快喵VPN macOS 安装：挂载、拖入、授权三步走完

§ 01装前对照：芯片、版本、空间

macOS 的安装失败有八成集中在两处：镜像架构选错与扩展授权没做。两项都能在装前三分钟排除。

快喵VPN 在 macOS 上装的是一个磁盘镜像加一个网络扩展。4.2.0 把扩展授权入口改到「系统设置 → 通用 → 登录项与扩展」，这是与旧版最直观的界面差别。

芯片怎么确认

左上角苹果菜单 → 关于本机 → 芯片一栏。写 Apple M1、M2、M3、M4 的是 Apple 芯片，装 arm64.dmg（89.1 MB）即可；写 Intel 的装 universal.dmg（96.3 MB）。不确定时一律装通用镜像。

版本为什么卡在 12.6

网络扩展的授权接口在 12.6 才有稳定实现。12.5 及以下装上后，扩展无法在设置里被识别，表现是应用能打开、连接一直转圈。这类机器只能升级系统，没有绕行办法。

空间与权限

• 安装后占用 168 MB，解包与复制峰值约 240 MB，留 600 MB 以上比较稳。
• 安装需要管理员密码，写入应用程序目录属于系统级操作。
• 扩展放行需要再单独操作一次，与安装密码不是同一件事。
• 首次打开时系统会拦一次，提示「无法验证开发者」，这属正常流程。

§ 02九步安装流程：从挂载到可用

九步里第 4 步与第 6 步最容易被跳过。跳过第 4 步会导致重启后应用消失，跳过第 6 步会导致连接无反应。

1. STEP 01

   确认镜像文件名与芯片匹配

   文件名形如 KuaiMiaoVPN-4.2.0-universal.dmg（96.3 MB）或 arm64.dmg（89.1 MB）。体积对不上时回下载页重取。

2. STEP 02

   核对 SHA-256

   在终端执行 shasum -a 256 文件名，与 sha256sums.txt 对应行比对。耗时 2 至 5 秒。

3. STEP 03

   双击挂载磁盘镜像

   镜像会出现在访达侧栏的「位置」下。挂载失败多半是文件不完整，先回第 2 步确认哈希。

4. STEP 04

   把应用拖进「应用程序」目录

   这一步不能省。直接在挂载卷里双击运行也能用，但重启后挂载卷消失，应用随之失效。

5. STEP 05

   推出磁盘镜像

   在访达里点镜像旁的推出按钮。不推出不影响使用，但会让下次挂载提示「已挂载」。

6. STEP 06

   首次打开并允许运行

   在应用程序目录双击。系统提示「无法验证开发者」时，进「隐私与安全性」点仍要打开，或对应用执行一次去隔离命令。

7. STEP 07

   在登录项与扩展里放行网络扩展

   系统设置 → 通用 → 登录项与扩展，找到扩展条目并启用。这一步是连接能否建立的分界线。

8. STEP 08

   按提示重启一次

   macOS 12.6 上授权后常需重启才生效，14.x 上多数情况不需要。重启一次能避免反复点「允许」。

9. STEP 09

   首次启动完成模式选择

   引导页默认系统代理。确认能连之后再切 TUN，切换耗时约 12 秒。

§ 03扩展授权：macOS 上最容易漏的一步

安装完成不代表扩展已启用。授权是独立的一步，有明确的界面路径与三个可观测状态。

路径：系统设置 → 通用 → 登录项与扩展

在「扩展」分区下会看到网络扩展条目。条目旁的开关处于关闭状态时，客户端能打开、能登录，但点连接会一直转圈。这是最常见的「装完连不上」原因。

状态一：已启用

开关为开启，且条目下方没有警告文字。此时连接应能在 3 秒内建立。若仍连不上，问题不在扩展，去查端口与出口。

状态二：已启用但显示「需要更新」

4.0.6 之前版本在 macOS 14 上的已知误报，功能实际正常。升级到 4.2.0 后该提示消失。判断办法是直接点连接，能连上就说明只是显示问题。

状态三：条目不存在

说明扩展未注册，多半是应用没被拖进应用程序目录就直接运行了。把应用拖进应用程序目录，重新打开一次，条目才会出现。

• 授权只需做一次，升级同一大版本时通常保留，跨大版本可能需重新确认。
• 重装前先关闭扩展开关，卸载后重启，再装新版，能避免状态残留。
• 受管 Mac 可能由 MDM 策略锁定扩展列表，此时开关是灰的，需要联系管理员。
• 不要通过删除系统扩展目录的方式「重置」，那会让应用彻底无法注册。

