
Mac 上的每个 App 都可以连接互联网。大多数时候这没什么问题。但有些 App 会发送分析数据、在后台悄悄“回传”信息，或者连接到你从没听说过的服务器。

Mac 防火墙 App 能显示这些连接，并让你决定允许哪些。2026 年有不少不错的选择，这篇指南帮你在五分钟内选出一款。

> **在本指南中，你将了解：**
>
> - 为什么 macOS 自带的防火墙不够用
> - 五款最佳 Mac 防火墙 App 及其优缺点
> - 一张并排对比表
> - 哪款 App 适合新手、高级用户和预算有限的用户

## Mac 需要安装防火墙 App 吗？

macOS 自带防火墙，位于**系统设置 → 网络 → 防火墙**。它很有用，但只能控制**入站**连接。

它无法：

- ❌ 阻止 App 向**外**发送数据
- ❌ 显示每个 App 连接了哪些域名
- ❌ 在新 App 联网前先询问你

只要在意其中任何一点，就需要一款**出站防火墙** App。

## 怎样才算好用的 Mac 防火墙？

我们从以下几个方面比较了每款 App：

- **可见性**：能否清楚地看到每个 App、域名和 IP 地址？
- **控制力**：能否阻止某个 App、单个域名，或者全部阻止？
- **提醒**：新 App 联网前能否先询问？
- **易用性**：非专业用户能否在几分钟内看懂？
- **价格**：免费、一次性购买，还是付费升级？

## 1. TinyShield：最适合清晰监控和快速阻止

[TinyShield](/) 是一款原生 macOS App，出自 [Proxyman](https://proxyman.com) 背后的团队。它专注于一个简单的流程：**查看每个 App 连接了哪里，然后阻止你不想要的连接**。

<Video
  src="/assets/videos/tinyshield-homepage-hero.mp4"
  className="rounded-lg shadow-lg my-6 w-full h-auto"
  alt="TinyShield 显示 Mac App 及其网络连接"
/>

优点：

- ✅ 连接**按 App 分组**，主机名清晰易读
- ✅ 右键即可阻止 **App、域名、通配符域名或 IP**
- ✅ **Allow All**、**Require Approval** 和 **Block All** 三种模式
- ✅ **GeoIP map**，查看流量去向
- ✅ 现代的原生 Mac 设计，上手门槛低
- ✅ **一次性购买**，另有 Lifetime Deal 可选
- ✅ 监控数据保留在你的 Mac 上

缺点：

- ❌ 需要 macOS 15 或更高版本
- ❌ 高级选项比 Little Snitch 少，例如端口或协议规则
- ❌ Require Approval、Block All 和无限规则需要 TinyShield PRO

**适合人群**：想要一款简洁、现代的防火墙，又不想成为网络专家的 Mac 用户。

## 2. Little Snitch：最适合高级用户

Objective Development 出品的 [Little Snitch](https://www.obdev.at/products/littlesnitch/index.html) 是本文列表中功能最丰富的一款。

优点：

- ✅ 连接提醒和 Silent Mode（静默模式）
- ✅ Network Monitor（网络监控），带地图、图表和最长 12 个月的流量历史
- ✅ 可按 App、服务器、域名、端口或协议设置规则
- ✅ 配置文件、规则组、拦截列表和 DNS 加密
- ✅ 可用于自动化的命令行工具

缺点：

- ❌ 需购买付费许可证
- ❌ 选项繁多，处理简单任务时可能让人无所适从

**适合人群**：想要最深入规则系统的高级用户。可以在 [TinyShield vs Little Snitch](/blogs/tiny-shield-alternative-to-little-snitch) 中查看它与 TinyShield 的对比。

## 3. LuLu：最佳免费开源防火墙

Objective-See 出品的 [LuLu](https://objective-see.org/products/lulu.html) 免费且开源。

优点：

- ✅ 免费，源代码托管在 GitHub 上
- ✅ 新出站连接提醒
- ✅ 程序规则和端点规则、拦截列表、被动模式和配置文件

缺点：

- ❌ 只能过滤出站流量
- ❌ 能否按主机名阻止取决于 App 使用的网络 API；某些浏览器只能按 IP 阻止
- ❌ 界面更偏技术化

**适合人群**：想要免费防火墙、看重开源的用户。参见 [TinyShield vs LuLu](/blogs/tiny-shield-alternative-to-Lulu)。

## 4. Radio Silence：最适合不想要弹窗的用户

[Radio Silence](https://radiosilenceapp.com/) 走的是安静路线：没有任何连接提醒，你可以在它的网络监控中选择要阻止的 App。

![Mac 上的 Radio Silence 网络监控](/assets/images/tinyShield_Compare_RadioSilent.webp)

