直接答案
Mac 连不上机场，最常见的是三类问题：系统代理只写在了某一个网络服务上（例如写在了 WiFi 上，你却在用有线网络）；使用 TUN 或增强模式的客户端没有获得网络扩展或 VPN 配置的授权；以及 macOS 升级后原有权限失效。先在“系统设置 > 网络”里确认当前使用的网络服务和它的代理设置，再到“登录项与扩展”或“隐私与安全性”里检查扩展是否已允许。终端不走代理则需要单独设置环境变量。
macOS 的代理是怎么生效的
macOS 的代理设置是按网络服务分别保存的：WiFi、以太网、USB 网卡、雷雳网桥各有一套代理配置。客户端开启系统代理时，通常会写入当前活跃的网络服务，但如果你之后换了网络，或者同时连着多个网络，就可能出现“代理设置在 A 上，流量走 B”的情况。
另一类客户端使用 TUN 或增强模式，它们依赖系统的网络扩展或 VPN 接口。macOS 对这类能力有严格的授权流程，第一次开启时需要你在系统设置中手动允许，没有允许之前客户端看起来在运行，实际上并没有接管流量。
Mac 连不上的常见原因
- 多网卡导致代理设置错位：代理写在未使用的网络服务上，当前网络没有代理。
- 网络扩展未授权：客户端需要的系统扩展或网络扩展没有被允许，或者被用户关闭。
- VPN 配置未允许：首次启用时弹出的“添加 VPN 配置”被拒绝或忽略。
- Mac 升级后代理失效：大版本升级后扩展和配置需要重新授权，部分旧版客户端与新系统不兼容。
- 终端不走代理：终端和大多数命令行工具不读取系统代理设置。
- 防火墙或安全软件拦截：第三方防火墙阻止了客户端的出站连接。
- 多个代理或 VPN 工具冲突：公司 VPN、其他代理客户端同时运行，互相覆盖网络设置。
判断标准：从现象判断原因
| 现象 | 可能原因 | 处理 |
|---|---|---|
| Mac 开代理没网，关掉代理正常 | 端口不一致或客户端未正常运行 | 核对代理端口，重启客户端 |
| 连 WiFi 能用，插网线后不行 | 代理只设置在 WiFi 服务上 | 在以太网服务上同样设置代理，或让客户端重新写入 |
| 开启增强模式或 TUN 后无反应 | 网络扩展未授权 | 在系统设置中允许该扩展 |
| 升级系统后突然连不上 | 扩展与配置失效 | 重新授权扩展，更新客户端 |
| 浏览器正常，终端不走代理 | 终端不读取系统代理 | 在终端设置代理环境变量 |
| 部分应用正常，个别应用不走代理 | 该应用不读取系统代理 | 使用 TUN 或增强模式 |
| 节点全部超时 | 防火墙拦截或订阅失效 | 放行客户端，更新订阅 |
逐步排查
- 确认当前网络服务：打开“系统设置 > 网络”，看哪个服务显示“已连接”。如果同时连着 WiFi 和有线，注意服务顺序决定了优先使用哪一个。
- 检查代理设置：点击当前网络服务的“详细信息 > 代理”，确认网页代理和安全网页代理已开启，地址为 127.0.0.1，端口与客户端一致。
- 检查网络扩展：在较新的 macOS 中，进入“系统设置 > 通用 > 登录项与扩展”，在网络扩展相关分类里确认客户端已启用；较早版本在“隐私与安全性”中会出现“允许”按钮。
- 检查 VPN 配置：在“系统设置 > VPN”中确认客户端创建的配置存在且已连接，如有多余的配置可以删除后让客户端重新创建。
- 校准时间：在“系统设置 > 通用 > 日期与时间”中打开自动设置，时间不准会导致握手失败。
- 设置终端代理：在终端中设置 http_proxy、https_proxy 和 all_proxy 环境变量，指向 127.0.0.1 和客户端端口；只对当前终端会话有效，需要长期生效可写入 shell 配置文件。
- 检查防火墙：在“系统设置 > 网络 > 防火墙”中确认没有阻止客户端，第三方防火墙需要单独放行。
- 排除冲突：退出其他代理客户端和 VPN 工具，只保留一个，重新开启后测试。
macOS 各版本的菜单名称和位置差异较大，以上路径仅供参考，以系统实际界面为准；客户端里的模式名称以客户端实际界面为准。
Mac 连不上但 WiFi 正常
如果关掉代理后网络一切正常，说明问题在代理链路上。可以按“客户端是否在运行、端口是否一致、节点是否可用、扩展是否授权”的顺序逐项确认。客户端异常退出后，系统代理可能仍指向 127.0.0.1，此时需要到网络服务的代理设置里手动关闭，网络即可恢复。
注意事项
- 网络扩展和 VPN 配置可以看到经过 Mac 的全部网络流量，只对信任的客户端授权。
- 不要为了解决问题关闭系统完整性保护等系统安全机制，这会带来更大的安全风险。
- 写入 shell 配置文件的代理环境变量会一直生效，不再使用时记得删除，否则关闭客户端后命令行工具会连接失败。
- 公司管理的 Mac 可能通过描述文件限制网络设置，个人修改无效时请联系管理员。
- 系统大版本刚发布时，部分客户端可能尚未适配，升级前可以先了解客户端的兼容情况。