这个 Mac VPN 客户端能安装在这个 macOS 版本上吗？

下载一个能打开的安装器，是最弱的兼容性测试。应用窗口、特权助手和网络扩展是分开交付的三个部分，各有各的要求，机器必须同时满足全部要求。按顺序逐项核对，遇到第一个说不准确的条目就停下来。下载能启动，几乎说明不了隧道能否建立。

先写下机器，再谈安装包

从可以引用的事实开始。「关于本机」给出机型和芯片；sw_vers 给出确切的 macOS 版本和构建号；uname -m 给出 shell 所运行的架构。把机型、芯片、版本和构建号写成四行，而不是塞进一句话。凭发票回忆出的机型年份不算证据；而奇怪的组合，例如老机箱跑着可疑的新版本，值得在安装任何东西之前先弄清楚。构建号比营销名称更重要，因为厂商的最低要求常常指定某个构建号。

然后拿厂商声明的最低要求与这份记录对照。如果版本比安装包支持的更新，答案不是照装不误。

要检查助手，而不只是窗口

负责建立隧道的部分通常以特权助手或 系统扩展 的身份运行，它有自己的兼容性下限。应用可以启动，却装不上它的助手，结果就是窗口看着正常，隧道却始终不出现。systemextensionsctl list 会报告系统已知的扩展，未获批准或过时的组件正是在这里暴露出来。第一次运行失败后再读它，而不是等打完支持电话。

批准是独立于安装的一步。用户可能需要在隐私设置里允许该扩展，受管理的 Mac 还可能需要管理员集中批准。在断定安装器失败之前，先确认属于哪一种情况。

两端都要对上协议和配置文件

熟悉的服务器地址并不能让旧协议被新客户端使用。协议支持在两端都是有版本的：操作系统多年前就放弃了一些方法，而网关可能仍在为旧设备提供它们。向运营方索取 仍在维护的配置文件和认证方式，而不是沿用旧机器用过的那个。

配置文件是安装包的一部分。照着别人设置的截图重建的连接，是没有人支持的配置。

扩展的替换交给厂商处理

现代 macOS 把系统扩展与旧的基于内核的扩展分开，这个过渡是厂商需要记录在文档里的问题。如果某个扩展报告问题，先点明确切的安装包，再走开发者记录的替换路径。

不要把下载来的内核扩展移植进应用包，也不要为了迁就旧教程而削弱平台保护。两者都得不到可维护的组合，而且都会让应用与发行方交付的组件脱节。只批准你预期要用的软件，通过有文档记录的系统控制来完成，然后记录你批准了什么。这份记录也是日后撤销它的依据。

记录真正可用的组合

用一行话收尾，交给下一个人：实际机型和芯片、macOS 版本和构建号、完整的客户端安装包版本、已批准的配置文件，以及凭据的负责人。五个事实，不形容词。少一样，下一次安装就会变成一次排查。

然后先用这个组合验证私有应用，再停用旧的接入路径。如果机器落在受支持的客户端范围之外，就决定任务该在哪里运行，并说清楚：别处的网关能提供网络通路，而不必更新这台 Mac 的浏览器、信任存储或操作系统。终端软件支持与连通性是两回事，把两者混为一谈，正是不受支持的机器还能继续服役多年的原因。