优点：

- ✅ 一次性购买，价格低
- ✅ 没有弹窗
- ✅ 实时网络监控，一键阻止 App
- ✅ 同时阻止被阻止 App 的子进程

缺点：

- ❌ 围绕 App 级别的阻止而设计
- ❌ 新 App 联网时不会提示，需要自己查看监控

**适合人群**：清楚自己要阻止哪些 App、完全不想看到提醒的用户。

## 5. Little Snitch Mini：最佳免费网络监控工具

[Little Snitch Mini](https://www.obdev.at/products/littlesnitch-mini/index.html) 是 Little Snitch 的轻量版，可在 Mac App Store 获取。

优点：

- ✅ 免费提供实时连接列表、地图和流量图表
- ✅ 设计简洁，出自经验丰富的团队

缺点：

- ❌ 阻止连接需要 App 内购买
- ❌ 控制选项比完整版 Little Snitch 少

**适合人群**：主要想免费**查看**流量的用户。更多免费选择，请看 [Mac 上免费的 Little Snitch 替代品](/blogs/free-little-snitch-alternatives-mac)。

## 并排对比

| | TinyShield | Little Snitch | LuLu | Radio Silence | LS Mini |
| --- | --- | --- | --- | --- | --- |
| 价格 | 免费试用，PRO 一次性购买 | 付费 | 免费 | 一次性购买 | 监控免费，阻止付费 |
| 按 App 监控 | ✅ | ✅ | ✅ | ✅ | ✅ |
| 阻止 App | ✅ | ✅ | ✅ | ✅ | 付费 |
| 阻止单个域名 | ✅ | ✅ | ✅ | — | 付费 |
| 新 App 联网前询问 | ✅ PRO | ✅ | ✅ | ❌ | — |
| 地图视图 | ✅ | ✅ | ❌ | — | ✅ |
| 上手难度 | 低 | 高 | 中 | 低 | 低 |

“—”表示官方产品页面未列出该功能。功能和价格可能会变化，购买前请务必查看各家官网。

## 30 秒选出适合你的那款

- **“我想要简单、现代的工具。”** → TinyShield
- **“我想要尽可能多的选项。”** → Little Snitch
- **“我想要免费、开源的。”** → LuLu
- **“我一个弹窗都不想看到。”** → Radio Silence
- **“我只想看看流量。”** → Little Snitch Mini

## 两分钟上手 TinyShield

1. [下载 TinyShield](https://api-tinyshield.proxyman.com/api/releases/download/tinyshield.dmg)，并将其移到“应用程序”文件夹。
2. 安装 Network Extension，并在系统设置中批准。参见[安装指南](/docs/features/network-extension)。
3. 打开任意 App，就能看到它的连接逐一出现。
4. 右键点击你不信任的域名，选择 **Add to Block List**。
5. 切换到 **Require Approval**，在新 App 联网前先进行审核。

![TinyShield 中针对新 App 的 Require Approval 窗口](/assets/images/tinyshield-require-approval-poster.jpg)

提示：一次只运行一款防火墙。同时运行多个连接过滤工具，可能让结果难以判断，还会导致连接中断。

## 总结

没有一款防火墙对所有人都是“最好”的。选哪款取决于你想要多大的控制力，以及愿意花多少时间学习。

- 想要最强大的功能？选 **Little Snitch**。
- 想要免费开源？选 **LuLu**。
- 想要一款简洁、现代，能显示 Mac 在做什么并一键阻止的 App？选 **TinyShield**。

刚接触 Mac 防火墙？先从[如何查看 Mac 上哪些 App 在联网](/blogs/how-to-see-which-apps-are-using-internet-on-mac)和[如何在 Mac 上禁止 App 联网](/blogs/how-to-block-app-internet-access-mac)开始。

[下载 TinyShield](https://api-tinyshield.proxyman.com/api/releases/download/tinyshield.dmg)，或查看[价格方案](/pricing)。


对比 2026 年最好用的 Mac 防火墙 App：TinyShield、Little Snitch、LuLu、Radio Silence 和 Little Snitch Mini。功能、价格和适用人群一览。

2026 年最佳 Mac 防火墙软件推荐：Little Snitch、LuLu 等


Little Snitch 是一款出色的 Mac 防火墙，但它是付费软件。如果只是想看看各个 App 在做什么、阻止其中几个，你可能不想一上来就买完整的许可证。

于是你开始搜索“**Little Snitch 免费替代品**”。本文列出在如今的 Mac 上真正可用的免费选择，以及每一款需要做出的取舍。

> **在本指南中，你将了解：**
>
> - 用 Little Snitch 本身能免费做到什么
> - 最佳免费替代品：LuLu、Little Snitch Mini 和 macOS 自带工具
> - TinyShield 免费版包含哪些功能
> - 如何选出适合你的那一款

