インストール前に確認：クライアント、コア、macOSの権限

Macで「Clash インストール」と検索すると、さまざまなプロジェクトのインストーラーが見つかります。Clash for WindowsにはmacOS版もありましたが、現在は開発が終了しています。ClashまたはClash Meta（mihomo）コアを使う他のクライアントは、同じ手順で権限を許可するとは限りません。画面が似ていても、必要なネットワーク拡張やバックグラウンドサービスが同じとは限りません。

まず、Macのプロセッサ、macOSのバージョン、クライアントのプロジェクト名とバージョンを確認します。Appleメニューから「このMacについて」を開き、チップまたはプロセッサを確認してください。「ターミナル」で次の読み取り専用コマンドを実行する方法もあります。

sw_vers -productVersion
uname -m

arm64は通常Appleシリコン環境、x86_64はIntel環境を示します。Rosettaで変換されたターミナルでは、出力に変換後の環境が反映される場合があるため、ダウンロードするアーキテクチャは「このMacについて」で確認してください。Appleシリコン搭載MacではARM64、Intel Macではx64のインストーラーを選びます。Universal版には通常、両方のアーキテクチャが含まれています。

  • アプリの起動許可：Gatekeeperがダウンロード元、署名、公証などを確認します。ここで扱うのは「アプリを起動できるか」です。
  • ネットワーク拡張またはVPNの許可：一部クライアントが通信を制御するために使います。「ネットワークトンネルを確立できるか」に関する許可です。
  • ヘルパーツールまたはサービスモード：高い権限が必要なバックグラウンドコンポーネントをインストールするためのものです。ネットワーク拡張とは別の仕組みです。
  • キーチェーンへのアクセス：パスワード、トークンなどの保護された項目を読み取るための許可です。ネットワーク接続の許可とは関係ありません。

初回インストール：アプリケーションフォルダに移してから起動する

決まった場所にインストールし、ディスクイメージからの起動を繰り返さない

  1. プロジェクトの公式リリースまたは当サイトのインストーラーページから、OSとアーキテクチャに合ったバージョンを選びます。そのバージョンで必要なmacOSの最低要件も確認してください。
  2. DMGを開き、アプリを「アプリケーション」フォルダにドラッグします。ZIPの場合は解凍してから、.appアプリを丸ごと移動してください。
  3. インストール用ディスクイメージを取り出し、Finderの「アプリケーション」からクライアントを起動します。
  4. 初回起動時はTUNを有効にせず、設定をインポートしてから通常のプロキシ接続を確認します。

インストール先を固定すると、アップデート、ヘルパーサービスの登録、アプリの識別に伴うトラブルを減らせます。ダウンロードフォルダ内のコピーと「アプリケーション」内のコピーを同時に起動しないでください。メニューバーに同じアイコンが2つ表示された場合は、両方を終了してから、最終的なインストール先にあるアプリを起動し直します。

「開発元を検証できません」と「アプリが破損しています」は別の警告

macOS 13 Ventura、macOS 14 Sonoma、macOS 15 Sequoiaで起動がブロックされた場合は、「システム設定」→「プライバシーとセキュリティ」を開き、画面下部のセキュリティに関する通知を確認します。入手元を確認でき、システムに該当する選択肢が表示されている場合に限り、「このまま開く」を選び、画面の指示に従って認証してください。ボタン名や利用できる操作はmacOSのバージョンによって異なります。

「悪質なソフトウェアが含まれているか確認できません」「開発元を検証できません」「アプリが破損しています」は、それぞれ異なる検査結果を示します。悪質なソフトウェアが含まれている、またはコンピュータに損害を与える可能性があると明示された場合は、起動せず、入手元とプロジェクトのお知らせを確認してください。通常の許可手順で解決しようとしないでください。新しいmacOSでは、古い解説にある右クリックからの回避方法が使えない場合もあります。