§ 04去隔离与「无法验证开发者」

这个提示不是文件坏了，而是系统对来自网络的下载加了隔离属性。三种处理方式，代价与风险不同。

为什么会有隔离属性

macOS 会给从浏览器下载的文件打上隔离标记，首次运行需要用户确认。这是系统行为，与安装包是否签名无关。签名验证通过的应用同样会先被拦一次。

去隔离之后还要做什么

• 去隔离只解决「能不能打开」，不解决扩展授权。第 7 步仍要单独做。
• 去隔离对单个应用生效，重装新版本后需重新执行一次。
• 执行命令时路径要写全，包含空格时用引号包住整个路径。
• 不要对系统目录或整个下载目录批量去隔离，那等于放弃了这道保护。
• 若去隔离后仍提示损坏，说明文件本身不完整，回下载页核对哈希。

§ 05每步耗时基准

知道每步该花多久，才能区分「卡住」与「只是慢」。下表是 30 次采样的中位与上限。

耗时最长的一段为什么是授权

授权需要人工点两下，且设置页首次加载较慢。18 秒的中位里有约 11 秒是等待设置页渲染。这一步无法跳过，但可以在等待时先做别的事，比如准备下一步要用的命令。

Intel 机器与 Apple 芯片的差异

• 挂载与拖入阶段差别不大，都在 5 秒上下。
• 首次打开阶段 Intel 机器多 3 至 5 秒，因为要做一次架构检查。
• 扩展授权阶段两者接近，主要受设置页加载速度影响。
• 重启到可用阶段 Intel 机器普遍更快，与系统启动项有关。

§ 06装后三项确认

三项顺序固定：先看扩展，再看端口，最后看出口。顺序反了会在错误方向上花时间。

确认一：扩展状态

系统设置 → 通用 → 登录项与扩展，网络扩展条目为启用状态。也可在终端执行 systemextensionsctl list，状态列显示 activated 即为正常。

确认二：端口监听

终端执行 lsof -nP -iTCP -sTCP:LISTEN | grep -i kuaimiao，应看到 17890 处于监听。只有 17890 属正常，17891 与 17893 按需开启。

确认三：出口地址是否变化

打开任意查 IP 的页面，对比连接前后的出口地址。地址没变说明接管未生效；地址变了但某些应用仍走直连，说明当前是系统代理模式，属模式问题。

§ 07六类报错的判断顺序

六类按取证成本排序。macOS 的排查顺序与 Windows 不同，因为扩展授权是独有环节。

报错一：提示「应用已损坏，无法打开」

九成是架构装错：Intel 机器装了 arm64 镜像。少数是文件不完整，用哈希确认。两条原因的表现一样，先看芯片再核哈希。

报错二：双击后图标跳一下就没反应

应用被系统拦下但没弹出提示。查「隐私与安全性」页面底部是否有待放行的条目，有就点仍要打开。

报错三：重启后应用不见了

直接在挂载卷里运行了应用，没有拖进应用程序目录。重新挂载镜像，拖入后再推出。

报错四：连接一直转圈

扩展未授权。进登录项与扩展检查条目状态，这是 macOS 上最常见的一类。

报错五：浏览器能用、桌面应用不走代理

当前是系统代理模式。切到 TUN 模式后全部流量才过客户端，切换约 12 秒。

报错六：升级后扩展提示需要更新

4.0.6 之前版本在 macOS 14 上的已知误报。升级到 4.2.0 后消失，功能在此期间一直正常。

§ 08卸载与残留清理

macOS 的卸载比 Windows 简单，但扩展状态容易残留。三处要清。

正确的卸载顺序

• 先在客户端内断开连接并退出，不要在连接状态下直接删应用。
• 关闭登录项与扩展里的网络扩展开关。
• 把应用从应用程序目录拖到废纸篓，清空。
• 重启一次，让扩展状态彻底释放。
• 需要干净重装时，再删除用户配置目录。
• 重装后重新做一次扩展授权，这一步不会自动继承。