## 首先：你真正需要什么？

挑选工具之前，先想清楚哪项需求最重要：

- **只需监控**：“我只想看看哪些 App 在联网，连到了哪里。”
- **阻止几个 App**：“我想阻止一两个 App 联网。”
- **联网前询问**：“每当有新 App 尝试联网，我都想收到提醒。”
- **默认全部阻止**：“除非我允许，否则什么都不能联网。”

免费工具擅长前两项。后两项通常需要一款完整的防火墙。

## 1. Little Snitch 演示模式

在考虑其他工具之前，先了解一下：[Little Snitch](https://www.obdev.at/products/littlesnitch/index.html) 提供演示版。据 Objective Development 介绍，它提供与完整版相同的保护，每次可运行三小时，并且可以随意重新启动。

- ✅ Little Snitch 的完整功能
- ✅ 适合购买前先试用
- ❌ 三小时后停止，必须重新启动
- ❌ 不是长期的免费方案

## 2. Little Snitch Mini

[Little Snitch Mini](https://www.obdev.at/products/littlesnitch-mini/index.html) 是同一家公司推出的简化版，可在 Mac App Store 下载。

- ✅ 免费的网络监控，提供实时连接列表
- ✅ 动态地图和流量图表
- ✅ 从 App Store 即可轻松安装
- ❌ **阻止连接需要 App 内购买**
- ❌ 更长的历史记录和高级筛选同样需要付费

如果主要是想免费**查看**流量，就选它。

## 3. LuLu

Objective-See 出品的 [LuLu](https://objective-see.org/products/lulu.html) 是最受欢迎的免费 Little Snitch 替代品。

![TinyShield 与 LuLu 对比](/assets/images/tinyShield_Compare_Lulu.webp)

- ✅ **免费且开源**
- ✅ 新出站连接提醒
- ✅ 可针对单个 App 或单个端点设置规则
- ✅ 拦截列表和允许列表、被动模式和配置文件
- ❌ 只能过滤出站流量
- ❌ 按主机名阻止只对部分网络 API 有效；例如 Chrome 只能按 IP 地址阻止
- ❌ 界面更偏技术化，监控视图也比 Little Snitch 少

如果想要**免费的提醒和阻止功能**，又不介意界面简单一些，就选它。

## 4. macOS 自带工具

Mac 本身就自带几款工具。它们免费，但功能有限：

- **macOS 防火墙**（系统设置 → 网络 → 防火墙）：只能阻止**入站**连接，无法阻止 App 向外发送数据。
- **活动监视器 → “网络”标签页**：显示每个进程收发了多少数据，但不显示数据去了哪里。
- **终端**（`lsof -i`、`nettop`）：列出实时连接，大多只显示 IP 地址。
- **`/etc/hosts` 文件**：对所有 App 阻止某个域名，不支持通配符，也不能按 App 设置规则。

这些工具适合快速检查一下。分步教程请阅读[如何查看 Mac 上哪些 App 在联网](/blogs/how-to-see-which-apps-are-using-internet-on-mac)和[如何在 Mac 上禁止 App 联网](/blogs/how-to-block-app-internet-access-mac)。

## 5. TinyShield 免费版

[TinyShield](/) 是一款用于监控和阻止网络连接的原生 Mac App。下载后即可先使用免费版，再决定是否购买。

<Video
  src="/assets/videos/tinyshield-monitor-traffic.mp4"
  className="rounded-lg shadow-lg my-6 w-full h-auto"
  alt="TinyShield 在 Mac 上监控网络流量"
/>

免费版可以做到：

- ✅ **监控所有连接**，按 App 和 macOS 服务分组
- ✅ 查看每个 App 的**主机名、IP 地址、端口和状态**
- ✅ 使用 **GeoIP map** 查看流量去向
- ✅ 使用 **Allow All 模式**，配合 Block List 规则
- ✅ 右键即可**阻止 App 和域名**，体验完整的操作流程

TinyShield PRO 额外提供：

- ⭐ **无限阻止规则**
- ⭐ **Require Approval**：新 App 会等待，直到你允许或阻止它
- ⭐ **Block All**：默认拒绝模式，配合 Allow List 使用

![TinyShield 免费版与 PRO 功能](/assets/images/blogs/alternative-lulu/tinyShield_ui_2.jpg)

准备好升级时，PRO 是**一次性购买**，不是订阅。Standard 和 Combo 包含两年更新，到期后仍可继续使用。Lifetime Deal 包含终身更新。当前价格请查看[价格页面](/pricing)。