ネットワーク拡張、VPN、バックグラウンドサービスの許可方法

設定をインポートしたら、まずクライアントの設定で通信制御方式を確認します。「システムプロキシ」だけを有効にすると、通常はmacOSのHTTP、HTTPS、またはSOCKSプロキシをローカルポートに向けます。この設定を利用するアプリだけがプロキシ経由で通信します。TUNに切り替えると、クライアントによってはVPN構成の追加、ネットワーク拡張の有効化、サービスモード用ヘルパーツールのインストールを求められます。

表示される警告 通常必要となる操作 確認すること
VPN構成の追加を許可 システム管理のトンネル構成を作成します。 起動直後のクライアントからの要求か、表示名が想定どおりかを確認します。
システム拡張がブロックされました クライアントが申請した拡張機能の読み込みを許可します。 表示された開発元またはチーム名が配布元と一致するかを確認します。
ヘルパーツールのインストールに管理者認証が必要 特権バックグラウンドサービスを登録または更新します。 サービスのインストールや該当モードの有効化を、直前に自分で操作したかを確認します。
キーチェーン内の項目へのアクセスを許可 保護された認証情報やキーを読み取ります。 要求元のアプリ、項目名、現在の操作に関連性があるかを確認します。

macOS 15で拡張機能を確認する場所

macOS 15 Sequoiaでは、「システム設定」→「一般」→「ログイン項目と機能拡張」→「ネットワーク機能拡張」を開き、該当クライアントの有効化が許可されているか確認できます。VPN構成は「システム設定」→「VPN」から確認してください。バージョンによっては「ネットワーク」関連の画面から開ける場合もあります。アイコンから推測せず、システムに表示された構成名を確認してください。

macOS 13・14でシステム拡張の許可を求められた場合

macOS 13・14で「プライバシーとセキュリティ」からシステムソフトウェアの許可を求められた場合は、有効化を試した直後に該当ページを確認します。項目が表示されない場合は、クライアントに戻って有効化の操作が実行されたか、ネットワーク拡張を使う実装かを確認してください。拡張機能の項目が見当たらなくても、インストールに失敗したとは限りません。

システムの指示に従って認証したら、クライアントに戻って再接続します。再起動を求められた場合にのみ再起動してください。起動セキュリティの引き下げ、SIPの無効化、旧式のカーネル拡張のインストールを求める解説を見つけたら、操作を中断してください。現在のネットワーク拡張とカーネル拡張は別の仕組みです。通常のプロキシ設定のために、Mac全体のセキュリティ設定を変更する必要はありません。

キーチェーンの警告が繰り返し表示される場合の確認方法

「アプリがログインキーチェーンを使おうとしています」と「アプリがキーチェーンに保存された項目にアクセスしようとしています」では、確認すべき点が異なります。前者はキーチェーンのロックやパスワードの同期、後者は項目ごとのアクセス制御が関係していることがあります。警告に表示される項目は、クライアントが保存した認証情報のほか、システムプロキシの認証情報や関連アプリのものかもしれません。内容を確認せずに「常に許可」を選ばないでください。

アプリ名、項目名、パスワードの種類を確認する

  1. 警告に表示された要求元のアプリと対象項目の名前を記録し、直前に設定のインポート、接続、アップデートを行ったか確認します。
  2. 要求元がインストール済みのクライアント、または既知のヘルパーコンポーネントか確認します。パスや名前に不審な点があれば、いったんキャンセルしてください。
  3. 「ログイン」キーチェーンのロック解除を求められた場合は、そのキーチェーンのパスワードを入力します。通常は現在のmacOSログインパスワードと同じですが、必ずしもそうとは限りません。
  4. 一度許可した後も警告が繰り返されるか確認し、複数のアプリのコピーや古いバックグラウンドプロセスが残っていないか調べます。

管理者認証のパスワード、サブスクリプションサイトのパスワード、キーチェーンのパスワードは別のものです。特に、復旧方法でMacのログインパスワードを変更した場合、古い「ログイン」キーチェーンには変更前のパスワードが設定されたままのことがあります。新しいログインパスワードを繰り返し入力しても、古いキーチェーンのロックは解除されません。

