macOS版Clashクライアント権限完全解説:ネットワーク拡張の許可とキーチェーンダイアログ対応

なぜmacOSでは複数の許可ウィンドウが連続して表示されるのか

Windowsでネットワークツールをインストールする場合、通常は「ネットワークアクセスを許可」というプロンプトが一度表示されるだけですが、macOSではClashクライアント(ClashX Meta、Clash Verge Rev、あるいはその他のmihomoカーネルを採用したクライアントを問わず)を初めて起動すると、ネットワーク拡張の許可、キーチェーンアクセスの許可、さらに一部のクライアントではアクセシビリティ権限のリクエストまで、3種類のウィンドウが連続して表示されることがよくあります。これはクライアント自体の問題ではなく、macOSがCatalinaから段階的に強化してきたシステムレベルのセキュリティ機構が働いているためです。

Clash系クライアントがシステム全体の通信を制御するには、主に2つの技術的アプローチがあります。1つはシステムのプロキシ設定(HTTP/HTTPS/SOCKSプロキシ項目)を書き換える方法、もう1つはTUNモードによって仮想ネットワークアダプタを作成し、ネットワーク層で送信されるすべてのトラフィックを横取りして転送する方法です。TUNモードはカバー範囲が広く、UDPやプロキシ非対応アプリケーションの通信も処理できるため、現在の主流クライアントではデフォルトで有効化が推奨されています。macOSでは、仮想ネットワークアダプタの作成はシステムが提供するNetworkExtensionフレームワークを通じて行う必要があり、Appleはこのフレームワークを呼び出すすべてのプログラムに対してユーザーの明示的な許可を求めています。これがネットワーク拡張ダイアログの発生源です。一方、キーチェーンダイアログは、クライアントがローカル証明書を書き込んだり、サブスクリプションのパスワードを保存したり、システムの低レベルネットワークインターフェースを呼び出そうとした際に、そのアクセスが信頼できるかどうかをシステムが確認する場面で表示されます。この2種類のダイアログがそれぞれ何のために表示されているかを理解しておくことで、見かけたら反射的に閉じてしまうのではなく、的確に許可の判断を下せるようになります。

ネットワーク拡張の許可ダイアログ:表示タイミングと正しい対応方法

クライアント上で初めてTUNモード(一部のクライアントでは「仮想ネットワークアダプタ」「拡張モード」「システムプロキシ強化」などと表示されることもあります)を有効にしようとすると、macOSは「"Clash Verge"がコンテンツフィルタを追加しようとしています」や「システム拡張がブロックされました」といったタイトルのウィンドウを表示します。このウィンドウへの対応は次の2パターンに分かれます。

1. 直接確認ダイアログが表示される場合:「許可」と「許可しない」の2つのボタンが表示され、「許可」をクリックすればシステムが裏で拡張の読み込みを完了します。通常は数秒でクライアント画面上のTUNスイッチが正常にオンの状態に切り替わります。
2. 「システム拡張がブロックされました。システム設定で有効にしてください」と表示される場合:こちらのケースの方が多く、特にmacOS Venturaおよびそれ以降のバージョンで見られます。ウィンドウには直接許可できるボタンはなく、システム設定を開いて手動で確認作業を行う必要があります。

2つ目のケースに当たった場合の操作手順は次のとおりです。「システム設定」→「プライバシーとセキュリティ」を開き、ページの下寄りにある「セキュリティ」セクションを確認します。拡張がブロックされている場合はここに、どのアプリのシステム拡張がブロックされたかを示すメッセージが表示されます。横にある「許可」ボタンをクリックすると、ログインパスワードの入力またはTouch IDでの確認が求められます。確認後、クライアントに戻ってTUNスイッチを再度オンにすれば有効になります。一部の機種ではこのメッセージが短時間しか表示されず、対応が遅れてシステム設定の別の操作で隠れてしまうことがありますが、その場合はクライアントを一度終了して再起動すれば、通常は再びメッセージが表示されます。

キーチェーンアクセスダイアログ:各選択肢が意味するもの

キーチェーンダイアログの標準的な文言は「"キーチェーンアクセス"がキーチェーンに保存されている機密情報を使用しようとしています」というもので、下部にはアプリ名が表示され、さらに「拒否」「常に許可」「許可」という3つのボタンが並びます。これら3つのボタンの違いは見落とされがちです。

• 許可:今回のアクセスに対してのみ有効で、次回クライアントを再起動したり再度キーチェーンを呼び出したりすると、再びダイアログが表示されます。毎回の呼び出しを都度確認したい場合には向いていますが、日常的な使用では煩わしく感じられます。
• 常に許可:一度許可すれば、そのアプリが以降このキーチェーン項目にアクセスするたびにダイアログは表示されなくなります。日常使いにはこちらの選択が推奨されます。
• 拒否:今回のアクセスをブロックします。クライアントで証明書の読み込みに失敗したり、サブスクリプションのパスワードを保存できなかったり、システムプロキシの書き込みが不完全になったりする問題が起こる可能性があります。

