macOS 通用排查

macOS 的网络架构有几个与 Windows 不同的关键点，不了解它们的话，很多"明明设置了却不生效"的现象无从解释。本页按这些平台特性组织通用排查方法，适用于各家客户端。

代理设置按"网络服务"分开保存

macOS 的代理设置不是全局一份，而是每个网络服务（Wi-Fi、以太网、雷雳网桥……）各一份。客户端修改系统代理时通常只改当前活动的服务：

• 换了网络接口后代理"失效"，很可能只是新接口上没有代理设置；
• 排查代理残留时，系统设置 → 网络里每个服务的"详细信息 → 代理"都要看一遍；
• connproof doctor 能给出当前系统代理的摘要，对照它与客户端设置是否一致。

服务顺序决定流量走向

多个网络服务同时活动时（如 Wi-Fi + 有线），网络设置 → … → 设定服务顺序里排在最上的优先。VPN/TUN 类虚拟接口插入后顺序变化，可能出现"流量没走你以为的那条路"——排查路由类问题（网络不可达）时先确认服务顺序。

系统扩展与权限

现代 macOS 客户端的增强模式（TUN/透明代理）依赖网络扩展（Network Extension）：

1. 首次启用需要在系统设置 → 隐私与安全性里手动"允许"，错过弹窗后功能会静默失效；
2. 系统大版本升级后，已授权的扩展可能需要重新允许；
3. 卸载客户端时用它自带的卸载流程，手动拖废纸篓容易留下扩展残留，影响下一个客户端。

睡眠唤醒后的网络状态

macOS 睡眠会挂起网络栈，唤醒后的几秒内接口重建、路由重排：

• 唤醒后短暂连不上属正常，等几秒或开关一次 Wi-Fi；
• 长连接必然在睡眠时断开，唤醒后靠客户端重连——"每次合盖回来都断"不是故障；
• 唤醒后持续异常（尤其网络不可达类报错），检查是否有虚拟接口在睡眠期间损坏，重启客户端的 TUN 模式重建接口。

常见现象对照

现象	对应错误码	文档
关闭客户端后全系统断网	PROXY-002	系统代理残留
浏览器代理拒绝连接	PROXY-001	本地代理端口拒绝
已连接无法上网	CLIENT-001	已连接却无法上网
终端命令不走代理	CLIENT-003	浏览器能用应用不能
唤醒后网络不可达	TCP-004	网络不可达

取证命令

macOS 是 ConnProof CLI 的原生支持平台，直接在终端取证：

connproof doctor

connproof diagnose 目标域名 --port 443

doctor 的系统代理摘要 + 接口列表，配合本页的服务顺序与扩展检查，能覆盖 macOS 平台绝大多数客户端相关故障。