## 对比表

| | 阻止功能的价格 | 监控 | 阻止 App | 联网前询问 | 原生界面 |
| --- | --- | --- | --- | --- | --- |
| Little Snitch 演示版 | 演示结束后付费 | ✅ | ✅ | ✅ | ✅ |
| Little Snitch Mini | App 内购买 | ✅ 免费 | 付费 | — | ✅ |
| LuLu | 免费 | ✅ | ✅ | ✅ | 基础 |
| macOS 自带工具 | 免费 | 部分 | ❌ | ❌ | ✅ |
| TinyShield | 免费试用，PRO 一次性购买 | ✅ 免费 | ✅ | ✅ PRO | ✅ |

## 该选哪一款？

- 想要**永久免费且带提醒**？用 **LuLu**。
- 想要**免费监控和漂亮的图表**？试试 **Little Snitch Mini**。
- 想在**购买前试用 Little Snitch**？用它的**演示模式**。
- 想要**清晰的监控、简单的阻止，以及价格公道的一次性升级**？试试 **TinyShield**。

## 关于破解版软件

你可能会看到一些“Little Snitch 免费下载”网站提供破解版。请远离它们。防火墙对你的网络流量拥有很深的访问权限，而被篡改的安装包，恰恰是防火墙本该帮你防范的那类软件。请改用官方演示版或正规的免费工具。

## 总结

没有完美的免费版 Little Snitch，但你仍有不错的选择：

- **LuLu**：免费、开源的阻止工具
- **Little Snitch Mini**：免费监控
- **TinyShield**：简洁的“监控 + 阻止”流程，可以免费试用

想看更深入的对比？请阅读 [Little Snitch vs LuLu](/blogs/little-snitch-vs-lulu) 或 [TinyShield vs Little Snitch](/blogs/tiny-shield-alternative-to-little-snitch)。

[免费下载 TinyShield](https://api-tinyshield.proxyman.com/api/releases/download/tinyshield.dmg)，看看你的 Mac 都连接了哪些地方。


在找免费的 Little Snitch 替代品？对比 LuLu、Little Snitch Mini、macOS 自带工具和 TinyShield 免费版，附优缺点分析。

Mac 上免费的 Little Snitch 替代品（2026）


有些 App 根本不需要联网也能正常工作。但修图软件、PDF 阅读器，或者一次性买断的游戏，仍可能在后台发送分析数据、验证许可证或下载广告。

你想**禁止这个 App 联网**，同时不影响其他一切。在 Mac 上该怎么做？

> **在本指南中，你将了解：**
>
> - 为什么 macOS 自带的防火墙无法阻止出站流量
> - 如何用 hosts 文件阻止网站或域名
> - 如何用 TinyShield 阻止单个 App、单个域名或所有未知流量
> - 如何测试规则并安全地撤销

## 为什么要阻止 App 联网？

常见原因：

- **隐私**：阻止分析、遥测和跟踪请求。
- **专注**：工作时让分散注意力的 App 保持离线。
- **安全**：阻止不信任的 App 发送数据。
- **带宽**：在网速慢或使用移动网络时，阻止后台的大型下载。
- **测试**：查看自己开发的 App 在服务器无法访问时的表现。

## macOS 防火墙能阻止出站流量吗？

不能。很多人首先会尝试它，所以值得解释一下。

1. 打开**系统设置 → 网络 → 防火墙**。
2. 打开防火墙，然后点按**选项**。
3. 你可以为某个 App 阻止**入站**连接。

macOS 防火墙保护 Mac 免受**外部传入**的连接，但它**不会**阻止 App 主动**向外**连接互联网。要阻止 App 发送数据，需要一款出站防火墙。

## 方法 1：用 hosts 文件阻止域名

`/etc/hosts` 文件可以把某个域名指向一个无法访问的地址。它对 Mac 上的所有 App 都有效。

1. 打开**终端**。
2. 编辑 hosts 文件：

   ```bash
   sudo nano /etc/hosts
   ```

3. 为每个要阻止的域名添加一行：

   ```bash
   0.0.0.0 analytics.example.com
   ```

4. 按 `Control + O` 保存，再按 `Control + X` 退出。
5. 清除 DNS 缓存：

   ```bash
   sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder
   ```

优点：

- ✅ 系统自带，免费
- ✅ 可以阻止少量已知域名

局限：

- ❌ 它会对**所有 App** 阻止该域名，而不是只针对一个 App
- ❌ 不支持**通配符**：必须逐个列出每个子域名
- ❌ 无法阻止直接通过 **IP 地址**连接或使用自有 DNS 的 App
- ❌ 必须先知道域名
- ❌ 容易忘记自己改过什么

