Откройте Дополнительно → VPN Tunnel → системный VPN Apple. Доступность зависит от версии ОС и издания приложения.

Постоянное подключение и правила

Постоянное подключение по умолчанию выключено. Включение просит систему подключать VPN на доступных сетях через механизм on-demand. Это не Always On VPN управляемых устройств и не гарантия отсутствия трафика вне VPN.

Когда постоянное подключение выключено, доступны параметры подключения по требованию. Оно тоже выключено по умолчанию.

Для Wi-Fi есть два независимых списка:

• Подключать VPN в этих сетях.
• Отключать VPN в этих сетях.

Введите точные SSID. Одна сеть не может находиться в обоих списках. Для неуказанных сетей сохраняется текущее поведение, а не выбирается один из списков автоматически.

На iOS отдельно задаётся действие для сотовой сети, на macOS — для Ethernet: подключить или отключить. Сохраните параметры для применения.

Перехват всего трафика

По умолчанию выключен. После включения появляются четыре исключения, включённые по умолчанию там, где поддерживаются:

• Локальные сети
• Сотовые службы
• Уведомления Apple Push
• Связь с подключёнными устройствами Apple

Это системные исключения, не правила Xray. Неподходящее сочетание может нарушить доступ к сети или локальным сервисам. Без конкретной необходимости оставьте значения по умолчанию.

Сети в обход VPN

Когда перехват всего трафика выключен, откройте отдельную страницу сетей и добавьте IPv4/IPv6 CIDR, например 192.168.50.0/24. По умолчанию список пуст: частные сети автоматически не добавляются. Система направляет перечисленные сети мимо VPN, до обработки правилами Xray.

Повторное включение полного перехвата сохраняет список, но отключает его применение. Отключение IPv6 также сохраняет IPv6-записи без применения. Сохраните изменения действующего списка и переподключите активный VPN.

Исключения не меняют DNS автоматически и не настраивают корпоративный Split DNS. Для внутренних имён также настройте локальный DNS маршрута.

DNS over TLS туннеля

Apple поддерживает DNS over TLS. Адреса DNS и имя сервера меняются в настройках туннеля; имя по умолчанию — dns.google. Адреса, имя и TLS-сертификат сервиса должны соответствовать друг другу. Это не замена локального или прокси-DNS Xray.

macOS и выход

Mac App Store использует Packet Tunnel. OneXraySE использует System Extension и не показывает файловые журналы Xray.

Закрытие окна скрывает приложение. Обычный выход не останавливает VPN. «Выйти и остановить VPN» сначала отключает туннель, включая его on-demand-поведение.