Как настроить WireGuard на Mac: полная инструкция

Что понадобится перед настройкой

Чтобы поднять WireGuard на macOS, нужны три вещи: Mac с macOS 10.14 Mojave или новее, бесплатное приложение WireGuard и конфиг-файл с расширением .conf. Конфиг — это обычный текстовый файл, в котором уже записаны ключи, адрес сервера, DNS и маршруты. Править его руками не нужно: вся настройка WireGuard на Mac сводится к импорту файла и одному переключателю.

Если конфига ещё нет, оформите доступ на главной странице Muhomor VPN — первые 3 дня бесплатно, без карты и автосписаний, нужен только e-mail. Файл придёт письмом за несколько минут; как устроена выдача и что делать, если письмо не дошло, разобрано в статье как получить конфиг WireGuard.

Второе правило: один конфиг — одно устройство. На одном доступе выпускается до пяти отдельных профилей (телефон, MacBook, планшет, роутер), и для Mac нужен свой файл. Если один и тот же конфиг работает сразу на двух устройствах, сервер видит два источника с одинаковым ключом и рвёт соединение обоим. На главной есть раздел «Устройства», где профиль для Mac добавляется в пару кликов.

Наконец, посмотрите версию системы: меню Apple (значок в левом верхнем углу) → «Об этом Mac». Именно от неё зависит, какую сборку приложения ставить, — на старых Mac актуальная версия просто не запустится.

Шаг 1. Какую версию WireGuard выбрать для macOS

Официальный клиент существует в двух видах: приложение из App Store, которое обновляется само, и отдельные архивы с конкретными номерами версий для систем, куда новая сборка уже не встаёт. На странице загрузок Muhomor VPN лежат оба варианта с контрольными суммами SHA-256, рядом — ссылка в App Store.

Разница между источниками только в способе доставки. Версия из App Store сама подтягивает обновления и проходит проверку Apple, но требует macOS 12 или новее и учётной записи Apple. Архив ставится перетаскиванием в «Программы», не зависит от магазина и подходит для Mac 2013–2017 годов, которые остались на старой системе; обновлять его придётся вручную.

Если Mac старше 2012 года и обновить систему уже нельзя, есть обходной путь без установки клиента вовсе: поднять туннель на роутере, тогда весь домашний трафик пойдёт через него независимо от возраста устройств. Тогда возраст самого компьютера роли уже не играет.

Шаг 2. Установка приложения

Вариант А. App Store

1. Откройте App Store и найдите приложение WireGuard (разработчик — WireGuard Development Team) либо перейдите по прямой ссылке со страницы загрузок.
2. Нажмите «Загрузить» и подтвердите установку паролем, Touch ID или Apple Watch.
3. Запустите WireGuard из Launchpad. Приложение весит несколько мегабайт, перезагрузка Mac не нужна.

Вариант Б. Архив для старых систем

1. Скачайте архив нужной версии (1.0.16 для macOS 12+ или 1.0.15 для macOS 10.14–11).
2. Сверьте контрольную сумму: откройте «Терминал», выполните shasum -a 256 путь_к_файлу и сравните результат со значением SHA-256 на странице загрузок. Совпало — файл не изменён по дороге.
3. Распакуйте архив двойным щелчком и перетащите приложение WireGuard в папку «Программы».
4. При первом запуске система может сообщить, что приложение загружено из интернета. Нажмите правой кнопкой (или Control + щелчок) по значку приложения и выберите «Открыть» — тогда запуск подтверждается один раз, а дальше приложение открывается обычным способом.

Оба варианта — один и тот же клиент с одинаковым интерфейсом. Выбирайте тот, который доступен на вашей системе; ставить сразу оба не нужно.

Шаг 3. Импорт конфига из файла

Сохраните файл .conf из письма в «Загрузки» или «Документы». Не открывайте его в текстовом редакторе: случайное сохранение в другой кодировке ломает файл. Дальше — три равнозначных способа импорта.

1. Через кнопку «+». В окне WireGuard нажмите «+» в левом нижнем углу и выберите пункт импорта туннелей из файла (в англоязычном интерфейсе — «Import tunnel(s) from file…»). Укажите ваш .conf.
2. Перетаскиванием. Перетащите файл конфигурации прямо в список туннелей слева.
3. Двойным щелчком. Дважды щёлкните по .conf в Finder — macOS предложит открыть его в WireGuard.

После импорта система один раз покажет запрос «WireGuard хочет добавить конфигурации VPN» — это штатное поведение macOS: приложение создаёт системный VPN-профиль. Подтвердите его паролем администратора или Touch ID, иначе туннель появится в списке, но включаться не будет.

Если файл не импортируется

Самая частая причина — расширение. Почтовые клиенты и браузеры иногда сохраняют вложение как vpn.conf.txt, а Finder по умолчанию прячет расширения. Включите их показ (Finder → «Настройки» → «Дополнения» → показывать все расширения имён файлов) и переименуйте файл так, чтобы он заканчивался на .conf. Имя туннеля берётся из имени файла, поэтому назовите его понятно — например macbook.conf: в списке будет видно, какой профиль к какому устройству относится.

В сетях, где обычный WireGuard не устанавливает соединение, для Mac есть скрытный режим на базе AmneziaWG — он ставится отдельным бесплатным приложением и настраивается похожим образом, см. инструкцию по AmneziaWG.

Шаг 4. Подключение, строка меню и проверка

Выберите туннель в списке слева и нажмите кнопку включения (в англоязычном интерфейсе — «Activate»). Через секунду статус сменится на «Активно», а в правой панели появятся живые показатели.

