起動のブロック、サービスの許可、キーチェーンへのアクセスを区別する

macOSにClash Vergeをインストールすると、アプリの起動、システムプロキシの変更、バックグラウンドサービスのインストール、キーチェーンの読み取りで、それぞれ異なる確認が表示されることがあります。これらは同じ種類の許可ではなく、パスワードを何度も入力して一括で解決するものでもありません。ダイアログに表示されたアプリ名、操作内容、アクセス対象を確認してから、次の手順を判断してください。

従来のClash Vergeと、後継として開発が続けられているClash Verge Revも区別が必要です。派生版やバージョンによって、画面やサービスの実装は異なります。この記事ではmacOS 13、14、15のシステム設定を例に対処方法を説明します。クライアント内の「サービスモード」「仮想NICモード」などの名称は、実際にインストールしたバージョンに合わせてください。別バージョンのスクリーンショットを見て、存在しないボタンを探す必要はありません。

表示されたメッセージ・症状該当する処理まず確認すること
開発元を確認できない・開けないアプリの起動確認インストーラの入手元、システムのセキュリティ警告
補助ツールのインストール時に管理者パスワードを要求される特権付きバックグラウンドサービスサービスのインストールを直前に自分で実行したか
システム拡張機能がブロックされた・VPN構成を追加するネットワークコンポーネントの許可ダイアログに表示されたアプリ名とコンポーネント名
キーチェーンに保存された機密情報へのアクセス要求保存済みの認証情報の読み取りアクセスを要求しているプロセスとキーチェーン項目名
クライアント終了後にWebページが開かないプロキシ設定やネットワーク状態が残っているシステムプロキシのアドレス・ポート、プロセスの状態

手順1：「開けません」の表示に対処し、まず通常起動できる状態にする

インストール先とCPUアーキテクチャを確認する

  1. 画面左上のAppleメニューから「このMacについて」を開きます。Appleシリコン搭載Macでは通常arm64版、Intelプロセッサ搭載Macでは通常x64版のインストーラを選びます。Universal版が提供されている場合は、リリースノートに従って選んでください。
  2. ダウンロードしたディスクイメージを開き、クライアントを「アプリケーション」フォルダにドラッグします。コピーが完了したらディスクイメージを取り出してください。マウントしたインストーラから常用しないでください。
  3. Finderの「アプリケーション」からクライアントを開きます。起動がブロックされた場合は、表示内容をすべて記録してからシステム設定を確認してください。最初にシステム全体のセキュリティ設定を変更するのは避けましょう。

「開発元を確認できない」または「Appleは悪質なソフトウェアが含まれていないことを確認できません」と表示された場合、macOS 13、14、15では「システム設定」→「プライバシーとセキュリティ」を開き、「セキュリティ」までスクロールします。入手元、開発元の情報、アプリが想定どおりのものだと確認できた場合に限り、システムが表示する「このまま開く」を選び、続く確認画面の指示に従ってください。この項目は通常、アプリの起動を一度試した後に表示されます。

「アプリが破損しています」「コンピュータに損害を与える可能性があります」という警告は、開発元を確認できない場合の通常の警告とは異なります。このような表示が出たら起動を中止し、プロジェクトのリリース元からシステムに対応したインストーラを入手し直して、リリースノートを確認してください。Gatekeeperを無効にしたり、隔離属性を一括削除したりする方法を、一般的なインストール手順として使わないでください。確認すべきセキュリティ情報を迂回することになります。

手順2：まずシステムプロキシを確認し、その後にTUNの許可を設定する

初回設定では、システムプロキシだけを有効にし、TUNは一時的に無効にしておくのがおすすめです。サブスクリプション、プロキシグループ、ローカルの待ち受けが正常か先に確認でき、ノードの問題をネットワーク拡張機能の許可不足と誤認しにくくなります。システムプロキシが適用されるのは、主にmacOSのプロキシ設定に従うアプリです。すべてのアプリやUDP通信が必ずプロキシ経由になるわけではありません。

  1. クライアントの「サブスクリプション」または「設定」画面で設定を読み込み、現在の設定として選択します。ノード一覧が表示されたら、「プロキシ」画面で利用可能なノードまたはプロキシグループを選びます。
  2. 実行モードをRuleに設定し、クライアントで「システムプロキシ」を有効にします。待ち受けポートを変更した場合は、コアが再読み込みされていることを先に確認してください。
  3. 「システム設定」→「ネットワーク」→現在使用中のWi-Fi→「詳細」→「プロキシ」を開きます。有線接続の場合は、該当するネットワークサービスを選択して「詳細」を開いてください。
  4. HTTP、HTTPS、SOCKSの各プロキシ設定を確認します。有効になっている項目のアドレスとポートが、クライアントの実際の待ち受け先と一致している必要があります。よく使われるローカルアドレスは127.0.0.1ですが、他の解説にあるポートをそのまま使わないでください。

