Mac 上的 VPN 权限提示：你在批准哪一个？
网络配置同意、钥匙串访问、防火墙和完全磁盘访问是四种不同的授权。批准那个有据可查用途的授权。
VPN 客户端请求权限时，你会按下“允许”，因为否则连接就起不来。正是这个习惯，让一台机器最终带着没人能够解释的宽泛授权。这些提示不能互相替代：每一个批准的是不同的能力，而同一个应用名称可能出现在它们全部前面。决定之前，先读一下图标下面那句话。
常见提示背后的四种授权
保存 VPN 配置是第一种。在 macOS 上，使用原生 Personal VPN API 的应用第一次保存配置时需要明确授权，所以对话框出现在安装阶段而不是连接阶段。拒绝它，客户端仍然安装着，只是无法保存配置描述文件，这是一个可以恢复的状态。
钥匙串是第二种。取出某个特定条目保存的密码，与信任将要接收它的服务器是两个不同的决定。防火墙是第三种，它的应用控制管的是入站连接，而不是你的流量从哪个接口出去。完全磁盘访问是第四种，也是被以错误理由授予的那一个。
| Prompt | What you are approving | What it does not prove |
|---|---|---|
| Save a VPN configuration | The configuration operation itself | That the gateway is legitimate or that the account works |
| Access a Keychain item | This component reading this credential | Trust in the server or access for other apps |
| Allow incoming connections | Traffic reaching the app from the network | That outgoing traffic uses the tunnel |
| Full Disk Access | Broad access to protected data | Anything about VPN configuration or login |
完全磁盘访问从来不是 VPN 的修复手段
Apple 的隐私参考文档把完全磁盘访问描述为宽泛访问，涵盖其他应用的数据、备份和某些管理设置。Files & Folders 则是更窄的、基于位置的控制，覆盖大多数正当的文件需求。
有些安全产品确实会记录某个需要宽泛访问的功能，如果真的如此，请求应当写明组件和版本。你不该接受的，是因为第一个对话框总在回来，就用磁盘授权去回答一个网络配置对话框。
这两种权限毫无关系。为了压住一个而给出另一个，只会让你交出更多访问权，而问题依旧没有解决。
操作手册：处理你没预料到的提示
先记下确切措辞和组件名称，并且截图而不是转述。措辞会随版本变化，而准确的句子才是供应商或管理员能认出来的。截图也能终结关于对话框到底说了什么的争论。
然后确认是谁在请求。检查应用的版本和签名者，确认它确实是你以为已安装的那个客户端，而不是某个辅助程序、更新器，或者你已卸载产品留下的残留。
用一个问题来定夺：这个组件在这个版本上，对这种能力有据可查的需求吗？如果供应商文档没有说明，就拒绝该提示并弄清它为何出现，因为无法解释的请求是信息，而不是障碍。
决定之后，再做一次普通的连接尝试，并记下是否有变化。在无关问题的中途给出的授权，事后很难评估，所以顺序和答案同样重要。
为什么同一个提示会反复出现
反复出现的授权通常意味着决定没有被存到组件期望的位置、条目被重新安装重建了，或者某条管理策略把它重置了。留意它出现的时机：启动时、连接时、断开时，还是重启之后。这个时机比事后读到任何日志都更快锁定原因。
在受管理的 Mac 上，实际答案可能来自配置描述文件而不是你的点击；这种情况下再点“允许”也不会解决问题。在继续按同一个按钮之前，先问管理员是哪条策略在管这个组件。
如果提示稳定地跟着某个具体操作出现，那就是一份可用的缺陷报告。如果它随机出现，就记录一天的时点，看看机器当时还在做什么，从中找规律。
留下别人能用的记录
把组件、能力、理由和日期，写在你存放其余配置的同一个地方。将来的你不会记得哪个对话框是为了什么被批准的。每次授权一行就够了；没人维护的清单比没有还糟。
好决定的检验在这里很简单：你能不开应用就解释这条授权为什么存在吗？如果不能，它就该被复核，而 Apple 的隐私与安全设置参考 就是开始读每一项到底覆盖什么的地方。