Mac 免费 VPN 下载：TunNet 安装 | 2026

Mac 当前下载的是 TunNet 0.1.0 的 Universal ZIP，文件为 32,925,842 字节。它同时包含 Intel 与 Apple 芯片架构，当前免费，不要求手机号、邮箱或银行卡；首次运行仍要按客户端提示，在浏览器完成设备确认。

先把风险说清。这个包目前是 ad-hoc 签名，没有 Developer ID 团队标识，官网也明确写着尚未经过 Apple 公证。先核对完整 SHA-256，再决定是否创建 Gatekeeper 例外；哈希匹配不能证明软件没有恶意逻辑。

TunNet 0.1.0 现在下载哪个包？

TunNet 官方下载页 的 Mac 卡片指向下面这个文件：

https://download.nexttun.net/v0.1.0/TunNet-macos-universal-0.1.0.zip

目前不需要在 x64 和 arm64 之间二选一。下载前先对照这张表，避免把平台、架构与验证要求混在一起：

核对项	0.1.0 当前信息	不能据此推出什么
文件名	TunNet-macos-universal-0.1.0.zip	未来版本仍沿用同名
文件大小	32,925,842 字节	大小相同就一定是同一文件
CPU 架构	x86_64 与 arm64	所有 macOS 版本都兼容
当前费用	可免费下载	以后一直免费
资料要求	不填手机号、邮箱、银行卡	完全没有设备确认
Apple 状态	ad-hoc 签名、尚未公证	Gatekeeper 应无条件放行

如果需要重新打开官方入口，可使用 Mac 免费 VPN 下载。这个入口不会替代下面的字节数、哈希和签名检查。

Universal 为什么 Intel 与 Apple 芯片都能装？

包内主程序 TunNet.app/Contents/MacOS/TunNet 和运行组件 tunnet-runtime 都包含 x86_64、arm64。Apple 对 Universal 应用的说明也很具体：Finder 的「显示简介」若显示「应用程序（通用）」，它面向 Intel 与 Apple silicon，在 Apple 芯片 Mac 上不需要 Rosetta。

解压后，在 Finder 选中 TunNet.app，按 Command-I 看「种类」。也可以在终端直接读取主程序架构：

lipo -archs "/Applications/TunNet.app/Contents/MacOS/TunNet"

当前包应输出：

x86_64 arm64

包内 Info.plist 的 LSMinimumSystemVersion 是 10.15。这是应用声明的最低系统版本，不是对每个 macOS 小版本的兼容承诺；本文也没有据此推断 Beta 系统一定可用。

官方 ZIP 怎样核对字节数与 SHA-256？

下载完成后不要先双击应用。打开「应用程序 → 实用工具 → 终端」，对原始 ZIP 运行：

wc -c ~/Downloads/TunNet-macos-universal-0.1.0.zip
shasum -a 256 ~/Downloads/TunNet-macos-universal-0.1.0.zip

当前文件应得到：

32925842 TunNet-macos-universal-0.1.0.zip
a415f6d60cae8ee065bdd0d4062d28d59ec0cc86aad4d523e86682af7da08267  TunNet-macos-universal-0.1.0.zip

终端中的路径可能不同，不影响哈希。十六进制字母大小写也不影响；除此之外，任何一个字符不一致都先删除重下。想看 Windows、macOS、Linux 的完整校验方法，可继续读 GitHub 下载文件 SHA256 校验教程。

SHA-256 回答的是「我手里的 ZIP 是否与发布方公布样本一致」。它不扫描恶意代码，也不能替代 Developer ID 签名、Apple 公证或独立安全审计。

签名检查与 Universal 是两条线

字节数和哈希匹配后，双击 ZIP 解压，把 TunNet.app 拖入 /Applications/。再运行：

codesign -dvvv "/Applications/TunNet.app"
spctl --assess --type execute --verbose=4 "/Applications/TunNet.app"

当前包的关键输出是：

Signature=adhoc
TeamIdentifier=not set
rejected

codesign --verify --deep --strict 可以验证包内资源是否符合它现有的 ad-hoc 签名，但这不等于 Apple 已确认开发者身份。spctl 返回 rejected，与官网所写「当前版本尚未经过 Apple 公证」一致。

Gatekeeper 报「无法验证开发者」时能继续吗？

Apple 的安全打开应用说明给出的建议顺序是：先联系开发者、找 App Store 更新版或替代应用；只有确信来源可信且文件未被改动时，才临时覆盖安全设置。

点「仍要打开」会把应用保存为安全设置例外。它不会补做 Apple 公证，也不会证明应用没有恶意代码。

如果完整哈希匹配，而且你接受 ad-hoc 签名与未公证风险，先尝试打开一次应用，再走：

系统设置 → 隐私与安全性 → 仍要打开 → 打开

如果提示是「应用将损坏你的电脑」或「应用已损坏」，不要照搬这条路径。Apple 把它们与「无法验证开发者」分开：前者可能涉及已知恶意内容或授权撤销，后者可能对应文件损坏、被修改。删除本地副本，回官方地址重下并再次校验；仍出现就停止运行。

错误表现要按哪一层定位？

一次只处理一层。先看文件，再看架构，然后才看 Gatekeeper 和设备确认。

你看到的表现	更可能的原因	先检查什么
ZIP 不是 32,925,842 字节	下载中断、版本变化或文件拿错	文件名与官方下载地址
shasum 不是 a415f6…8267	内容损坏、版本错误或文件不同	完整 64 位哈希
Finder 不是「应用程序（通用）」	解压对象或安装包不对	lipo -archs 输出
codesign 显示 adhoc	没有 Developer ID 身份签名	TeamIdentifier 是否为空
spctl 返回 rejected	当前包未通过系统策略评估	官网公证状态与自身风险接受度
提示「应用已损坏」	文件损坏、被修改或授权问题	删除重下，不点「仍要打开」
浏览器要求手机号或银行卡	页面行为超出官网当前声明	关闭页面，不提交资料

重新下载仍要用 download.nexttun.net 的官方包，不是去找另一个镜像。第二次哈希还不一致就停，不通过改文件名、清除隔离属性或关闭 Gatekeeper 来绕过文件识别问题。

浏览器设备确认怎样判断完成？

官网写明首次运行要按客户端提示，在浏览器完成设备确认。正常链路应由 TunNet 拉起浏览器，而不是让你自己搜索确认网址。页面若索要官网未声明的手机号、邮箱、银行卡或付款信息，关闭页面并退出。

确认后回到 TunNet，首次确认提示应消失。若每次聚焦应用都再次要求确认，完全退出再开一次；仍循环就停止，不把「浏览器打开过」当成确认成功。

本文没有拿连接速度、地区覆盖、长期在线时间或匿名性作验收。下载安装链路能确认的是：文件名与大小正确、SHA-256 匹配、Universal 架构可见、签名状态已读清、设备确认提示不再循环。

不接受未公证风险时怎样退出？

还没点「仍要打开」时，直接把 TunNet.app 和 ZIP 移到废纸篓。已经创建 Gatekeeper 例外也可以退出应用，再删除 /Applications/TunNet.app；例外的存在不是继续使用的理由。

如果需求其实是导入已有的 Clash YAML 或 sing-box JSON，TunNet 的浏览器设备确认不是同一种流程。可改看 Clash Verge Rev 客户端页 或 Hiddify Next 客户端页，按配置格式选择工具。

0.1.0 的免费政策、安装包哈希和公证状态都可能更新。以后重新下载时，以官网当时展示的版本号、文件名与完整 SHA-256 为准，不沿用旧截图里的值。