キーチェーンアクセスで確認し、キーチェーン全体は削除しない

Spotlightで「キーチェーンアクセス」を検索し、「ログイン」キーチェーンを選択して、警告に表示された項目名を検索します。macOS 15の「パスワード」アプリはパスワードやパスキーの管理用です。キーチェーンアクセスの項目やアクセス制御をすべて置き換えるものではありません。

  • アップデート後に警告が出る：アプリの署名IDやアクセス制御が変わった可能性があります。まず元のプロジェクトから更新したことを確認し、必要に応じて再度許可します。
  • アプリを移動した後に警告が出る：古いコピーが動作していないか確認します。終了後、「アプリケーション」フォルダ内のバージョンだけを起動してください。
  • 起動のたびにロック解除を求められる：ログインキーチェーンがロックされていないか、スリープ時や一定時間操作がない場合にロックする設定になっていないか確認します。
  • 特定の項目だけ繰り返し要求される：まず、その項目の「アクセス制御」を確認します。すべてのアプリからのアクセスを許可する設定に変更しないでください。

対象の項目がクライアントによって作成されたこと、認証情報を再取得できることを確認した場合に限り、その項目だけを削除し、再ログインまたは再インポートする方法を検討してください。デフォルトキーチェーンをリセットすると、Macに保存された他の認証情報にも影響します。古いパスワードが分からない場合は、Appleの復旧手順を確認して影響を把握してから判断してください。Clashのインストールで通常行う手順ではありません。

「アプリが破損しているため開けません」と表示されたら、入手元と署名を確認

この警告は、ダウンロード時にファイルが破損したことだけを意味するとは限りません。署名の失効、アプリ内容の変更、パッケージ方法、システムによるセキュリティ評価が原因の場合もあります。まずアプリを終了し、確認済みの配布元から同じアーキテクチャのインストーラーを再ダウンロードします。解凍して「アプリケーション」フォルダに入れてから、もう一度起動してください。見知らぬサイトが配布する「修正版」で既存のインストール先を上書きしないでください。

読み取り専用コマンドで情報を確認する

次のコマンドでアプリの署名とGatekeeperの評価結果を確認できます。アプリは変更されません。コマンドの前半を入力した後、Finderからクライアントアプリをターミナルにドラッグすると、実際のパスが入力されます。コマンドは1つずつ実行してください。この説明文をコマンドと一緒にターミナルへ貼り付けないでください。

codesign --verify --deep --strict --verbose=2
spctl --assess --type execute --verbose=4
xattr -l

各コマンドの末尾に半角スペースを入力してから、確認する.appをドラッグしてください。codesignは署名の整合性を確認し、spctlはシステムの実行ポリシーによる評価結果を表示します。xattr -lは拡張属性を一覧表示します。署名の検証に成功しても、それだけでソフトウェアの入手元が信頼できるとは判断できません。開発元と配布元も確認してください。

隔離属性の削除を万能な修復方法にしない

com.apple.quarantineは、ダウンロードしたファイルによく付与される隔離属性です。存在するだけで問題があるわけではありません。拡張属性を再帰的に削除したり、Gatekeeperをシステム全体で無効にしたりすると、従来の検査手順が変わる一方で、失効した署名、ファイルの欠落、実行環境の非互換性は解決できません。

元のプロジェクトが特定バージョンの配布上の問題を明示している場合は、そのバージョンのドキュメントに従い、操作対象を確認済みのアプリに限定してください。署名リソースの変更やファイルの欠落が報告された場合は、再ダウンロードするか、サポート対象のバージョンに切り替えてください。不明な修復スクリプトを繰り返し実行するより、エラーの全文、macOSのバージョン、プロセッサのアーキテクチャをプロジェクトの開発者に伝えるほうが原因の特定に役立ちます。

許可後の確認：システムプロキシとTUNを段階的にテスト

権限が許可されたのは、該当する操作が認められたということだけです。サブスクリプション、ノード、DNSが正常とは限りません。まずクライアントで構成を選択し、読み込みが完了したことを確認してから、利用可能なポリシーを選びます。以下ではポート7890を例にします。実際のポート番号は、クライアントのHTTPまたはmixedリスニングポートを確認してください。デフォルト値はクライアントによって異なります。

