macOS ClashX 권한 설정 가이드: 네트워크 확장, 시스템 확장 및 키체인 팝업 해결

클라이언트와 권한 종류부터 구분하기

ClashX를 처음 열면 관리자 암호, 네트워크 설정, 키체인 관련 안내가 차례로 나타날 수 있지만, 각각은 서로 다른 권한입니다. 문제를 살펴보기 전에 메뉴 막대의 앱 메뉴에서 ‘정보’를 열어 클라이언트 이름과 버전, macOS 버전을 확인하세요. 기존 ClashX와 파생 버전, mihomo 코어를 사용하는 다른 클라이언트는 보조 도구 설치 방식과 트래픽 처리 방식이 다를 수 있으므로, 모든 팝업이 같은 절차로 나타난다고 가정하면 안 됩니다.

특히 시스템 프록시를 켠다고 네트워크 확장이 설치되는 것은 아니며, TUN 모드가 반드시 Apple의 네트워크 확장 프레임워크를 사용하는 것도 아닙니다. 기존 ClashX는 특권 보조 도구로 시스템 프록시를 설정하는 경우가 많습니다. 일부 다른 클라이언트는 특권 서비스를 이용해 TUN 인터페이스를 만들고, 또 다른 클라이언트는 Network Extension을 사용합니다. 확장 권한 팝업이 나타나지 않는다고 해서 권한이 누락된 것은 아닙니다.

안내 또는 기능	실제 용도	확인할 사항
보조 도구 설치 시 관리자 권한 요청	특권 작업을 수행하는 서비스 설치 또는 업데이트	앱 이름과 출처가 현재 작업과 일치하는지
VPN 구성 또는 네트워크 확장 추가	해당 클라이언트가 관리하는 네트워크 터널 생성	관련 VPN 또는 터널 기능을 방금 켰는지
시스템 확장 차단됨	관련 확장에 시스템 승인이 아직 부여되지 않음	개발자 이름과 확장이 속한 앱
키체인 항목에 접근	저장된 자격 증명 또는 비밀 데이터 읽기	요청 프로세스, 항목 이름 및 접근 범위

첫 실행 및 보안 차단 해제

먼저 ‘응용 프로그램’ 폴더로 옮긴 뒤 실행

다운로드 페이지에서 Apple Silicon 또는 Intel 아키텍처에 맞는 클라이언트를 선택하세요. Apple 메뉴의 ‘이 Mac에 관하여’에서 칩 또는 프로세서 정보를 확인할 수 있습니다.
디스크 이미지 파일을 받았다면 열어서 앱을 ‘응용 프로그램’ 폴더로 드래그한 다음 해당 위치에서 실행하세요. 마운트된 디스크 이미지나 다운로드 폴더에서 계속 실행하지 마세요.
‘인터넷에서 다운로드한 앱’ 확인 창이 나타나면 앱 이름을 확인한 뒤 ‘열기’를 선택하세요. 이는 첫 실행 확인 절차이며 네트워크 확장 권한 요청이 아닙니다.
개발자를 확인할 수 없다는 메시지가 나오면 먼저 다운로드 출처와 클라이언트의 유지 관리 상태를 확인하세요. 그런 다음 ‘시스템 설정’ → ‘개인정보 보호 및 보안’에 이번 실행과 관련된 안내가 있는지 살펴보세요.

macOS 13 Ventura, macOS 14 Sonoma 및 이후 버전에서는 차단 사유에 따라 ‘개인정보 보호 및 보안’ 페이지 하단에 ‘그래도 열기’가 표시될 수 있습니다. 버튼 표시 여부는 차단 원인과 시스템 버전에 따라 다르며, 모든 오류에 적용되는 공통 해결 방법은 아닙니다. macOS 15 Sequoia에서는 일부 서명되지 않았거나 공증되지 않은 소프트웨어의 실행 절차가 변경되었으므로, 마우스 오른쪽 버튼을 눌러 ‘열기’를 선택하는 방법이 항상 가능하다고 보면 안 됩니다.

보조 도구와 관리자 암호

일부 ClashX 버전에서는 시스템 프록시를 처음 설정할 때 보조 도구 설치를 요청합니다. 그래픽 앱은 보통 현재 사용자 권한으로 실행되며, 보조 도구는 더 높은 권한이 필요한 작업을 수행합니다. 이때 입력하는 정보는 이 Mac의 관리자 계정 자격 증명이지, 구독 암호나 노드 암호 또는 Apple 계정 암호가 아닙니다.