## 方法 2：用 TinyShield 阻止 App 联网

[TinyShield](/) 是一款原生 Mac 防火墙，可以精确阻止你选择的对象：整个 App、单个域名、通配符域名或某个 IP 地址。

<Video
  src="/assets/videos/tinyshield_demo_blockList.mp4"
  className="rounded-lg shadow-lg my-6 w-full h-auto"
  alt="在 Mac 上用 TinyShield 阻止 App 和域名"
/>

### 阻止整个 App

1. [下载 TinyShield](https://api-tinyshield.proxyman.com/api/releases/download/tinyshield.dmg)，并完成 [Network Extension 设置](/docs/features/network-extension)。
2. 打开要阻止的 App，让它出现在 TinyShield 中。
3. 在 TinyShield 列表中找到该 App。
4. 右键点击该 App，选择 **Add to Block List**。
5. 再次使用该 App，它的连接会以红色显示为已阻止。

### 只阻止一个域名

阻止整个 App 可能导致登录、更新或同步失败。很多时候，你只想拦住某个跟踪器。

1. 在 TinyShield 中展开该 App，查看它的域名和 IP 地址。
2. 右键点击某个域名，例如某个分析服务的主机。
3. 选择 **Add to Block List**。
4. 该 App 的其余部分仍可正常联网。

想阻止所有子域名？打开 **Tools → Block List**，添加通配符规则，例如 `*.example.com`。

![TinyShield 的 Block List，包含 App 和域名](/assets/images/tinyshield_demo_blockList.jpeg)

## 方法 3：拦截所有未知流量

有时你还不知道该阻止哪个 App，只希望新 App 联网前**先问一下**。

TinyShield 有三种[连接模式](/docs/features/allow-all-mode)，可通过窗口右上角的按钮选择：

| 模式 | 效果 | 适合 |
| --- | --- | --- |
| **Allow All** | 除 Block List 中的项目外，全部可以连接 | 日常使用 |
| **Require Approval** | 新 App 需等你允许或阻止后才能联网 | 发现未知 App |
| **Block All** | 除 Allow List 中的项目外，全部阻止 | 严格保护隐私或保持专注 |

<Video
  src="/assets/videos/tinyshield-connection-modes-demo.mp4"
  className="rounded-lg shadow-lg my-6 w-full h-auto"
  alt="在 TinyShield 中切换 Allow All、Require Approval 和 Block All 模式"
/>

**Require Approval** 是在不需要的流量发生之前就将其拦截的最简单方式：

- ✅ 新 App 尝试联网时，TinyShield 会将其暂停
- ✅ 可以看到 App 名称、文件路径、代码签名和连接目标
- ✅ 选择 **Allow** 或 **Block**，TinyShield 会记住你的选择
- ✅ 之后可以在 **Tools → App Connection Decisions** 中更改决定

阅读完整的 [Require Approval 指南](/docs/features/require-approval)和 [Block All 指南](/docs/features/block-all-mode)。Require Approval 和 Block All 是 TinyShield PRO 功能。

## 对比几种方法

| | macOS 防火墙 | hosts 文件 | TinyShield |
| --- | --- | --- | --- |
| 阻止出站流量 | ❌ | ✅ 按域名 | ✅ |
| 阻止某个特定 App | ❌ | ❌ | ✅ |
| 只为某个 App 阻止某个域名 | ❌ | ❌ | ✅ |
| 通配符域名 | ❌ | ❌ | ✅ |
| 按 IP 地址阻止 | ❌ | ❌ | ✅ |
| 新 App 联网前询问 | ❌ | ❌ | ✅ (PRO) |
| 无需使用终端 | ✅ | ❌ | ✅ |

## 安全阻止的小技巧

- **从小范围开始**：先阻止一个域名，再考虑阻止整个 App。
- **立即测试**：在 App 中重试刚才的操作，确认该行变成红色。
- **留意副作用**：被阻止的 App 可能无法登录、更新或同步。
- **不要阻止 macOS 系统服务**，除非你清楚它们的用途。
- **保持规则整洁**：检查 Block List，删除不再需要的规则。

## 总结

- **macOS 防火墙**只能阻止入站连接。
- **hosts 文件**可以阻止少量域名，但无法针对特定 App。
- **TinyShield** 右键即可阻止 App、域名、通配符域名或 IP 地址，还能在任何新 App 联网前先询问你。

还不确定该阻止哪些 App？先看看[如何查看 Mac 上哪些 App 在联网](/blogs/how-to-see-which-apps-are-using-internet-on-mac)。正在比较防火墙？请阅读 [Little Snitch vs LuLu](/blogs/little-snitch-vs-lulu)。

[下载 TinyShield](https://api-tinyshield.proxyman.com/api/releases/download/tinyshield.dmg)，不到一分钟就能阻止第一个 App。


