤。与仅设置浏览器的代理不同，系统代理会接管操作系统的网络层，确保邮件客户端、终端工具、系统更新等流量都经过代理，从而实现统一的流量管控与合规审计。对于企业环境或需要严格网络策略的个人用户而言，这一步不仅是技术配置，更是数据留存与合规基线的一部分。如果缺少系统代理，许多非浏览器应用（如系统更新、邮件同步）会直接绕过代理，导致审计盲区或IP泄露。

本文以2026年10月为时间基准，基于Clash Verge的最新稳定版本（请以实际安装版本为准）撰写，涵盖版本差异、操作细节、兼容性排查以及风险控制要点，帮助你安全、可追溯地完成配置。

功能定位与变更脉络

系统代理 vs TUN 模式

Clash Verge提供了两种全局代理方式：系统代理与TUN（虚拟网卡）模式。系统代理仅影响支持系统代理设置的应用（如浏览器、系统更新服务），而TUN模式会通过创建虚拟网卡强制所有流量经过代理，包括不遵守系统代理的UDP应用或游戏。在macOS上，系统代理配置更轻量、兼容性更好，适合日常办公与网页浏览；TUN模式则需要更高的权限配置，且可能与某些privacy tool或防火墙冲突。简而言之，系统代理是“软接管”，TUN是“硬接管”，选择取决于你对应用覆盖范围与性能消耗的权衡。

从合规审计角度看，系统代理的优势在于日志记录更加清晰——你可以在Clash Verge的“日志”面板中看到每个连接经过的规则，便于事后追溯。而TUN模式下流量被强制重定向，审计点主要在代理服务器端，客户端日志可能无法覆盖所有流量。因此，对于需要明确留痕的场景（例如企业BYOD接入），建议优先使用系统代理。

操作路径：macOS 系统代理配置

前置条件

• 已在macOS上安装Clash Verge（可从GitHub Release页面获取最新版）。
• 拥有有效的代理节点或订阅链接（格式为YAML或v2ray等）。
• macOS版本：Big Sur及以上（Catalina及以下未经官方测试，但经验性观察仍可部分兼容）。

确认上述条件后，即可开始配置。如果你使用的是企业托管设备，建议先确认IT策略是否允许修改系统代理。

配置步骤

1. 启动Clash Verge：点击Dock栏或启动台图标，状态栏出现“Clash Verge”菜单图标。
2. 导入配置文件：在“配置”页面粘贴订阅链接或上传本地YAML文件。确保配置中包含代理节点和规则组。示例：若你使用机场订阅，通常只需粘贴订阅链接，Clash Verge会自动解析。
3. 开启系统代理：进入“设置”页面，找到“系统代理”开关，将其打开。此时Clash Verge会尝试修改macOS的网络代理设置（使用PAC或手动代理）。
4. 确认代理生效：打开系统偏好设置 → 网络 → 高级 → 代理，应看到“网页代理（HTTP）”和“安全网页代理（HTTPS）”已自动填入127.0.0.1及端口（默认为7890）。你也可在Clash Verge的“日志”面板查看连接状态。

平台差异说明：Windows版本的系统代理路径类似，但macOS需要通过系统偏好设置写入代理配置，而Windows直接修改注册表或网络设置。Clash Verge在macOS上会主动检测并写入正确的代理信息，无需用户手动编辑网络设置。

验证与测试

打开浏览器访问http://ip.sb或curl ifconfig.me（终端），若显示的IP地址为代理节点IP，则配置成功。你还可以在Clash Verge“连接”面板中看到当前活跃的连接列表，用于确认哪些流量正在经过代理。例如，当你在浏览器打开一个新标签页时，“连接”面板会立刻显示出对应的域名和规则命中情况。

版本差异与迁移建议

Clash Verge 与 Clash Verge Rev

Clash Verge社区经历了分叉：原版已停止维护，目前活跃维护的是Clash Verge Rev。两者在系统代理配置上的交互逻辑基本一致，但Rev版本修复了macOS上的一些系统代理残留问题，并在“设置”中增加了“强制代理”选项。建议用户迁移至Rev版本以获得更好的兼容性与稳定性。

迁移步骤：
1. 备份原版Clash Verge的配置文件（位于~/.config/clash-verge/）。
2. 下载Rev版本并安装，首次启动会自动导入原版配置。
3. 重新开启系统代理，检查代理功能是否正常。
4. 确认无误后可删除旧版应用（建议先保留直到稳定运行一周）。

macOS 版本兼容性表

macOS 版本	系统代理支持	注意事项
Big Sur (11.x)	✅ 支持	需关闭“自动代理配置”冲突
Monterey (12.x)	✅ 支持	无已知问题
Ventura (13.x)	✅ 支持	若使用防火墙软件，需放行Clash Verge
Sonoma (14.x)	✅ 支持	腾讯会议等应用可能出现代理冲突（经验性观察）
Sequoia (15.x)	✅ 支持	建议关闭iCloud私有中继以避免冲突

以上兼容性基于截止2026年10月的最新版Clash Verge Rev测试，实际以你的安装版本为准。社区预期后续macOS系统更新不会破坏现有代理机制，但建议在升级系统前先检查Rev版本的发布说明。