권한을 허용하기 전에 세 곳 확인

요청을 유발한 작업: 방금 보조 도구 설치, 서비스 복구 또는 시스템 프록시 활성화를 선택했는지 확인하세요. 이런 작업을 하지 않았는데 갑자기 요청이 나타나면 먼저 취소하고 프로세스를 확인하세요.
대화상자의 이름: 요청 주체가 현재 설치된 클라이언트와 관련 있는지 확인하세요. 보조 도구 이름은 앱 이름과 다를 수 있으므로 해당 버전의 안내를 기준으로 판단해야 합니다.
설치 위치: 앱이 ‘응용 프로그램’ 폴더에 있는지 확인하세요. 앱을 여러 번 옮기거나 오래된 사본을 여러 개 남겨 번갈아 실행하지 마세요.

실수로 ‘취소’를 눌렀다면 보통 이번 설치만 중단됩니다. 클라이언트를 다시 열고 보조 도구 설치나 복구를 다시 시작하세요. 실행할 때마다 설치를 요구한다면 같은 이름의 클라이언트를 모두 종료하고 현재 사용할 버전만 남긴 다음 로그에서 서비스 설치 오류를 확인하세요. /Library/PrivilegedHelperTools에서 이름이 비슷한 파일을 바로 삭제하거나 시스템 서비스를 일괄 제거하지 마세요.

회사나 학교에서 관리하는 Mac은 특권 서비스 설치가 제한될 수 있습니다. 관리자 권한이 없다면 기기 관리자에게 요청하세요. 일반 사용자 암호를 반복해서 입력해도 권한이 추가되지는 않습니다.

네트워크 확장, 시스템 확장 및 VPN 구성

클라이언트가 해당 방식을 실제로 사용하는 경우에만 확장 권한을 설정하면 됩니다. Network Extension은 Apple이 제공하는 네트워크 기능 프레임워크이며, 일부 확장은 시스템 확장 형태로 배포될 수 있습니다. ‘네트워크 확장’과 ‘시스템 확장’은 반드시 별도로 모두 승인해야 하는 두 단계가 아닙니다. VPN 구성을 추가하라는 확인 창도 커널 확장을 설치하는 절차와는 다릅니다.

macOS 버전에 맞는 설정 위치 찾기

macOS 13 및 14: 먼저 ‘시스템 설정’ → ‘개인정보 보호 및 보안’에서 확장 차단 안내를 확인하세요. VPN 구성은 시스템 설정에서 ‘VPN’을 검색해 확인할 수 있습니다.
macOS 15: ‘시스템 설정’ → ‘일반’ → ‘로그인 항목 및 확장 프로그램’ → ‘네트워크 확장’에서 확인할 수 있습니다. 표시되는 목록과 버튼은 설치된 확장에 따라 다릅니다.
이후 macOS 버전: 설정 위치나 이름이 바뀔 수 있습니다. 시스템 설정의 검색창에서 ‘네트워크 확장’ 또는 ‘VPN’을 검색하고, 실제 화면에 표시되는 항목을 기준으로 확인하세요.

특정 개발자의 시스템 소프트웨어를 허용하라는 메시지가 나오면 먼저 클라이언트가 안내한 개발자 정보와 일치하는지 확인하세요. 승인 후에는 시스템에서 명시적으로 요구하는 경우에만 재시동하면 됩니다. 해당 페이지에 관련 항목이 없다면 다른 소프트웨어의 확장을 승인하지 마세요. 권한을 ‘빠짐없이’ 채우려고 추가 구성 요소를 설치할 필요도 없습니다.

확장을 허용했는데도 TUN이 시작되지 않으면 클라이언트 로그를 확인하세요. 라우팅 설정 실패, DNS 리스너 충돌, 다른 VPN의 네트워크 처리 등이 모두 ‘연결할 수 없음’이라는 같은 증상을 일으킬 수 있습니다. 확장 목록에 활성화로 표시되어도 해당 단계에서 로드를 허용했다는 뜻일 뿐, 구독 설정과 DNS, 아웃바운드 정책까지 올바르다는 보장은 없습니다.