  1. まずTUNをオフにして、システムプロキシだけを有効にします。macOS 13～15では、「システム設定」→「ネットワーク」→現在の接続→「詳細」→「プロキシ」を開き、有効な項目、アドレス、ポートを確認してください。
  2. ローカルプロキシのアドレスは通常127.0.0.1です。ポートがクライアントの設定と一致していることを確認し、終了した古いクライアントのポートを参照していないかも確認してください。
  3. 次の明示的なプロキシリクエストを実行し、ローカルHTTPプロキシの接続を確認します。この方法は、ターミナルがシステムプロキシ設定を参照するかどうかに左右されません。
  4. 通常のプロキシ接続が確認できたら、必要に応じてTUNを有効にし、クライアントのログとシステムのVPN状態を確認します。設定は一度に1つだけ変更してください。
scutil --proxy
lsof -nP -iTCP:7890 -sTCP:LISTEN
curl -I --max-time 15 --proxy http://127.0.0.1:7890 https://example.com/

scutil --proxyはシステムプロキシの状態を表示します。lsofは例示したポートをリッスンしているプロセスの確認に使います。curlには15秒のタイムアウトを設定しています。HTTPレスポンスが返れば、そのリクエストに対してサーバーから応答があったことを示しますが、すべてのアプリやTUN経由のルーティングが正常とは限りません。接続拒否の場合は、まずリッスンアドレスとポートを確認します。タイムアウトする場合は、ログも確認しながらノード、ルーティング、DNSを調べてください。

システムプロキシは正常でTUNだけ失敗する場合は、拡張機能、ヘルパーサービス、他のVPNとの競合を優先して確認します。両方とも失敗する場合は、まず構成とノードを確認してください。すべての通信を制御するVPNやTUNクライアントを2つ同時に有効にしないでください。ルーティングやDNSが互いに上書きされ、「許可したのにインターネットにつながらない」ように見える場合があります。

よくある質問：一時的に許可しなくてもよい権限

ブラウザーでプロキシを使うだけなら、ネットワーク拡張を有効にする必要がありますか？

通常は必要ありません。クライアントがローカルHTTPまたはSOCKSプロキシを提供していれば、ブラウザーからシステム設定またはブラウザー独自のプロキシ設定を使って接続できます。システムプロキシはすべてのアプリの通信を制御するものではありませんが、それを理由に自動的にTUNへ切り替える必要もありません。実際に必要な範囲に合わせて選択してください。

インストール後にフルディスクアクセスを求められたら、すぐ有効にすべきですか？

通常のプロキシ接続にフルディスクアクセスは必要ありません。まず使用中のクライアントのドキュメントを確認し、どの機能にその権限が必要なのかを調べてください。ネットワーク拡張の許可、管理者認証、フルディスクアクセスはそれぞれ別の権限です。フルディスクアクセスを有効にして、前の2つの代わりにすることはできません。

アップデート後に管理者パスワードやキーチェーンの許可を再び求められるのは正常ですか？

ヘルパーサービスの更新時に、再度管理者認証が必要になることがあります。アプリの識別情報が変わると、キーチェーンの確認が表示される場合もあります。更新を自分で実行した直後か、要求元のアプリ名と入手元が一致しているかを確認してください。更新していないのに警告が繰り返し表示される場合は、続けて許可せず、いったんキャンセルしてバックグラウンドプロセスを調べてください。

許可ボタンが見つからない場合、macOSを再インストールする必要がありますか？

まずmacOSのバージョン、クライアントが採用する通信制御方式、組織による管理制限を確認してください。ネットワーク拡張を使う実装でのみ、該当する拡張機能の項目が表示されます。ヘルパーサービスを使うクライアントでは、サービスの状態を確認してください。具体的なエラーを保存し、プロジェクトのドキュメントに沿って調べれば、通常はOSの再インストールから始める必要はありません。