macOS VPN おすすめ:システム権限・ネットワーク拡張・M シリーズ対応

macOS で VPN を選ぶとき、難しいのは価格ではなくシステム権限です。インストールできても許可が通るとは限らず、許可が通っても M シリーズチップで安定して再接続できるとは限りません。この記事では macOS VPN のおすすめとして「権限・拡張・チップ互換・サブスクリプションの読み込み・分割ルーティング」の順に分解し、各ステップで確認できる結果を示します。読み終えたら、自分の Mac と照らし合わせてそのまま切り分けできます。

対象となるのは2種類の人です。初めて Mac にクライアントを入れる人と、入れたことはあるものの「システム拡張の読み込みがブロックされました」で止まった人、あるいは OS のメジャーアップデート後に突然つながらなくなった人です。

macOS の VPN はどの層で構成されるか

macOS では、1本のトンネルは通常3つの部分から成ります。メニューバーのクライアント UI、トンネルを確立するネットワーク拡張、そしてシステムのネットワークスタックに追加される utun インターフェースと、それに伴って書き換えられるルートと DNS です。UI はリモコンのようなもので、実際に動いているのは拡張のほうです。

macOS で VPN のインストールが普通のアプリより1ステップ多いのはこのためです。クライアントはシステムレベルのコンポーネントを OS に登録し、ユーザーが手動で承認する必要があります。初期の方式はカーネル拡張(kext)で実装されており、読み込むには起動セキュリティを下げる必要がありました。Apple はこの方式をすでに非推奨としており、Apple silicon ではほぼ実行できません。現在の正規クライアントはシステム拡張と NetworkExtension フレームワークを使う方式で、権限モデルはより狭く、読み込み前に署名検証が必須です。

「システム設定 → 一般 → ログイン項目と拡張機能 → ネットワーク拡張」に表示される項目が、トンネル本体です。これがオフになっていてもクライアントの UI は開き、接続もクリックできますが、接続はすぐ失敗するか、ずっと読み込み中のままになります。これが「サービスが落ちた」と誤解されやすい場面です。

インストール後に必ず通る3つの承認

初回インストールとクライアント起動のあと、次の項目を順に確認してください。どれか1つでも欠けると、後から「つながらない」という形で現れます。

• ✅ システム拡張の承認:拡張が「読み込みをブロックされました」と表示されたら、「システム設定 → プライバシーとセキュリティ」の下部で「許可」をクリックし、案内に従ってパスワードを入力するか再起動します。
• ✅ ネットワーク拡張のスイッチ:「ログイン項目と拡張機能 → ネットワーク拡張」でクライアントの項目にチェックを入れます。macOS 13 より前はこのスイッチは「セキュリティとプライバシー → 一般」にありました。
• ✅ ログイン項目とバックグラウンド実行:起動時に自動接続したい場合は、クライアントを「ログイン項目」に追加し、バックグラウンドでの実行を許可します。
• ✅ 初回接続時のネットワーク設定の許可:システムが一度だけ許可ダイアログを出します。ここで拒否すると、以降の接続は毎回失敗します。
• ❌ SIP を無効化しない、起動セキュリティを下げない:正規のクライアントにこの2つは不要です。これを求めてくるクライアントは使うのをやめるべきです。
• ❌ グローバル通信を奪い合うクライアントを2つ同時に起動しない:ルートテーブルが互いに上書きし合い、つながったり切れたりを繰り返して、切り分けがどんどん混乱します。

承認に失敗したときの切り分け順序

「許可」を押したのにつながらない場合は、次の順に進めてください。たいてい5分以内に原因の箇所を特定できます。

1. 本当に再起動が必要か確認する:一部の OS バージョンでは再起動後に拡張が読み込まれます。ダイアログにもその旨が書かれているので、飛ばさないでください。
2. 「ログイン項目と拡張機能 → ネットワーク拡張」を開き、項目がチェック済みか、グレーで選択できない状態かを見ます。グレーの場合は署名検証に通っていないか、OS バージョンが非対応であることが多いです。
3. マシンが構成プロファイルや MDM で管理されていないか確認する:管理対象のデバイスでは、拡張の許可リストが管理者側から配布されるため、個人では承認できません。
4. サードパーティのセキュリティソフトとクリーニングツールを一時的に終了して試す:これらはシステムレベルのコンポーネントの登録処理を妨げます。
5. 完全にアンインストールしてから入れ直す:クライアント内蔵のアンインストール項目を使うか、アプリを削除したうえで拡張の項目も掃除します。アイコンをゴミ箱に捨てるだけでは不十分です。

