macOS版Clash Nyanpasuのインストール：ネットワーク拡張とキーチェーンの許可設定

まず4種類の許可リクエストを見分ける

macOSの起動ブロック、管理者認証、ネットワーク拡張の許可、キーチェーンへのアクセスは、それぞれ異なるセキュリティ機能です。トラブル時は、表示されたメッセージ全文、要求元のプロセス名、発生時刻、直前に行った操作を記録してください。すべてのダイアログを「TUNの権限不足」と決めつけたり、パスワードを何度も入力して試したりしないでください。

表示内容・症状	該当する仕組み	まず確認すること
開発元を確認できない／悪意のあるソフトウェアが含まれていないことを確認できない	Gatekeeperによる起動時の確認	入手元、署名、プライバシーとセキュリティの設定
ヘルパーツールのインストール時に管理者パスワードを求められる	特権ヘルパーツールの認証	サービスのインストールまたは修復を自分で実行したか
システム拡張がブロックされた／VPN構成の追加を求められる	拡張機能またはネットワーク構成の許可	要求元が現在のコンポーネントと一致しているか
「ログイン」キーチェーン内の機密情報へのアクセス	キーチェーン項目のアクセス制御	項目名、要求元のアプリ、ログインパスワード

インストール先と「開けない」場合の対処

macOSのバージョンとプロセッサを確認する

Appleメニューから「このMacについて」を開き、macOSのバージョンと「チップ」または「プロセッサ」を確認します。Apple MシリーズはApple Silicon、Intel搭載モデルはx86_64のインストーラーを選択してください。
ダウンロードページでmacOS用のアーキテクチャを選びます。Universal版がある場合も、そのバージョンの最小対応macOSを確認してください。ファイル名だけで互換性を判断しないでください。
ディスクイメージを開き、アプリを「アプリケーション」フォルダにコピーします。イメージ内から起動した旧版を終了し、ディスクイメージを取り出してから「アプリケーション」内のアプリを起動してください。
アップデート前にクライアントを終了します。既存の設定は残し、旧バージョン、選択中のコア、待ち受けポートを記録してください。トラブルシューティングの最初に設定フォルダ全体を削除しないでください。

アプリをダウンロードフォルダやディスクイメージから使い続けると、起動元のパスが変わったり、同じアプリが複数存在したりする原因になります。インストール先を固定し、Finderで「アプリケーション」を開いて、使用するアプリだけを起動してください。アーキテクチャの不一致、macOSのバージョン不足、署名によるブロックは別々の問題です。同じコマンドでまとめて解決しようとしないでください。

システムの案内に従って起動を許可する

macOS 13 Ventura、14 Sonoma、15 Sequoiaでは、Appleメニューから「システム設定」→「プライバシーとセキュリティ」を開き、安全に関する通知を確認できます。まずアプリを一度起動し、その後、画面下部にアプリのブロック履歴が表示されているか確認してください。入手元とアプリ名を確認したうえで「このまま開く」が表示される場合は、案内に従って本人確認を行い、再度起動します。macOS 15では、一部の未署名・未公証アプリの扱いがより厳しくなっています。Finderの右クリックから「開く」を選ぶ方法が常に使えるわけではありません。

「開発元を確認できません」と表示される場合：ダウンロード元とリリース情報を確認し、システムが用意する例外設定を利用するか判断してください。
「アプリが破損している」と表示される場合：旧版を終了し、アーキテクチャに合ったインストーラーをダウンロードし直して、「アプリケーション」フォルダにコピーし直してください。この通知はダウンロードの中断だけでなく、署名やアプリの内容の変更に関係することもあります。
「コンピュータに損害を与える」または「マルウェアが含まれている」と表示される場合：起動せず、リリース情報を確認してください。隔離属性を削除して無理に実行しないでください。
管理対象デバイスで許可ボタンが表示されない場合：組織の管理者に連絡し、デバイス管理ポリシーを確認してください。システムのセキュリティ設定を変更しないでください。

署名に関する情報を開発者に伝える必要がある場合は、ターミナルで次の読み取り専用コマンドを実行できます。以下のパスは、アプリが同じ名前で「アプリケーション」フォルダにインストールされている場合のものです。名前が異なる場合は、先にFinderで実際のパスを確認してください。

sw_vers
uname -m
codesign --verify --deep --strict --verbose=2 "/Applications/Clash Nyanpasu.app"
spctl --assess --type execute --verbose=4 "/Applications/Clash Nyanpasu.app"

uname -mは、Apple Silicon上のネイティブ環境では通常arm64を返します。IntelまたはRosettaの変換環境ではx86_64を返す場合があるため、アーキテクチャは「このMacについて」で確認してください。署名の確認結果はトラブルシューティングの手がかりであり、アプリの動作全体を検証するものではありません。クライアントをインストールするためにGatekeeperやシステム整合性保護を無効にしないでください。