키체인 팝업: 항목을 확인한 뒤 권한 결정

키체인 안내에는 보통 어떤 프로세스가 어떤 항목에 접근하려는지 표시됩니다. 모든 ClashX 버전이 첫 실행 때 키체인 접근을 요청하는 것은 아닙니다. 클라이언트나 관련 구성 요소가 자격 증명을 실제로 저장하거나 읽을 때만 나타날 수 있습니다. 가이드에 이 단계가 나온다는 이유만으로 앱에 키체인 전체 접근 권한을 부여하지 마세요.

‘허용’, ‘항상 허용’, ‘거부’의 차이

허용: 이번 접근만 승인합니다. 용도를 확인했지만 지속적인 권한을 남기고 싶지 않을 때 적합합니다.
항상 허용: 해당 항목에 대한 지속적인 접근 권한을 기록합니다. 이후 접근도 앱의 신원과 키체인 접근 제어의 영향을 받습니다. 요청 주체와 항목을 확인한 뒤 선택하세요.
거부: 이번에는 자격 증명을 제공하지 않습니다. 앱이 저장된 정보를 읽지 못할 수 있지만, 보통 클라이언트의 다른 설정을 확인하는 데는 영향을 주지 않습니다.

‘로그인’ 키체인을 잠금 해제하라는 메시지가 나오면 필요한 암호는 보통 해당 키체인의 암호입니다. 처음에는 Mac 로그인 암호와 같은 경우가 많지만, 계정 암호를 복구 절차로 재설정했다면 이전 키체인 암호는 그대로일 수 있습니다. 이 경우 새 암호를 반복해서 입력해도 실패하며, 이를 곧바로 클라이언트 오류라고 단정할 수 없습니다.

Spotlight에서 ‘키체인 접근’을 검색해 열고 ‘로그인’ 키체인에서 팝업에 표시된 항목 이름을 검색할 수 있습니다. 해당 항목에서 지원하는 경우 세부 정보를 열어 ‘접근 제어’를 확인하세요. 현재 클라이언트와 명확히 관련된 항목 하나만 처리하세요. 로그인 키체인 전체를 삭제하거나 모든 앱이 해당 항목에 접근하도록 허용하지 마세요. 최신 macOS의 ‘암호’ 앱은 일반적인 키체인 접근 제어 기능을 대체하지 않습니다.

업데이트 후 팝업이 반복될 때 확인할 점

앱 업데이트, 서명 신원 변경 또는 다른 위치에 있는 사본 실행으로 인해 기존 접근 권한이 더 이상 일치하지 않을 수 있습니다. 이전 사본을 종료하고 ‘응용 프로그램’ 폴더에서 현재 버전을 실행한 뒤 팝업에 표시되는 프로세스 이름을 확인하세요. 요청 대상이 설명할 수 없는 브라우저 암호나 다른 앱의 자격 증명이라면 먼저 거부하고 출처를 확인하세요. 이름에 Clash가 들어 있다는 이유만으로 승인하지 마세요.

실수로 거부한 권한 복구: 실패한 단계에 맞춰 조치

실수로 거부한 항목	복구 방법	복구 후 확인
보조 도구 설치	앱을 다시 실행한 뒤 설치를 다시 시작하거나 클라이언트가 제공하는 서비스 복구 기능을 실행	시스템 프록시를 켠 뒤에도 권한 오류가 나타나는지
VPN 구성 추가	클라이언트에서 해당 터널 기능을 다시 시작하고 시스템 요청을 다시 확인	시스템 VPN 목록과 클라이언트 상태가 일치하는지
네트워크 또는 시스템 확장	시스템 설정에서 해당 앱의 확장을 찾아 안내에 따라 허용	새 로드 오류가 나타나는지, 재시동을 요구하는지
키체인 일회성 접근	자격 증명이 필요한 작업을 다시 실행하고, 필요한 경우 앱을 종료한 뒤 다시 열기	항목 이름과 요청 주체가 계속 일치하는지

복구할 때는 한 번에 하나씩만 변경하세요. 먼저 시스템 프록시와 TUN을 끄고 일반 네트워크 연결은 유지하세요. 해당 권한 설정을 마친 뒤 필요한 기능을 켜면 됩니다. 코어 전환, 앱 재설치, 설정 삭제, DNS 변경을 동시에 하지 마세요. 그래야 어떤 조치가 문제를 해결했거나 새로 일으켰는지 파악할 수 있습니다.