たとえば、現在の設定または実行情報にmixed-port: 7890と明記されている場合に限り、次のコマンドでテストできます。7890はあくまで例で、すべてのClash Verge派生版のデフォルトポートではありません。mixed-portはHTTPとSOCKSの両方のプロキシリクエストを受け付けます。

curl -I --connect-timeout 10 --max-time 20 \
  --proxy http://127.0.0.1:7890 https://example.com
  • 接続先サイトのHTTPレスポンスヘッダーが表示された場合、この明示的なプロキシリクエストに応答があったことを示します。ただし、すべてのアプリの通信がプロキシ経由になったとは限りません。
  • Failed to connectと表示された場合は、まずポート、コアの稼働状態、待ち受けアドレスを確認してください。
  • ローカルプロキシには接続できてもタイムアウトする場合は、ノード、ルール、DNSを確認してください。この段階でシステムの許可を何度も与えても、通常は解決しません。

コマンドラインツールはmacOSのシステムプロキシを参照しない場合があるため、ここでは--proxyを明示しています。ターミナルでcurlを一度実行した結果だけで、システムプロキシが有効かどうかを判断しないでください。

手順3：実際の実装に応じてバックグラウンドサービスまたはネットワーク拡張機能を許可する

サービスモードで求められる管理者パスワード

より多くのアプリの通信を処理する必要がある場合は、クライアントの「設定」を開き、「サービスモード」またはTUN関連の設定を探します。バージョンによっては「インストール」ボタンからサービスを導入します。機能を有効にする際にインストールを案内するバージョンもあります。macOSの管理者認証画面が表示されたら、直前に行った操作と続いているか、アプリ名が正しいかを確認してから、このMacの管理者アカウントで許可してください。

ここで通常求められるのは、このMacの管理者認証情報であり、Apple Accountのパスワード、サブスクリプションのパスワード、ノードのパスワードではありません。バックグラウンドサービスのインストールには権限が必要な場合がありますが、正常にインストールされたサービスを一度起動するたびに、何度もインストールする必要はありません。起動のたびにダイアログが表示される場合は、クライアントが「アプリケーション」フォルダにあるか、複数の派生版を同時に起動していないかを確認し、クライアントのログでサービス接続エラーを調べてください。

拡張機能の警告が表示された場合に限り、拡張機能の設定を確認する

  • macOS 13、14：特定の開発元のシステムソフトウェアがブロックされたと明示された場合は、「システム設定」→「プライバシーとセキュリティ」→「セキュリティ」を開き、今回のインストールに対応する許可項目を確認します。該当する警告がない場合、Clash共通の拡張機能スイッチを探す必要はありません。
  • macOS 15：ネットワーク拡張機能の管理画面は「システム設定」→「一般」→「ログイン項目と機能拡張」→「ネットワーク機能拡張」にあります。該当する詳細画面を開いて確認してください。インストールしたクライアントが実際にコンポーネントを登録している場合に限り、関連項目が表示されます。
  • VPN構成の追加：使用中のクライアントの実装によってこの確認が表示された場合は、アプリ名を確認してから許可するか判断してください。他のVPNアプリに以前許可したことがあっても、今回のクライアントが許可済みとは限りません。

許可したらクライアントに戻り、TUNを再度有効にします。有効状態が維持されるかを確認し、ログに権限不足、サービス利用不可、ルート設定の失敗がないか調べてください。システムから再起動を求められた場合にのみ再起動します。指示がなければ、目的のない再起動を繰り返す前に、クライアントを終了して再度開いてみてください。

手順4：キーチェーンのダイアログを見分け、TUNに必須だと思い込まない

キーチェーンは認証情報を保存し、そのアクセスを管理するためのものです。システムプロキシやTUNに管理者権限が必要でも、キーチェーン内の項目を必ず読み取る必要があるとは限りません。「キーチェーンに保存されている機密情報を使用しようとしています」と表示されたら、どのプロセスが要求しているのか、どの項目を読み取ろうとしているのかを確認してください。