まずシステムプロキシを確認し、その後サービスとTUNを有効にする

最小構成で動作を確認する

初回起動時は、利用可能なClash YAML設定を読み込み、設定が選択されていることとコアが正常に起動していることを確認してから、通常のシステムプロキシをテストします。クライアントの画面構成はバージョンによって異なるため、以下では「システムプロキシ」「サービスモード」「TUNモード」の機能名を目印にします。すべてのバージョンで同じメニュー階層とは限りません。

プロファイル画面で使用する設定を選択し、コアのログにYAMLの解析エラーやポート競合がないか確認してください。
実際に使用するHTTPまたはmixedポートを記録します。設定にmixed-port: 7890とある場合に限り、127.0.0.1:7890を使います。7890がすべてのインストールで共通とは限りません。
システムプロキシを有効にし、ブラウザーで接続を確認します。この段階ではTUNを無効のままにして、通信経路、ルーティング、DNSを同時に変更しないようにしてください。
通常のプロキシが動作することを確認してから、アプリがシステムプロキシ設定に従うかどうかに応じてTUNを有効にするか判断します。

# mixed-port が実際に 7890 の設定でのみ使用
lsof -nP -iTCP:7890 -sTCP:LISTEN
scutil --proxy

lsofはポートを待ち受けているプロセスの確認に使い、scutil --proxyは現在のシステムプロキシ設定の確認に使います。ポートが待ち受け状態でも、ルール、リモートノード、DNSが使えるとは限りません。ログにaddress already in useと表示された場合は、まずポートを使用しているプロセスを特定し、重複起動したクライアントを終了するかポートを変更してください。名前の似たプロセスをまとめて終了しないでください。

管理者パスワードは必要なサービス操作にだけ使う

TUNの作成やルートの変更には、特権サービスが必要になる場合があります。使用中のバージョンにサービスのインストールまたは修復機能がある場合は、クライアントから明示的に実行し、パスワード入力画面に表示されたアプリ名またはヘルパーツール名を確認してください。通常の管理者認証と、その後に表示されるキーチェーンのアクセス許可は別のものです。前者は特権操作を許可し、後者は特定の機密情報の読み取りを許可します。

管理者権限のあるアカウントでサービスをインストールしてください。標準アカウントの場合は管理者に依頼します。
アップデート後にサービスとクライアントのバージョンが一致しない場合は、現在のバージョンに用意された管理機能からサービスを修復してから、クライアントを再起動してください。
バックグラウンド項目が無効になったという通知が表示された場合、macOS 13・14では「システム設定」→「一般」→「ログイン項目」、macOS 15では「一般」→「ログイン項目と機能拡張」を確認してください。入手元を確認できた関連項目だけを許可します。
サービスのインストールに失敗した場合は、エラーメッセージ全文を保存してください。アプリフォルダ全体のアクセス権を再帰的に変更したり、通常のサービスインストールの代わりにsudoでGUIクライアントを常時起動したりしないでください。

ネットワーク拡張とVPN構成の許可範囲

システム拡張、ネットワーク拡張、VPN構成について明記された通知が表示された場合に限り、このセクションを確認してください。他のVPNアプリ、セキュリティソフト、通信フィルターでも同様の通知が表示されることがあります。要求元を確認し、Clash Nyanpasuをインストール中だからといって、同時に表示されたネットワーク関連の通知をすべて同アプリのものと判断しないでください。

システム・通知	確認する場所	対処の原則
macOS 13／14で拡張機能がブロックされた場合	システム設定 → プライバシーとセキュリティ	ブロック履歴から開発元とコンポーネントを確認し、該当する許可項目がある場合に限り許可する
macOS 15で拡張機能を管理する	システム設定 → 一般 → ログイン項目と機能拡張 → ネットワーク機能拡張	実際に表示されているコンポーネントを確認し、必要に応じて該当カテゴリの詳細ボタンを開く
VPNまたはフィルター構成	システム設定 → ネットワーク → VPNとフィルター	関連付けられているアプリを確認する。表示される項目はmacOSのバージョンやインストール済みコンポーネントによって異なる

拡張機能を許可した後に再起動が必要かどうかは、システムの案内に従ってください。TUNが有効なのにネットワーク拡張の項目が見つからなくても、それだけでインストール失敗とは判断できません。コアがTUNインターフェースを作成できたか、ルートが更新されたか、DNSのログにエラーがないか確認してください。逆に、拡張機能を許可しても、サブスクリプション内のノードに接続できるとは限りません。

キーチェーンの確認が繰り返し表示される場合の手順

要求元と項目を確認する

キーチェーンのダイアログには、「ログイン」キーチェーン内の機密情報へのアクセスを求めているアプリ名が通常表示されます。アプリ名と項目名を記録してください。サブスクリプションの認証情報、プロキシ認証情報、他のVPNに保存されたパスワードなどが、ネットワーク操作と同時に要求されることもあります。表示されたタイミングが同じだからといって、Clash Nyanpasu本体からの要求とは限りません。ログインや認証情報の読み取りを伴わない操作中に表示された場合は、まず拒否し、要求元を確認してください。