기기가 관리 구성 프로파일의 제어를 받으면 일부 스위치를 변경하지 못할 수 있습니다. 이 경우 안내 문구와 시스템 버전, 클라이언트 버전을 기록해 관리자에게 확인을 요청하세요. 구독 주소에는 접근 토큰이 포함될 수 있으므로 스크린샷이나 로그를 제출하기 전에 전체 주소와 계정 정보를 가리세요.

권한 설정 후 포트와 실제 트래픽 확인

권한 승인은 설치 절차의 일부일 뿐입니다. 먼저 사용할 수 있는 구성을 가져오고 코어가 실행 중인지 확인한 뒤 시스템 프록시를 켜세요. 시스템 프록시는 시스템 프록시 설정을 따르는 앱에 주로 적용됩니다. TUN은 가상 인터페이스와 라우팅을 통해 더 많은 트래픽을 처리합니다. 브라우저에서 웹페이지가 열린다고 해서 터미널, 게임, 모든 백그라운드 프로세스도 같은 경로를 사용한다고 볼 수는 없습니다.

읽기 전용 명령 세 개로 진단

‘터미널’에서 다음 명령을 실행하세요. 예시에서는 HTTP 또는 혼합 프록시 포트로 7890을 사용합니다. 먼저 현재 설정의 port 또는 mixed-port 값을 확인한 다음 실제 값으로 바꾸세요. 이 포트는 예시일 뿐이며 모든 ClashX 버전의 기본값은 아닙니다.

# macOS의 현재 시스템 프록시 설정 확인
scutil --proxy

# 예시 포트에서 TCP 연결을 수신 중인지 확인
lsof -nP -iTCP:7890 -sTCP:LISTEN

# 로컬 HTTP 프록시를 지정해 요청 보내기
curl --proxy http://127.0.0.1:7890 --connect-timeout 10 --max-time 20 -I https://example.com

scutil --proxy에서 활성화된 HTTP 프록시에는 보통 HTTPEnable : 1, 주소와 포트가 표시됩니다. HTTPS는 HTTPSEnable 등의 필드를 확인하세요. 실제로 활성화된 프로토콜을 살펴보고 특정 필드 하나만 찾지 마세요.
lsof에 출력이 없다면 먼저 코어가 실행 중인지, 포트 번호를 잘못 입력하지 않았는지, 별도의 SOCKS 포트를 사용하고 있지는 않은지 확인하세요. 포트가 수신 중이어도 어떤 프로세스가 사용하는지 확인해야 합니다.
curl 예시는 지정한 프록시를 강제로 사용하므로 터미널이 시스템 프록시를 읽는지 여부에 영향을 받지 않습니다. 연결이 거부되면 먼저 수신 포트를 확인하세요. 연결은 되지만 시간 초과가 발생하면 노드, DNS, 아웃바운드 정책을 살펴보세요.

명령줄 도구인 curl은 보통 macOS 그래픽 인터페이스의 시스템 프록시 설정을 자동으로 사용하지 않습니다. 따라서 ‘브라우저에서는 되지만 터미널에서는 안 된다’는 현상을 곧바로 권한 문제로 볼 수 없습니다. SOCKS 엔드포인트를 테스트하려면 실제 포트에 맞춰 socks5h://127.0.0.1:포트번호 형식을 사용하세요. 주소와 포트는 실제 값으로 바꿔야 합니다.

클라이언트를 종료하기 전에 네트워크 복구 확인

처음 설정을 마친 뒤에는 시스템 프록시와 TUN을 직접 끄고 클라이언트를 종료한 다음 일반 네트워크가 계속 작동하는지 확인하는 것이 좋습니다. 종료 후 인터넷에 연결되지 않으면 ‘시스템 설정’ → ‘네트워크’ → 현재 사용 중인 Wi-Fi 또는 이더넷 → ‘세부사항’ → ‘프록시’에서 127.0.0.1을 가리키는 HTTP, HTTPS, SOCKS 프록시나 자동 프록시 구성이 남아 있는지 확인하세요. 이번 클라이언트가 설정한 항목만 끄고, 회사 네트워크에 필요한 설정은 유지하세요.

VPN 또는 네트워크 확장을 사용한다면 해당 연결도 끊겼는지 확인하세요. 네트워크를 복구하려고 모든 네트워크 서비스를 일괄 삭제하지 마세요. 확인을 마친 뒤에는 코어 실행, 구성 유효성 확인, 필요한 프록시 기능 켜기 순서로 시작하면 됩니다. 명확한 권한 오류가 있을 때만 해당 권한 설정 단계로 돌아가세요.