合规审计与数据留存要点

日志记录与可追溯性

配置系统代理后，所有HTTP/HTTPS请求都会通过Clash Verge的代理内核。开启“日志”面板（设置 → 日志 → 级别选择“信息”或“警告”），可以看到每个连接的源IP、目标域名、代理规则命中情况。这些日志可以导出为文件（右键点击日志区域），用于合规审计。你可以设置自动导出脚本，结合macOS的launchd定时任务实现每日存档。

示例场景：某企业要求员工所有外网访问必须经过公司指定的代理节点，并留存至少90天的访问日志。员工在macOS上通过Clash Verge配置系统代理，同时开启日志记录并定期导出，IT部门可通过日志中的域名与规则匹配情况确认合规性。

避免代理泄露

系统代理配置不当可能导致代理泄露（如DNS请求未经过代理）。Clash Verge默认使用远程DNS解析，但macOS的DNS查询可能仍由本地系统处理。建议在配置文件中设置dns: { enable: true, default-nameserver: [...] }并开启“FakeIP”模式（需查看文档）。在合规环境下，建议同时启用“仅代理模式”而非“绕过部分地区”，以确保所有流量都经过审计。

故障排查

即使按照上述步骤配置，仍可能遇到一些常见问题。下面按现象分类，逐一分析原因与处置方法。

现象1：开启系统代理后无法联网

可能原因：代理端口被占用、防火墙拦截、配置文件错误。
验证方法：关闭系统代理，检查能否直接联网。若能，则在终端运行 lsof -i :7890 查看端口是否被Clash进程监听。若否，检查防火墙设置（系统偏好设置 → 安全性与隐私 → 防火墙）。
处置：重启Clash Verge，或修改设置中的代理端口（如改为7891），重新开启系统代理。

现象2：部分应用不走代理

可能原因：某些应用（如终端中的curl）不使用系统代理环境变量，或配置文件规则未覆盖。
验证：在终端执行 curl -x http://127.0.0.1:7890 http://ip.sb 手动测试。若能返回代理IP，说明问题在于应用未遵守系统代理。
处置：为终端设置代理环境变量 export http_proxy=http://127.0.0.1:7890，或使用Clash Verge的TUN模式。

现象3：系统代理开关后macOS网络设置异常

可能原因：Clash Verge崩溃或强制退出导致代理残留。
验证：打开系统网络偏好设置，查看代理标签页是否仍被勾选。
处置：手动取消所有代理勾选，或重启Clash Verge并正常关闭（退出应用时选择“关闭系统代理”）以清理设置。

例外与取舍

何时不应该使用系统代理？

• 企业privacy tool环境：同时运行公司privacy tool和系统代理可能导致路由冲突或策略违规，建议只使用一种全局网络方案。
• 需要低延迟的游戏或直播：系统代理会增加延迟，且可能不支持UDP。此类场景建议使用TUN模式或直接直连。
• 合规要求不允许代理：某些合规政策要求直接访问以保留原始IP审计，使用代理会绕过IP层审计，需谨慎。

在这些情况下，可以仅在浏览器层面使用代理扩展（如SwitchyOmega），而不开启系统代理，保持其他应用直连。这既能满足特定需求，又避免影响全局网络策略。

适用与不适用场景清单

为了让读者更清晰地判断是否应该使用系统代理，下面以清单形式列出典型场景。

适用场景

• 个人用户需要跨境网络访问访问海外资源。
• 企业员工在BYOD上配置公司代理，满足合规审计要求。
• 开发者需要全局代理调试API接口。
• 教育机构内网穿透等场景。

不适用场景

• 需要精确控制UDP流量（如网络游戏、语音通话）——应使用TUN模式。
• 不允许修改系统设置的锁管环境（如企业MDM限制）。
• 涉及敏感网络隔离要求（如军工、金融内网）。

最佳实践清单

综合前文内容，我们将关键建议浓缩为一份可执行的清单，方便你在配置前后逐一核对。

1. 验证版本兼容性：安装前确认macOS版本与Clash Verge Rev的兼容性。
2. 开启日志审计：至少设置日志级别为“信息”，并定期导出存档。
3. 使用代理排除规则：在配置文件中添加“规则”以保留对内部网络（如10.x.x.x）的直连访问。
4. 定期更新：保持Clash Verge Rev与内核（Clash Meta）至最新，以修复安全漏洞与兼容性问题。
5. 测试环境先行：在生产环境或合规网络部署前，在测试macOS上模拟一周运行。
6. 备选回退方案：记录系统代理开关方法，以便在出现故障时快速恢复联网。

FAQ

总结与下一步行动

在macOS上配置Clash Verge的系统代理，核心在于理解系统代理与TUN模式的差异、掌握正确的配置步骤，以及围绕合规审计进行日志记录与风险控制。本文从版本差异、操作路径、兼容性、故障排查到合规要点，提供了完整的指导框架。

下一步，建议你：
1. 备份当前Clash Verge配置。
2. 按照操作路径实际配置一次系统代理。
3. 开启日志并持续运行一周，观察是否有连接异常或审计缺口。
4. 若需企业级部署，请咨询IT管理员并参考组织合规政策。

本文内容基于Clash Verge Rev社区版本撰写，功能可能随版本更新而变化，请以实际使用为准。社区预期后续Rev版本将进一步优化macOS系统代理的稳定性与日志导出能力，届时可关注官方更新日志。欢迎在评论区分享你的配置经验或遇到的问题。