macOS 上绿茶VPN 第一次连接几乎都会要你去「隐私与安全性」批准网络扩展；Linux 上则是 TUN 设备权限。架构选错时，窗口能打开，隧道起不来。安装包只从下载页按芯片和发行版取。
Windows 用户把桌面习惯搬到 Mac，会漏掉扩展批准这一步。Linux 用户若用 root 跑图形客户端，权限表面上「好了」，日常用户登录后又失败。平台清单见首页与教程中心。
macOS：扩展批准比「拖进应用程序」更关键
装完打开客户端，点连接，系统会打断你。到系统设置 → 隐私与安全性，允许绿茶VPN。Apple Silicon 与 Intel 的内核扩展策略不同，混装最常见的症状是菜单栏转圈后静默失败。
升级到新版本 macOS 后，批准状态可能被清掉。这不是账号过期。重新允许即可。公司 MDM 设备可能禁止第三方 VPN 扩展，那是策略问题，对照FAQ里的企业环境说明。
Linux：TUN 不是「再 sudo 一次」
没有 TUN 权限时，日志里会出现 cannot open TUN 或 permission denied。按发行版把用户加入 netdev 一类组，注销重登。不要把 /dev/net/tun 改成任何人可写。
防火墙（ufw/firewalld）若默认拒绝 tun0，需要放行 VPN 接口。DNS 被 systemd-resolved 接管时，和 Windows 一样可能出现「已连接无网」，处理思路同没网排查。
桌面端验证清单
| 检查 | 通过标准 |
|---|---|
| 架构 | 芯片/发行版与安装包一致 |
| 权限 | macOS 扩展已允许；Linux 用户可访问 TUN |
| 出口 | 1.1.1.1/help 显示 IP 变化 |
图形界面没有的高级项不要从论坛复制 iptables 长脚本。更新客户端仍走下载页。协议选择见UDP 与 TCP。
现场高频问题（结合本文）
- M 系列 Mac 能装 Intel 包吗？ 有时能通过转译跑起来，但驱动和扩展更容易失败。下载页分开架构就按芯片选。
- Linux 提示 cannot open TUN？ 当前用户没有 /dev/net/tun 权限。把用户加入对应组或按发行版文档允许 TUN，不要随手 chmod 777。
- macOS 升级后 VPN 没了？ 系统更新常重置扩展批准。到隐私与安全性重新允许，再连一次。
- 命令行能不能用？ 若客户端提供 CLI，以下载页与教程说明为准。不要从随机 gist 拷贝「一键脚本」。
按场景走完再改下一个开关
处理「绿茶VPN在 macOS 与 Linux：网络扩展、TUN 和权限对话框」时，把下载页版本、当前模式、协议、节点名写在备忘录第一行。每改一个开关，只复测一个动作：打开 1.1.1.1/help，或打开你真正失败的那个页面。同时改 Kill Switch、分流和节点，会让下一次失败无法归因。品牌「绿茶VPN」的安装包只从下载页获取，排障说明与权限项对照FAQ与教程中心。
若你在公司网或酒店，先确认门户认证已完成、系统代理没有残留 PAC，再判断是不是本文描述的故障。蜂窝网络对照能快速排除路由器层 DNS 与家长控制。对照时同一账号不要在另一台设备疯狂重登，以免会话互踢被误认成掉线。
把成功的组合钉下来：例如「家用 Wi-Fi + 某节点 + 某协议」。下次同一 SSID 直接套用，比每次从 Auto 盲试稳定。文档 slug lvcha-linux-macos-tun 可当作你自己的笔记标题，方便以后搜索。
什么时候该停手并换思路
连续五次做同一动作无效，就停。回头检查：安装包是否为页面标明的版本；是否只开了一个隧道客户端；是否在门户未完成时开了网络锁；是否把浏览器漏在分应用直连名单。停手不是放弃，而是避免在错误层级空转。
需要他人协助时，附上时间、SSID、模式、协议、节点名与已尝试步骤。比只说「连不上」更容易定位。恢复成功后，用干净浏览器再验收一次出口，确认不是缓存造成的假象，然后把分流或收藏节点写回备忘录，避免下次重装从零开始。
补充验证：在「绿茶VPN在 macOS 与 Linux：网络扩展、TUN 和权限对话框」场景下，换一个网络环境复测 3 分钟，并确认下载页版本未混用。若仅单一 App 失败，先查该 App 是否被分流直连；若全部失败，先查权限与 DNS。保持一次一变，是缩短「绿茶VPN」排障时间的最有效习惯。
补充验证：在「绿茶VPN在 macOS 与 Linux：网络扩展、TUN 和权限对话框」场景下，换一个网络环境复测 3 分钟，并确认下载页版本未混用。若仅单一 App 失败，先查该 App 是否被分流直连；若全部失败，先查权限与 DNS。保持一次一变，是缩短「绿茶VPN」排障时间的最有效习惯。
补充验证：在「绿茶VPN在 macOS 与 Linux：网络扩展、TUN 和权限对话框」场景下，换一个网络环境复测 3 分钟，并确认下载页版本未混用。若仅单一 App 失败，先查该 App 是否被分流直连；若全部失败，先查权限与 DNS。保持一次一变，是缩短「绿茶VPN」排障时间的最有效习惯。