誤って「拒否」を選んでクライアントの動作がおかしくなった場合、アプリを再インストールする必要はありません。「Finder」の「アプリケーション」フォルダ内「ユーティリティ」→「キーチェーンアクセス」を開き、検索欄にクライアント名を入力して該当するキーチェーン項目を見つけます。右クリックで「情報を見る」を選び、「アクセス制御」タブでそのアプリを許可リストに手動で追加し直すか、あるいはそのキーチェーン項目を削除してからクライアントを再起動し、許可プロセスを最初からやり直すことができます。

アクセシビリティとバックグラウンド動作に関するその他の権限

一部のクライアント(特にグローバルショートカット、画面オーバーレイ、自動化スクリプト機能を備えたバージョン)では、キーボードイベントの監視や他のアプリウィンドウの制御のために「アクセシビリティ」権限もリクエストされます。この権限はすべてのクライアントで必要になるわけではないため、該当する機能が見当たらないのにアクセシビリティ権限を求められた場合は、まずバージョンの入手元が正しいかを確認したうえで許可するかどうかを判断してください。許可の手順は「システム設定」→「プライバシーとセキュリティ」→「アクセシビリティ」を開き、一覧からクライアント名を見つけてスイッチをオンにします。同じセクションの下には「フルディスクアクセス」という項目もあり、これは主にクライアントが独自の設定ディレクトリを読み書きする際に使われます。設定ファイルをシステムのデフォルト以外の場所(たとえば「書類」や「ダウンロード」フォルダなど)に置いている場合、読み込みに失敗したらこの項目も併せて確認してください。

許可に失敗した場合のシステム設定での手動復旧手順

上記の手順を試してもTUNモードが有効にならない、あるいはクライアントが「ネットワーク拡張のインストールに失敗しました」と表示する場合は、次の順序で確認してください。

1. 「システム設定」→「プライバシーとセキュリティ」→「VPNとデバイス管理」(システムのバージョンによっては「ネットワーク」設定のサブページにまとめて表示される場合もあります)を開き、対応するクライアントのネットワーク拡張の項目が存在し、状態が「有効」と表示されていることを確認します。項目はあるものの状態が異常な場合は、いったん削除してから再度インストールを実行してください。
2. macOSのシステムバージョンが、クライアントのリリースノートに記載された最低対応バージョンを下回っていないことを確認します。古いシステムバージョンでは新しいNetworkExtension APIへの対応が不完全であることが多く、拡張の読み込み失敗の一般的な原因になります。
3. 他のネットワーク系ツール(別のプロキシクライアントやネット利用管理ソフトなど)を同時にインストールしていないか確認してください。複数の仮想ネットワークアダプタ拡張が競合することがあるため、使わなくなった古い拡張項目はシステム設定から削除しておくとよいでしょう。
4. 上記すべてを確認しても有効にならない場合は、いったんシステムプロキシモードに戻して使用可能な状態を確保し、クライアントの今後のアップデートで互換性が改善されるのを待ってください。

また、クライアントを起動した際に「開発元を確認できないため開けません」というメッセージが表示された場合、これはネットワーク拡張の許可とは別の問題です。対処方法は「システム設定」→「プライバシーとセキュリティ」を開き、「セキュリティ」セクションまで下にスクロールして、先ほどブロックされたアプリ名を見つけ、「このまま開く」をクリックします。表示される確認ダイアログでパスワードを入力すれば正常に起動できます。この手順は通常、初回起動時に一度だけ発生します。

よくある質問

「許可」を選択したのに、TUNスイッチが自動的にオフに戻ってしまう場合はどうすればよいですか?

多くの場合、ネットワーク拡張が実際には正しく読み込まれていないことが原因です。まず「VPNとデバイス管理」で拡張の状態を確認し、状態が異常であれば削除してからクライアントを再起動して許可プロセスをやり直し、再度オンにしてみてください。

すべての許可作業が完了した後、パソコンを再起動する必要はありますか?

ほとんどの場合は不要です。一部のシステムバージョンでは、ネットワーク拡張のインストール完了後に現在のユーザーアカウントで再ログインしないと拡張が完全に有効化されないことがあります。クライアントを再起動しても有効にならない場合は、いったんログアウトして再ログインしてから試してみてください。

起動するたびに許可の確認を求められるのは正常な動作ですか?

正常ではありません。通常、許可は一度行えば済みます。何度も再許可を求められる場合は、アプリの署名やインストールパスが変化したことが原因であることが多いため、クライアントの入手元が一貫しているかを確認し、同名のクライアントが複数インストールされていて互いに干渉していないかもチェックすることをおすすめします。