Mac VPN 设置：挑选适合你配置文件的客户端

先按 VPN 服务商指定的客户端完成设置，再用你真正需要的私有资源证明隧道可用。Mac 可以在系统设置中保存原生 VPN 配置，但 OpenVPN 或 WireGuard 文件需要能解析该格式的软件，这是两条不同的设置路径。凭据类型决定了登录会以何种方式失败，所以先看清它再动手输入。判断结果要看私有资源返回什么，而不是菜单栏里的图标。

让客户端与你拿到的配置文件匹配

从服务商发来的文件或说明开始，而不是从下载站点的协议清单开始。系统设置里的原生 VPN 表单只处理特定类型；OpenVPN 配置文件或 WireGuard 配置需要能解析它的应用。受管理的 Mac 可能已经从设备管理收到连接，再叠加第二个配置文件只会产生冲突而不是完成设置。安装任何东西之前，先看清现有的配置。

登录方式由配置文件决定，通常是三者之一：账户密码、客户端证书，或解锁私钥的口令。密码错误和证书被拒都会中断连接，但两者的表现并不相同，只有一种能靠重置账户密码解决。改动之前先读懂拒绝信息：过期或不受信任的证书在重置密码后依然失败，而密码错误会立刻失败，就在第一次尝试时。

私有材料不要进共享日志。密钥口令、客户端证书及其私钥不该出现在同事的聊天记录里，配置文件编辑器的截图通常暴露的信息比发送者预想的多。如果服务商提供了可导入的文件，就导入它，而不是手工重敲各项取值。

在资源上验证它可用，而不是看图标

工作配置文件通常只路由办公目的地，所以浏览时看到的公网地址可能保持不变，而私有应用照常工作。在个人出口配置文件上，你从外部看到的地址必须变化；在工作配置文件上通常不该变化。先量出这个差别，再断定隧道坏了。

然后打开你真正需要的资源：文件共享、管理页面、数据库主机。一个能通过隧道打开的主页只能证明隧道承载了部分流量，不能证明它承载的是你要的流量。如果配置文件本该改变地址，而浏览器仍显示原地址，就比对三件事：正在使用的应用、地址族和代理策略。浏览器代理或 IPv6 路径可以绕开 VPN 传输流量，而隧道本身依然健康。

如果客户端提供路由表，就看默认路由和隧道路由。这一组记录了你实际部署的是哪种设计。

当它停止工作时，找出坏掉的那一层

原本能用的设置在失效时，通常是因为有东西插进了路径：第二个 VPN 客户端、安全代理、内容过滤器、新的网络扩展。用产品自带的诊断工具，而不是删除偏好设置或重置网络栈，那只是碰运气而不是诊断。把故障对应到某个事件上，无论是睡眠、切换 Wi-Fi、门户登录还是客户端更新，并记录它是否重复出现。可重复的触发条件要连同发生时间写进工单。

名称失败和路由失败不一样。私有主机应当用文档记录的完整名称访问，办公短名依赖内部解析器以及只存在于公司网路径上的搜索域。把这个解析器换成公共 DNS 服务，短名就完全不解析了，看起来像隧道坏了，其实不是。

scutil --dns
dscacheutil -q host -a name intranet.example.com

在 scutil --dns 的输出里，找到搜索域与你公司域匹配的解析器，读出它指向的域名服务器；DNS 配置下列出的条目显示每个接口提供哪个解析器。当公司解析器只对另一个接口出现，或浏览器自己运行加密 DNS，就会出现一个应用能解析名字而其他一切失败的情况。

不再需要的配置文件要通过当初安装它的机制移除，因为删除本地条目后服务器侧的账户仍然存活，旧客户端仍可能占用同样的路由。在受管理的 Mac 上，以管理员的移除流程为准。移除之前先写下配置文件名称、服务器地址和可用的资源，这样恢复时不必从零开始。