Mac在首次启用客户端时出现添加VPN配置的系统提示，应先核对发起请求的应用，而不是急着反复点击允许。授权让应用按系统规则管理网络配置；它本身并不说明远端Peer已经可达。
网络扩展在连接过程中做什么
Network Extension是Apple提供的网络功能框架。使用包隧道扩展的应用可以与系统协作，将需要的IP数据包交给隧道处理，再把接收的数据送回系统网络。它与传统第三方内核扩展不是同一个概念，不应把所有网络授权都解释成安装内核驱动。
WireGuard Mac应用、系统保存的VPN配置和实际运行的隧道彼此关联，但不是同一层状态。应用成功安装只表示软件已存在，窗口能打开只说明前台界面可用；配置被保存、系统准许启用和认证通信则需要继续确认。平台准备可查看macOS与桌面端使用资料。
看到提示时，按来源核对
- 确认应用来自预期渠道，核对应用名称、发布来源及当前操作。
- 回想自己是否刚刚导入配置或启用隧道；来源不明或意外弹出的请求应暂停处理。
- 按当前macOS版本提供的系统VPN或网络设置入口核对相应配置，不照抄其他版本的固定路径。
- 在自己有权限的设备账户中完成必要授权；受管理Mac需要遵守组织策略。
不同macOS版本可能使用不同的设置布局和提示文字，本文不提供假定固定不变的授权对话框。也不需要为了普通客户端操作关闭系统完整性保护或其他核心安全机制。遇到要求降低系统安全性的异常指引，应先核对软件和配置来源。
授权结束以后，再检查隧道
回到应用确认所选配置，再观察系统VPN状态、客户端状态、最近通信信息和真实目标访问。授权成功却不能访问业务时，原因可能在本机基础网络、配置内容、对端可达性、DNS或目标服务，不能只凭批准提示断言连接已建立。
与Windows中配置导入和激活的区别类似，保存配置与启用属于两个阶段。只关闭应用窗口，也未必等于停用由系统扩展管理的隧道；结束连接应使用应用或系统提供的停用操作，随后观察实际状态。
改动保持可追溯
导入新配置前保留旧配置的受保护备份，记录当前应用和macOS版本。备份可能包含私钥，应限制接收者和存放位置。不要为了“试一下”反复删除系统中其他VPN配置，更不要照搬未确认的本地配置路径。
如果启用请求失败，记录发生时间、系统提示原文和非敏感错误；求助截图应遮盖密钥、Endpoint及个人网络信息。笔记本换到另一网络后，可结合移动网络路径变化的判断方法理解为何本地已启用仍可能暂时无法通信。
来源可信、操作符合预期、配置对应本人设备、权限正常、目标可访问。系统批准是一项条件，实际连通需要独立确认。