了解如何在 Mac 上阻止某个 App 联网、阻止域名，或拦截不需要的出站流量。对比 macOS 防火墙、hosts 文件和 TinyShield，附分步教程。

如何在 Mac 上禁止 App 联网


你想控制 Mac 上哪些 App 可以联网。搜索防火墙时，总会反复看到两个名字：**Little Snitch** 和 **LuLu**。

一个是历史悠久的商业软件，高级选项众多；另一个免费且开源。该装哪一个？

> **在本指南中，你将了解：**
>
> - Little Snitch 和 LuLu 各自的优势
> - 两者在价格、连接提醒、规则和监控方面的实际差异
> - 哪款适合新手、高级用户和注重隐私的用户
> - 什么情况下 TinyShield 是更好的折中选择

## 为什么不直接用 macOS 防火墙？

**系统设置 → 网络 → 防火墙**中的防火墙控制的是**入站**连接，它不会阻止 Mac 上的 App 向**外**发送数据。

所以人们会安装 Little Snitch、LuLu 或 [TinyShield](/) 这样的出站防火墙。它们回答的是另一个问题：*“这个 App 应该被允许联网吗？”*

## Little Snitch 概览

Objective Development 出品的 [Little Snitch](https://www.obdev.at/products/littlesnitch/index.html) 是 Mac 上最知名的网络监控和应用防火墙之一。

它的优势：

- ✅ **连接提醒**：每个新连接都会询问你允许还是拒绝
- ✅ **Silent Mode**（静默模式）：先允许连接，之后再审核
- ✅ **Network Monitor**（网络监控）：提供世界地图、流量图表和每个连接的详细信息
- ✅ **精细规则**：可按 App、服务器、域名、端口或协议设置
- ✅ **配置文件**：可自动切换，例如在家中或连接公共 Wi-Fi 时
- ✅ **拦截列表**、DNS 加密和命令行工具

需要考虑的地方：

- ❌ 它是**付费软件**。演示版每次可运行三小时，之后可以重新启动。
- ❌ 如果只想阻止几个 App，众多选项可能让人**无所适从**。
- ❌ 可能需要花些时间，才能弄懂规则、配置文件和规则组如何配合使用。

Mac App Store 上还有 **Little Snitch Mini**。它的网络监控功能免费，而阻止连接需要 App 内购买。

## LuLu 概览

Objective-See 出品的 [LuLu](https://objective-see.org/products/lulu.html) 是一款**免费、开源**的防火墙，可阻止未知的出站连接。

![Netiquette：Objective-See 出品的网络监控工具](/assets/images/blogs/alternative-lulu/lulu_ui.jpg)

它的优势：

- ✅ **免费且开源**，代码托管在 GitHub 上
- ✅ 新出站连接**提醒**，附带代码签名信息
- ✅ **规则**可针对整个程序或单个端点，并可设置有效期
- ✅ **拦截列表和允许列表**，可来自本地文件或远程 URL
- ✅ **Passive mode**（被动模式）：按规则处理连接，不显示提醒
- ✅ **配置文件**：各自拥有独立的规则和设置

需要考虑的地方：

- ❌ 它**只过滤出站流量**。
- ❌ 按主机名阻止仅对使用 Network.framework 或 NSURLSession 的 App 有效。据 Objective-See 介绍，Chrome 等浏览器只能按 **IP 地址**阻止。
- ❌ 它的网络监控工具（Netiquette）常常只显示 IP 地址或云服务器名称，而不是 App 实际请求的域名。
- ❌ 界面够用，但比一般的 Mac App 更偏技术化。

## Little Snitch vs LuLu：并排对比

| | Little Snitch | LuLu |
| --- | --- | --- |
| 价格 | 付费许可证 | 免费 |
| 源代码 | 闭源 | 开源 |
| 连接提醒 | ✅ | ✅ |
| 静默/被动模式 | ✅ Silent Mode | ✅ Passive mode |
| 网络监控 | ✅ 带地图和图表 | ✅ Netiquette，列表视图 |
| 规则粒度 | App、域名、端口、协议、配置文件 | App 或端点、配置文件 |
| 拦截列表 | ✅ 精选列表，自动更新 | ✅ 来自文件或 URL |
| 上手难度 | 较高 | 中等 |

最新功能和价格请以官网为准。两款 App 都在积极开发中。

## 该选哪一款？

**以下情况选择 Little Snitch：**

- 你想要最精细的规则系统
- 你喜欢图表、配置文件，以及对每个连接的精细控制
- 你不介意付费，也愿意学习更高级的工具

**以下情况选择 LuLu：**

- 你想要免费工具
- 你很看重开源
- 你能接受简单、偏技术化的界面，以及偶尔只能按 IP 设置的规则

## 折中之选：TinyShield

很多人的需求介于两者之间：Little Snitch 太复杂，LuLu 又太简陋。他们想要的是**看清每个 App 在做什么，然后一键阻止**。

[TinyShield](/) 正是为这种使用方式而打造的。

<Video
  src="/assets/videos/Tinyshield_demo_hero_2.mp4"
  className="rounded-lg shadow-lg my-6 w-full h-auto"
  alt="TinyShield 显示 Mac App 及其连接的域名"
/>

