客户端被报毒、Mac 提示已损坏怎么办

• 安装包没有代码签名。代码签名证书需要以公司或商号名义申请并做实名核验，我们还在评估这件事的成本与取舍，所以现在的安装包是「未知发布者」。SmartScreen 拦截的正是这一点，它拦的不是内容，而是「不认识你」。
• 客户端的行为本身就可疑。要把系统流量导进加密隧道，程序必须创建虚拟网卡、修改路由表、有时还要装驱动。杀毒软件的通用规则里，这一整套动作和木马的远控模块几乎一模一样，光看行为分不出好坏。
• 内核程序也常年被标记。客户端里打包的开源网络内核在各家杀软的库里本来就有历史记录，即使是官方原版下载也会被报。
• 这是行业普遍现象，不是本站独有。同类的开源客户端在自己的官网常见问题里也都写着「若怀疑误报，请自行上传 VirusTotal 复核」。
• 我们做的事：桌面客户端是上游开源项目发布包的原样镜像，我们不改动、不重新打包、不注入任何东西，只是放在自己的下载点方便境内直接下载。

「加排除项」等于让杀软对这个目录闭眼，所以顺序应该是先验证再排除，不是反过来。下面两步不需要专业知识，几分钟能做完。

1. 比对官方校验值。每篇下载说明里都给了对应上游项目的官方发布页链接，页面上有每个安装包的 SHA-256。在 Windows 里打开 PowerShell，运行 Get-FileHash 加上安装包路径，把输出的哈希和官方页面上的对比，一致就说明文件与官方发布的字节完全相同。
2. 上传 VirusTotal 复核。把安装包拖到 virustotal.com，看有多少家引擎报毒。少数几家（通常是启发式引擎）报、主流厂商都放行，是典型的误报特征；如果大部分主流引擎都报毒，不要安装，直接联系我们。
3. 两步都通过，再做下面的排除项。哈希对不上就一定不要装，来找客服，我们会核对下载点。

很多人是装完发现程序不见了，那是已经被隔离了。先把文件放回来，再加排除项，否则装第二次还会被删。以下步骤需要管理员权限。

1. 打开「设置」→「隐私和安全性」→「Windows 安全中心」→「病毒和威胁防护」。
2. 点「保护历史记录」，在列表里找到时间对得上的那一条，名称通常是 Trojan:Win32/Wacatac 或类似的通用名。
3. 展开它，「操作」里选「允许」或「还原」。如果只有「允许在设备上」，选它。
4. 回到安装目录确认文件已经回来。若列表里找不到记录，说明文件是被 SmartScreen 拦在安装前，直接跳到下一节。

1. 「病毒和威胁防护」页面往下找到「病毒和威胁防护设置」，点它下面的「管理设置」。
2. 继续往下滚到「排除项」，点「添加或删除排除项」，需要确认管理员权限。
3. 点「添加排除项」，选「文件夹」。
4. 选中客户端的安装目录。默认位置一般在 C:\Program Files 下以客户端名字命名的文件夹；如果安装时改过路径，选你实际选的那个。
5. 如果安装包在下载后立刻被删，再加一条「文件」排除项指向那个安装包本身，装完可以把这条删掉。
6. 重新运行安装包。SmartScreen 若弹出蓝色的「Windows 已保护你的电脑」，点左侧的「更多信息」，再点「仍要运行」。

Mac 上的表现不一样。双击后可能弹出「「客户端名」已损坏，无法打开。你应该将它移到废纸筒」，或者「无法打开，因为无法验证开发者」。文件并没有坏——这是 Gatekeeper 在拦截：从网页下载的文件会被打上隔离标记，Gatekeeper 检查它有没有 Apple 开发者签名和公证，没有就直接拒绝。原因和 Windows 那边是同一个，我们还没有购买签名。

下面三步从最窄到最宽，能用第一步就不要用第三步。

• xattr 那条命令只对你已经核验过来源的文件用。核验方法见上面第二节——Mac 上算哈希用 shasum -a 256 加文件路径。
• 不要用 sudo spctl --master-disable 全局关掉 Gatekeeper。那是把整台机器的防护关了，而右键打开只影响一个 App。
• macOS 15 之后苹果收紧了右键打开的路径，多数情况下要走「系统设置」那一步，这是系统行为变化，不是我们的包有问题。
• 同样地，本站的私网（Tailscale）、OpenVPN Connect、思科 Secure Client 在 macOS 上都是签名并公证过的，双击即用，不需要任何上述操作。

1. 在「访达」的「应用程序」里找到它，按住 Control 点击图标（或右键），选「打开」，在弹出的对话框里再点一次「打开」。这是只对这一个 App 的一次性放行。
2. 如果右键菜单里没有出现可用的「打开」，去「系统设置」→「隐私与安全性」，往下滚到安全性那一段，会看到「已阻止使用「客户端名」，因为它来自身份不明的开发者」，点右边的「仍要打开」，再输入密码确认。
3. 如果提示的是「已损坏」，前两步通常都不管用，因为系统连签名都没读到。打开「终端」，执行 xattr -dr com.apple.quarantine 加上应用的路径（一般是 /Applications/ 下的 .app），回车后输入登录密码，再打开应用。这条命令的作用是移除下载来源的隔离标记。
4. 首次启动时系统会要求输入密码授权安装网络扩展，同意后才能接管流量。

• 只排除客户端的安装目录，不要排除整个 C 盘、整个「下载」文件夹或整个用户目录。排除范围越大，真正的病毒躲进去的机会越大。
• 不要关闭实时保护来装软件。关掉的是整机防护，而排除项只影响一个目录，后者安全得多。
• 以后不用这个客户端了，卸载之后回到同一个页面把排除项删掉。
• 公司配发的电脑通常由 IT 统一管理，排除项按策略被禁用，你自己加不上也留不住。这种情况别硬来，直接用下一节里已签名的方式。

本站支持多种接入方式，其中三种用的是厂商自己签名的商业客户端，从来不会被报毒，也不会有「未知发布者」提示。想省事就直接用它们，账号是同一个。

• 私网（Tailscale 官方客户端）：厂商签名，安装即用，适合日常长期挂着。
• OpenVPN Connect：OpenVPN 官方签名的安装包，导入配置文件即可。
• 思科 Secure Client：企业级客户端，签名齐全，很多公司电脑本来就装着。
• 三种的具体设置步骤见《选哪种连接方式》和各自的指南，账号通用，不用另外付费。

• 360、金山、腾讯电脑管家：除了加信任目录，还要注意它们的「网络防护」会拦截加密连接，装完连不上时先在设置里找到网络或流量防护相关的开关。
• 火绒：在「病毒查杀」的隔离区恢复文件，再到「防护中心」→「信任区」添加安装目录。
• 卡巴斯基、Bitdefender 等国外产品：在「排除项」或「例外」里加目录，路径和 Windows 安全中心类似。
• 同时装两套以上杀软会互相误判，这种情况下建议只留一套。