• Последнее рукопожатие (Latest handshake) — время последнего обмена ключами с сервером. Если строки нет вовсе, соединение не установилось.
• Передано / получено (Transfer) — счётчики трафика. Оба должны расти, когда вы открываете сайты.
• Адреса и DNS — параметры, выданные конфигом.

Значок в строке меню рядом с часами появляется у приложения автоматически и показывает состояние туннеля: щелчок по нему позволяет включить или выключить соединение, не открывая основное окно. В настройках приложения (⌘ + запятая) можно управлять поведением значка и автозапуском — поищите там переключатели про строку меню и запуск при входе в систему.

Проверьте результат: откройте любой сервис «мой IP» и убедитесь, что адрес сменился на зарубежный. Заодно имеет смысл проверить, что DNS-запросы тоже уходят в туннель, — как это сделать, описано в статье как проверить утечку DNS и IP. Если адрес не изменился, туннель, скорее всего, не поднялся, несмотря на надпись в интерфейсе.

On-Demand и автозапуск: чтобы VPN включался сам

Ручное нажатие переключателя легко забыть — особенно в дороге, где туннель нужнее всего. В macOS-клиенте WireGuard для этого есть режим по требованию (On-Demand): система сама поднимает туннель при подключении к сети.

1. Выделите туннель и нажмите «Изменить» (Edit).
2. В блоке On-Demand отметьте типы соединений, для которых туннель нужен: Wi-Fi, проводное Ethernet или оба.
3. При необходимости добавьте исключения по имени сети (SSID) — например домашнюю сеть, где VPN не нужен.
4. Сохраните и переподключите туннель, чтобы правило вступило в силу.

После этого MacBook будет поднимать туннель сам — в кафе, коворкинге, отеле, при раздаче интернета с телефона. Это ровно тот сценарий, ради которого VPN на ноутбуке и держат: чужая сеть видит только зашифрованный поток. Подробнее о том, как настроить постоянно включённый туннель и что делать при обрывах, — в статье про kill-switch и always-on VPN.

Автозапуск при входе в систему настраивается двумя способами: переключателем в настройках самого приложения либо через «Системные настройки» → «Основные» → «Объекты входа», где WireGuard добавляется в список автозагрузки. Связка «автозапуск + On-Demand» означает, что после включения Mac ничего нажимать не придётся.

Если вам нужно, чтобы российские сайты (банки, Госуслуги, маркетплейсы) открывались напрямую, а остальной трафик шёл через туннель, посмотрите умный режим Muhomor VPN с раздельным туннелированием: он настраивается по одной ссылке, а список правил обновляется на стороне сервиса.

Типичные ошибки WireGuard на Mac

Статус «Активно», но интернета нет

Смотрите на строку рукопожатия. Если её нет или время растёт и не обновляется, пакеты до сервера не доходят: чаще всего мешает сеть (гостевой Wi-Fi с ограничениями, корпоративный фильтр) или неверно указанный порт. Попробуйте мобильный интернет с телефона — если там работает, дело в сети. Полный разбор причин — в статье WireGuard не подключается.

Туннель импортировался, но кнопка включения ничего не делает

Вы не подтвердили добавление VPN-конфигурации в систему. Удалите туннель, импортируйте заново и введите пароль администратора в системном окне. На рабочих Mac с профилем управления (MDM) политика компании может запрещать сторонние VPN — это видно в «Системных настройках» → «Основные» → «Профили».

Приложение из App Store не устанавливается

Почти всегда это старая система: актуальной версии нужна macOS 12 и новее. Поставьте архив 1.0.15 со страницы загрузок — он рассчитан на macOS 10.14–11.

Соединение рвётся каждые несколько минут

Типичный признак того, что один конфиг используется сразу на двух устройствах. Выпустите отдельный профиль для Mac в разделе «Устройства» на главной. Вторая причина — сеть с агрессивным NAT: в таком случае помогает параметр периодических keepalive-пакетов, он уже прописан в выдаваемых конфигах.

После пробуждения из сна туннель не поднимается

Проверьте, включён ли On-Demand: без него macOS после сна не восстанавливает соединение автоматически. Если режим включён, а туннель всё равно висит, помогает выключить и включить переключатель — а при регулярном повторении стоит обновить приложение до последней доступной для вашей системы версии.

Скорость заметно ниже обычной

Сначала измерьте скорость без туннеля и с ним в одной и той же сети, чтобы понять масштаб разницы. Чаще всего дело в загруженной сети Wi-Fi или в параметре MTU, который стоит уменьшить на 20–40 единиц. Официальные сборки клиента и их исходники публикуются на сайте проекта WireGuard.

Чек-лист после настройки

1. Туннель включается и показывает свежее рукопожатие, счётчики трафика растут.
2. Сервис «мой IP» показывает зарубежный адрес, проверка DNS не выдаёт адреса вашего провайдера.
3. Для Mac выпущен отдельный конфиг, он не используется больше нигде.
4. Включён On-Demand для Wi-Fi, домашняя сеть при желании добавлена в исключения.
5. Приложение стартует при входе в систему, значок виден в строке меню.
6. Файл .conf лежит в надёжном месте: в нём приватный ключ, по которому любой сможет подключиться от вашего имени. Потеряли — не страшно: конфиг высылается повторно через раздел «Мой доступ» на главной.

Если Mac у вас основное рабочее устройство, имеет смысл заодно посмотреть общий обзор VPN для Mac: там про тарифы, батарею, работу в связке с iPhone и особенности macOS. Напомним цены Muhomor VPN: 3 дня бесплатно, дальше 30 дней — 320 ₽, 60 дней — 610 ₽, 90 дней — 899 ₽, разовой оплатой, без подписки и автопродления.