M シリーズチップの互換要点

Apple silicon に移ってから、互換性の問題はほぼ次の4点に集約されます。順に照合してください。

ネイティブ arm64 と Rosetta 2

Intel 専用版のクライアントは Rosetta 2 の変換で動作しますが、ネットワーク拡張はシステムレベルのコンポーネントであり、変換レイヤー下では登録や復帰の挙動が安定しません。arm64 と x86_64 の両方を提供するユニバーサル版を優先してください。kext しか提供しない古いクライアントは Apple silicon では選択肢から外せます。

スリープ復帰後の再接続

スリープでトンネルは切れます。優れたクライアントは復帰後に自動で再構築します。毎回手動で接続が必要なら、まず「ログイン項目」でバックグラウンド実行が許可されているか、次にクライアント側の「復帰後に自動接続」がオンか確認してください。

電力効率と低電力モード

暗号化と復号は CPU が行うため、長時間トンネルを張ったままにするとバッテリー持ちに目に見える影響が出ます。低電力モードをオンにするとシステムがバックグラウンドの動作を抑えるので、復帰後の再接続が遅くなった場合は、いったんオフにして比較してから、クライアント自体の問題かどうかを判断してください。

OS のバージョン

ネットワーク拡張の承認画面はメジャーバージョン間で場所が移っており、古い OS は新しい拡張 API への対応も不完全です。セキュリティアップデートが提供されているバージョンに保っておくと、「理由もなくつながらない」トラブルの大半を避けられます。

サブスクを macOS クライアントに読み込む方法

macOS のクライアントは大きく2種類あります。ベンダー製のネイティブアプリで、インストール後にログインするかサブスクリプションリンクを貼り付けるもの。もう1つは設定ファイル駆動の汎用クライアントで、ルールを自分で管理する必要があります。どちらもサブスクリプションリンクに対応しており、違いは入口の位置だけです。

1. ユーザーパネルでサブスクリプションリンクをコピーします。行全体をコピーし、途中で切らないこと。他人に転送しないこと。リンク自体が認証情報です。
2. クライアントで「サブスクリプションを追加」または「リンクからインポート」を探し、貼り付けて保存し、一度更新してノード一覧を反映させます。
3. 回線を1つ選んで接続します。初回接続時にはネットワーク設定の許可ダイアログがもう一度出るので、許可を選びます。
4. 本当に通信を引き受けているかは、次の3つのコマンドで確認します。

ifconfig | grep -E "^utun"
scutil --dns | grep nameserver
route -n get default

判定基準:新しい utun インターフェースが現れること。scutil --dns の出力の最初の resolver がトンネル内のアドレスを指していること。route -n get default の interface が utun で始まること。分割ルーティングモードを使っている場合、デフォルトルートが物理 NIC に残ったままでも正常です。その場合は、対象のネットワークが個別にトンネルへルーティングされているかを見ます。

分割ルールと DNS リーク

DNS リークとは、トンネルは確立済みなのに名前解決がローカル ISP を通ってしまうことを指します。問い合わせパケットが物理 NIC から出ていくため、結果が汚染される可能性があり、アクセスの意図がローカルネットワークに露出し、「つながっているのに開けない」が常態化します。確認方法は簡単です。scutil --dns で最初の resolver の nameserver がトンネル内のアドレスかを見る、あるいは2台のデバイスでそれぞれ出口と DNS の帰属を調べて突き合わせます。

分割(ルールモード)は macOS ではより実用的な既定です。よく使うサイトは直接接続、それ以外はトンネル経由となり、速度と互換性の両方が良くなります。グローバルモードは切り分け用に取っておきましょう。「ルールの書き間違いか?」と思ったらグローバルに切り替えて試すと、問題がルール側か回線側かを素早く切り分けられます。