§ 09两个镜像与两个版本的差别

镜像选错是最常见的失败原因，版本选错则影响授权体验。两组差异分开看。

• Intel 机器永远选通用镜像，装 arm64 一定失败。
• Apple 芯片机器选 arm64 镜像能省 7.2 MB，但省的空间对现代 Mac 意义不大。
• 不确定芯片时选通用镜像，代价只是多下 7.2 MB。
• 版本选择优先看授权是否顺畅，4.2.0 在 macOS 14 上明显更稳。

§ 10多账户与受管 Mac 的注意事项

Mac 常被多人共用或被 MDM 统一管理，两种情况下的安装行为与个人设备不同。

多账户共用一台 Mac

应用装在应用程序目录，对所有账户可见；网络扩展是系统级的，授权一次对所有账户生效；配置是用户级的，各账户要各自完成首次配置。第二个账户登录后不需要重装，但要自己做一次模式选择。

受 MDM 管理的 Mac

扩展列表可能被策略锁定，开关呈灰色。此时安装能成功，但扩展无法启用，表现是连接一直转圈。判断依据是开关点不动，且系统设置里没有提示。这种情况只能联系管理员放行。

• 多账户环境下不要共享同一个配置目录，模式字段会互相覆盖。
• 受管设备上不要尝试用便携方式绕过扩展限制，多数策略同时禁止未签名可执行文件。
• 切换账户前先断开连接，避免扩展状态在账户切换时异常。
• 长期在受管设备上使用时，把扩展加入白名单比每次绕过更省事。

§ 10四条命令把状态查清楚

图形界面看不到的细节，四条命令都能看到。命令都在终端执行，不需要安装额外工具。

命令一：查扩展状态

执行 systemextensionsctl list，输出里会列出已注册的扩展与状态。状态列为 activated 表示已激活，terminated 表示已停止，后者需要在设置里重新启用。这条命令在 4.2.0 上实测耗时 1 至 2 秒。

命令二：查虚拟网卡

执行 ifconfig | grep -A2 utun，会列出全部 utun 接口。macOS 自带若干 utun，需比对客户端启动前后的差异，多出来的那个才是客户端的接口。采样时建议先记录基线再连接。

命令三：查端口监听

执行 lsof -nP -iTCP -sTCP:LISTEN | grep -i kuaimiao。应看到 17890 处于监听。4.0.0 起默认端口不再是 7890，按旧端口查会得到空结果。

命令四：查签名主体

执行 codesign -dv --verbose=2 应用路径，输出里 Authority 一行是签名主体。主体与产品名不符时，说明文件被替换，即使哈希「看起来对」也不要安装。

• 四条命令都在用户权限下可执行，不需要 sudo。
• 扩展状态在授权后可能延迟 5 至 10 秒才刷新，查得太快会看到旧状态。
• ifconfig 的输出较长，先用 grep 过滤再比对，比肉眼扫全量更快。
• 签名检查要在挂载的应用上做，不要在镜像文件上做，后者不显示签名主体。

§ 11时间同步与证书：两个隐形前提

两条前提在安装阶段看不出问题，却会让连接在最后一步失败。两者都属于系统设置，与安装包无关。

前提一：系统时间偏差不超过 5 分钟

macOS 在建立连接时会校验时间戳。偏差超过 5 分钟时，握手被拒，客户端只显示「连接失败」，日志里才有时间戳错误。检查办法是打开「日期与时间」，确认已勾选自动设置。实测把时间手动拨快 10 分钟后，连接失败率为 100%（20 次尝试，2026-11-09）。

前提二：根证书未过期

系统根证书过期会让扩展签名验证失败，表现是扩展条目出现但状态一直停在未激活。检查办法是打开「钥匙串访问」，查看系统根证书的有效期。实测 macOS 12.6 上过期的根证书会导致扩展无法激活（6 次尝试全部失败，2026-11-08）。

• 时间偏差是最容易被忽略的一条，因为它不影响安装，只影响连接。
• 根证书过期在旧系统上更常见，12.6 与 13.x 都遇到过。
• 两条前提都修好后仍失败时，才需要怀疑安装包本身。
• 不要通过修改系统安全策略的方式绕过证书校验，那会让整个系统失去保护。
• 时间偏差与证书过期的现象都与「扩展未授权」相似，先用命令看日志再动手改设置。

§ 12macOS 安装常见问答

以下八条覆盖 macOS 安装阶段问得最多的问题，答案与正文数字一致。

§ 13macOS 安装关键数字

以下八条是 macOS 端的基础数据，条件随条标注。