  1. 認証情報の保存や、認証が必要なプロキシへの接続など、関連する操作を直前に行ったか確認します。現在の操作と関係がないようなら、まず「拒否」を選び、表示された名前を記録してから調べてください。
  2. 想定しているアプリが想定している項目にアクセスしていると確認できたら、まず一度だけ「許可」を選べます。継続的なアクセスが必要な理由を理解し、そのアプリを信頼できる場合に限り、「常に許可」を検討してください。
  3. 項目を確認するには、macOS 13、14では「アプリケーション」→「ユーティリティ」から「キーチェーンアクセス」を開きます。macOS 15ではSpotlightで「キーチェーンアクセス」を検索しても開けます。「パスワード」アプリと混同しないでください。
  4. 「ログイン」キーチェーンを選び、ダイアログに表示された項目名で検索します。該当する項目を開き、情報と「アクセス制御」を確認してください。用途がわからない証明書、鍵、キーチェーン全体を削除しないでください。

キーチェーンのパスワードは通常、このMacへのログインパスワードと同じです。ただし、管理者がアカウントのパスワードをリセットした後も、古いキーチェーンが以前のパスワードを使っている場合は一致しないことがあります。その場合、現在のログインパスワードを繰り返し入力しても、古いキーチェーンはロック解除できません。システムのキーチェーン復旧手順に従ってください。デフォルトキーチェーンをリセットすると保存済みの認証情報が使えなくなる可能性があるため、最初に試す対処法にはしないでください。

クライアントの更新や入れ替え後に同じダイアログが繰り返し表示される場合、アプリの署名や項目のアクセス制御が変わった可能性があります。別のプロセスがアクセスを要求している場合もあります。項目へのアクセスをすべてのアプリに許可するのではなく、要求元を改めて確認してください。

手順5：TUNの動作を確認し、他のネットワークツールとの競合を切り分ける

許可の設定が終わったら、設定とノードはそのままにして、変更するのはTUNだけにします。まずシステムプロキシで接続できることを確認し、必要に応じてシステムプロキシを無効にしてTUNだけを有効にし、対象アプリをテストします。VPN、透過プロキシ、フィルタリングツールを複数同時に有効にすると、ルーティングやDNSが次々に変更され、原因を特定しにくくなります。

  • ブラウザは正常だが、特定のアプリだけ問題がある：そのアプリが独自のプロキシやDNS、固定の直接接続設定を使用していないか確認します。クライアントの「接続」画面で、該当するリクエストと適用されたルールも確認してください。
  • TUNを有効にするとインターネットに接続できない：まずTUNを無効にして通常のネットワーク接続が戻るか確認し、コアのログでルーティング、DNS、サービスのエラーを調べます。DNSとノードを同時に変更しないでください。
  • システムにVPN接続が表示される：「システム設定」→「VPN」で現在の接続を確認し、他のVPNを一時的に切断して再テストします。会社の管理端末では、組織のネットワーク管理ルールに従ってください。
  • 会社のMacで許可できない：拡張機能の設定が管理されている、または管理者認証情報を使えない場合は、端末の管理者に連絡してください。クライアントを再インストールしても、端末管理のポリシーは解除されません。

ターミナルでifconfigを実行すると、utunインターフェースの確認に役立ちます。ただし、utun0やutun1が表示されても、Clashが通信を処理している証明にはなりません。macOS自体や他のアプリが作成している可能性もあります。クライアントのTUNが正常で、ログに関連エラーがなく、対象のリクエストが接続一覧に表示され、実際に通信できることを合わせて確認してください。

終了後にネットワークにつながらない場合や、許可ダイアログが繰り返し表示される場合の復旧手順

クライアントを終了した後にインターネットへ接続できなくなった場合は、設定やキーチェーンをすぐに削除せず、まずネットワーク設定を元に戻してください。停止したポートをブラウザが参照し続けていると、Mac全体がオフラインになったように見えることがあります。

  1. クライアントをまだ開ける場合は、「システムプロキシ」とTUNを無効にしてから、通常の手順で終了します。
  2. 「システム設定」→「ネットワーク」→現在のネットワーク→「詳細」→「プロキシ」を開き、今回のクライアントが設定したプロキシ項目を確認して無効にします。会社のネットワークで元から設定されているプロキシは、記録せずに一括削除しないでください。
  3. 「システム設定」→「VPN」を開き、今回のテストで残った接続がないか確認します。その後、Wi-Fiまたは有線ネットワークに再接続し、通常のWebページを開けるかテストしてください。
  4. クライアントを再起動し、まずシステムプロキシだけを有効にしてテストします。その後、サービスモードとTUNを個別に確認し、どの段階で問題が再発したかを記録してください。

サービスを再インストールする場合は、クライアントに用意されたアンインストール・インストール機能を優先し、システムのバックグラウンドサービスのファイルをむやみに削除しないでください。サポートを求める際は、macOSのバージョン、チップの種類、クライアントの正式名称とバージョン、ダイアログが表示された操作、個人情報を伏せたログを伝えれば十分です。サブスクリプションURL、アクセストークン、ノードのパスワードは公開しないでください。