どちらのモードでも、プライベート網は直接接続として通す必要があります。10.0.0.0/8、172.16.0.0/12、192.168.0.0/16 です。そうしないと AirDrop、LAN プリンタ、NAS がまとめて使えなくなり、多くの人が「VPN がネットワークを壊した」と誤解します。

Apple のサービスと共存するための4つの注意点

iCloud プライベートリレー

プライベートリレー自体もプロキシを使うため、VPN と同時に有効にするとプロキシ設定を奪い合い、一部のサイトは開けて一部は永遠に読み込み中のままになります。どちらか一方にするか、VPN 使用中はプライベートリレーをオフにしてください。

IP アドレスのトラッキングを制限

Safari のこの機能は一部のリクエスト経路を書き換えます。「ブラウザだけ開けない」問題を切り分けるときは、まずこれをオフにして比較し、それからトンネルの DNS に問題があるかを判断してください。

ストアとメディアライブラリの地域

App Store や Apple Music の地域はアカウントに従い、出口 IP には従いません。回線を変えてもストアの地域は変わらず、購入済みコンテンツが再認証されることもありません。ここはよく誤解されます。

時刻と証明書

システム時刻がずれていると TLS ハンドシェイクに失敗し、「接続済みと表示されるのに、どのページも開けない」という症状になります。まず「日付と時刻」が自動同期になっているか確認し、それから回線を疑ってください。

回線タイプと用途の対応表

回線を選ぶ前に用途で分けます。3種類の違いは「速いかどうか」ではなく、経路と混雑にあります。

もう1つ経験則を補足します。ビデオ会議は遅延よりもパケットロスに敏感で、ライブ配信はジッタに弱く、大きなファイルのダウンロードは帯域だけを見ます。3つの需要で適した回線は異なり、1本の回線ですべてを賄う必要はありません。地域や都市の具体例は回線ページで用途別に絞り込めます。

VPNAF ではどう選ぶか

VPNAF は 90+ の国・地域、160+ の回線をカバーし、macOS クライアントはシステム拡張方式です。一度承認すれば起動時の自動接続を設定でき、あとは必要なときに回線を切り替えるだけです。

料金は、月額サブスクリプションが3段階です。¥9.9 で 60GB、¥18 で 250GB、¥28 で 500GB。通信量は開通日ごとに毎月リセットされ、途中でアップグレードした場合は残り日数分を差額で精算します。トラフィックパッケージは3段階で、¥158/300GB、¥358/1000GB、¥658/3000GB。使い切るまで有効で、期限はありません。支払いは Alipay、WeChat、USDT に対応し、更新とアップグレードはすべてパネルから行えます。

登録に必要なのはユーザー名とパスワードだけで、メールアドレスは不要です。同一アカウントで台数制限はなく、Mac とスマートフォンを同時にオンラインにできます。購読期間中にご不満があれば、60 日以内であれば理由を問わず返金いただけます。プランとトラフィックパッケージの詳細な対応表は料金プランページにあります。

よくある質問

接続済みと表示されるのに、ブラウザでページが開けない

DNS、システム時刻、分割ルールの3つを順に確認します。すべて除外できたら、別の回線に切り替えて比較すれば、問題がトンネル側か回線側かほぼ特定できます。

起動のたびに手動で接続が必要

クライアントをログイン項目に追加し、「起動時に自動接続」をオンにします。それでも効かない場合は、低電力モードやサードパーティのクリーニングツールがバックグラウンド起動を制限していないか確認してください。

OS のメジャーアップデート後につながらない

アップデートで一部の拡張の承認がリセットされます。「ログイン項目と拡張機能」に戻って一度承認し直せば、たいていは復旧します。クライアントの再インストールは不要です。

Intel Mac はまだ使えるか

使えます。メンテナンスが続いていてユニバーサルバイナリを提供しているクライアントを選べば問題ありません。カーネル拡張しか提供しない古いバージョンは使い続けないほうがよいです。今後の OS アップデートでいつ完全に動かなくなってもおかしくありません。