「許可」は通常、今回のアクセスだけを許可します。「常に許可」はその項目へのアクセス許可を保存するためのものですが、実際の動作は項目のアクセス制御やアプリの識別情報によって異なります。ダイアログを消すためだけに、すべての項目へのアクセスを許可しないでください。アプリの更新、署名の変更、別のコピーからの起動により、保存済みの許可が適用されなくなることがあります。

「ログイン」キーチェーンの状態を確認する

Spotlightで「キーチェーンアクセス」を検索して開きます。macOS 15には「パスワード」アプリもありますが、キーチェーン項目のアクセス制御は「キーチェーンアクセス」で確認してください。
「ログイン」キーチェーンを選択し、ロックが解除されているか確認します。パスワード入力欄に求められているのはキーチェーンのパスワードです。サブスクリプションのパスワードやApple Accountのパスワードではありません。
最近、管理者がローカルアカウントのパスワードをリセットした場合、古い「ログイン」キーチェーンには以前のパスワードが設定されたままのことがあります。古いパスワードが分かる場合は、キーチェーンアクセスのパスワード変更機能を使い、現在のログインパスワードに更新してください。
ダイアログに表示された正確な項目名で検索し、項目情報を開きます。「アクセス制御」タブがある場合は、アクセスを許可されているアプリが現在インストールされているコピーを指しているか確認してください。
別の場所にあるコピーを終了し、「アプリケーション」フォルダから起動して、元の操作をもう一度行います。アクセス要求が再び表示されるか確認してください。

古いキーチェーンのパスワードが分からない場合、アカウントのパスワードを何度も試さないでください。デフォルトキーチェーンをリセットすると新しいキーチェーンが作成されますが、古い項目が自動的に復号されるわけではありません。保存していたパスワード、証明書、その他の認証情報を再入力する必要が生じる場合があります。事前にバックアップと復元方法を確認してください。会社の証明書やデバイス管理用のIDが関係する場合は、管理者に相談してください。

項目をまとめて削除しない

ダイアログが繰り返し表示される原因として、アプリがアクセス許可を保存できていない、「ログイン」キーチェーンが定期的にロックされる、要求元のパスが毎回異なる、といった可能性もあります。まず現在起動しているアプリの場所と項目のアクセス制御を確認してください。そのうえで、問題との関連が明確で再取得できる認証情報に限り、再作成を検討します。「proxy」や「VPN」を含む項目を見つけても一括削除せず、キーチェーンのフォルダ全体も移動しないでください。

スクリーンショットを共有する場合は、項目に含まれるアカウント名、サーバーアドレス、トークンを隠してください。項目のパスワードは表示しないでください。通常の調査に必要なのは、要求元のアプリ、項目名、エラーメッセージです。サブスクリプションURLを公開する必要はありません。

許可設定後の動作確認とトラブル時の切り戻し

「アプリの起動 → コアの動作 → 通常のプロキシ → サービス → TUN」の順に段階ごとに確認します。変更は一度に一項目だけ行い、前後の結果を記録してください。以下の確認は実際の設定を基準にしており、画面上のスイッチの色には依存しません。

起動：「アプリケーション」フォルダから起動でき、終了後に再度開いても同じ起動ブロックが繰り返し表示されない。
コア：ログに設定の解析エラー、ポートの競合、継続的な終了と再起動がない。
システムプロキシ：scutil --proxyで確認できる有効状態、アドレス、ポートがクライアントの記録と一致している。
TUN：仮想インターフェースの作成成功がログに記録されている。インターフェース名にutunが使われることがありますが、他のシステムサービスも同種のインターフェースを作成するため、utunが存在するだけでは成功と判断できません。
認証情報：同じサブスクリプション更新または認証操作を再度行っても、要求元が不明なキーチェーンの確認が繰り返し表示されない。

TUNを有効にしてネットワークに接続できなくなった場合は、まずクライアントでTUNを無効にし、次にシステムプロキシをオフにして、通常のネットワーク接続が戻るか確認してください。状態を確認しないままWi-Fiを何度も切り替えないでください。アプリが異常終了した場合は、「システム設定」→「ネットワーク」→使用中のネットワークサービス→「詳細」→「プロキシ」を開き、ローカルポートを指す設定が残っていないか確認します。今回クライアントが追加した設定だけを解除し、既存の企業プロキシ設定は残してください。

不具合を報告する際は、macOSの正確なバージョン、チップのアーキテクチャ、クライアントとコアのバージョン、インストール先、再現手順、同じ時間帯のログを添えてください。ログに含まれるサブスクリプションURL、アクセストークン、認証パスワード、個人のドメイン名は、事前に伏せてください。設定項目の意味はYAML設定ガイドで確認できます。設定を初めて作成する場合はクイックスタートをご覧ください。