你将获得：

- ✅ **一个窗口**完成监控和阻止，按 App 分组
- ✅ 每个 App 的**主机名和 IP 地址**，外加搜索栏
- ✅ 右键即可**阻止 App、域名、通配符域名或 IP**
- ✅ **三种简单模式**：Allow All、Require Approval 和 Block All
- ✅ **GeoIP map**，查看流量去向
- ✅ **原生、现代的 macOS 设计**
- ✅ **一次性购买**，无需订阅，另有 Lifetime Deal 可选

### Require Approval：有提醒，不打扰

与 Little Snitch 和 LuLu 的提醒流程类似，[Require Approval](/docs/features/require-approval) 会暂停 TinyShield 尚未认识的 App 发起的连接。你可以看到该 App、它的代码签名和连接目标，然后选择 **Allow** 或 **Block**。TinyShield 会记住你的选择。

<Video
  src="/assets/videos/tinyshield-require-approval.mp4"
  className="rounded-lg shadow-lg my-6 w-full h-auto"
  alt="TinyShield 中针对新 Mac App 的 Require Approval 窗口"
/>

### 三款快速对比

| | Little Snitch | LuLu | TinyShield |
| --- | --- | --- | --- |
| 价格 | 付费 | 免费 | 免费试用，PRO 许可证一次性购买 |
| 按 App 显示易读的域名 | ✅ | 部分 | ✅ |
| 新 App 联网前询问 | ✅ | ✅ | ✅ (PRO) |
| 默认阻止所有连接 | 通过规则实现 | ✅ Block mode | ✅ Block All (PRO) |
| GeoIP 地图 | ✅ | ❌ | ✅ |
| 上手难度 | 较高 | 中等 | 低 |

## 提示：一次只运行一款防火墙

同时运行多个连接过滤工具会让结果难以判断，还可能导致连接中断。先测试一款，做出决定后，再移除其他的。

## 总结

- **Little Snitch** 适合高级用户，规则系统最为深入。
- **LuLu** 是最佳的免费开源选择。
- **TinyShield** 适合想要清晰监控、快速阻止，又不想面对陡峭学习曲线的用户。

想了解更多？请阅读 [TinyShield vs Little Snitch](/blogs/tiny-shield-alternative-to-little-snitch)、[TinyShield vs LuLu](/blogs/tiny-shield-alternative-to-Lulu)，或了解[如何查看 Mac 上哪些 App 在联网](/blogs/how-to-see-which-apps-are-using-internet-on-mac)。

[下载 TinyShield](https://api-tinyshield.proxyman.com/api/releases/download/tinyshield.dmg)，或查看[价格方案](/pricing)。


Little Snitch 与 LuLu 全面对比：功能、价格、连接提醒和局限。看看哪款 Mac 防火墙适合你，以及什么时候 TinyShield 是更简单的折中选择。

Little Snitch vs LuLu：哪款 Mac 防火墙更适合你？


Mac 变慢了，风扇狂转，或者明明什么都没做，上传速度却突然飙升。你开始好奇：**现在是哪个 App 在联网？它把数据发到了哪里？**

macOS 没有一个能直接回答这个问题的界面。它提供了几个独立的工具，每个只能显示一部分信息。

> **在本指南中，你将了解：**
>
> - 如何用活动监视器查看每个 App 的网络使用情况
> - 如何用终端命令列出实时连接
> - 为什么光看 IP 地址很难看懂
> - 如何用 TinyShield 在一处查看所有 App、域名和国家/地区
> - 发现不信任的连接时该怎么办

## 为什么要查看 App 的网络活动？

大多数连接都是正常的：App 会检查更新、同步文件、加载广告、发送崩溃报告。不过，了解正在发生什么仍然很有用：

- **隐私**：查看哪些 App 把数据发送到分析或跟踪服务器。
- **性能**：找出占用带宽的 App。
- **安全**：发现正在联网的陌生进程。
- **调试**：检查自己开发的 App 是否请求了正确的服务器。
- **流量限制**：使用热点时节省移动数据流量。

## 方法 1：活动监视器（系统自带）

想知道每个 App 用了**多少**数据，活动监视器是最快的方法。

1. 从“应用程序 → 实用工具”中打开**活动监视器**，或用“聚焦”（Spotlight）搜索它。
2. 选择**网络**标签页。
3. 点按 **Sent Bytes**（发送字节）或 **Rcvd Bytes**（接收字节）列进行排序。
4. 排在最上面的 App 使用的数据最多。

活动监视器的优点：

- ✅ 每台 Mac 都自带，无需安装
- ✅ 显示每个进程收发的字节数和数据包数

它做不到的：

- ❌ 显示数据发往**哪里**：没有域名，也没有 IP 地址
- ❌ 显示进程退出后的连接历史
- ❌ 阻止任何连接

## 方法 2：终端命令（系统自带）

如果你熟悉终端，macOS 自带两个很有用的命令。

**用 `lsof` 列出当前打开的网络连接：**

```bash
sudo lsof -i -P -n | grep ESTABLISHED
```

- `-i` 显示网络连接。
- `-P` 显示端口号，而不是服务名称。
- `-n` 直接显示 IP 地址，不解析主机名。

每一行显示进程名称、PID 和远程地址，例如 `Slack 943 ... 192.168.1.17:50765->13.251.235.250:443`。

**用 `nettop` 查看实时使用情况：**

```bash
nettop -m tcp
```

`nettop` 每秒刷新一次，并把连接归类到各个进程下。按 `q` 退出。

终端命令很强大，但是：

- ❌ 输出内容很长，难以快速浏览
- ❌ 看到的大多是 IP 地址，而不是易读的域名
- ❌ 只是某一时刻的快照：短暂的连接可能在你注意到之前就出现又消失了
- ❌ 仍然无法在这里阻止任何连接

## 问题在于：IP 地址说明不了太多

看看下面的截图。它显示 Slack 连接了许多远程服务器，但你只能看到 `ec2-13-251-235-250...` 这样的原始地址。

![一个只显示各连接 IP 地址的网络监控工具](/assets/images/blogs/alternative-lulu/show_ip.jpg)

IP 地址往往属于某家云服务商，而不是你以为的那家公司。一个 App 还可能使用几十个地址。要做出判断，通常需要知道：

- 发起连接的 **App**
- **域名**，例如 `api.branch.io` 或 `accounts.spotify.com`
- 服务器所在的**国家/地区**
- 连接是否**仍然活跃**

## 方法 3：TinyShield（App、域名和国家/地区一目了然）

[TinyShield](/) 是一款原生 macOS App，会按 App 分组显示所有网络连接。展开某个 App，就能看到它访问过的具体域名和 IP 地址。

<Video
  src="/assets/videos/Tinyshield_demo_monitor.mp4"
  className="rounded-lg shadow-lg my-6 w-full h-auto"
  alt="TinyShield 监控 Mac App 的网络连接"
/>

**如何开始：**

1. [下载 TinyShield](https://api-tinyshield.proxyman.com/api/releases/download/tinyshield.dmg)，并将其移到**应用程序**文件夹。
2. 打开 TinyShield，选择 **Get Started**。
3. 安装 Network Extension，并在系统设置中允许**过滤网络内容**（Filter Network Content）。参见[安装指南](/docs/features/network-extension)。
4. 打开任意一个会联网的 App。
5. 在 TinyShield 中展开该 App，查看它的域名和 IP 地址。

在下面的截图中，Spotify 已展开。可以看到它使用的每个主机名，例如 `spclient.wg.spotify.com` 和 `api.branch.io`，以及连接是否处于活跃状态。

![TinyShield 显示 Spotify 在 Mac 上连接的域名](/assets/images/tinyshield_show_hostname.jpeg)

TinyShield 能为你提供：

- ✅ 连接**按 App 分组**，包括 macOS 系统服务
- ✅ **主机名**、IP 地址、端口和连接状态
- ✅ **搜索栏**，快速找到某个 App 或域名
- ✅ **时间筛选**，专注于最近的活动
- ✅ **GeoIP map**，查看 App 连接到了哪些国家/地区
- ✅ 所有监控数据都**保留在你的 Mac 上**

TinyShield 记录的是连接信息，而不是流量内容，也不会解密 HTTPS 请求。详情请阅读[网络监控指南](/docs/features/monitor-network)。

## 在地图上查看数据去向

点击 TinyShield 工具栏中的 **Map** 按钮，即可在世界地图上查看连接目标。右键点击某个 App 或域名，选择 **Show in Map**，即可聚焦查看它的流量。

<Video
  src="/assets/videos/tinyshield-geoip.mp4"
  className="rounded-lg shadow-lg my-6 w-full h-auto"
  alt="TinyShield 的 GeoIP map 显示 Mac App 连接到哪里"
/>

GeoIP 位置只是大致估算。使用 VPN、CDN 和 Apple 专用代理（Private Relay）时，显示的位置可能与实际服务所在地不同。请把地图当作参考信息，而不是判断是否安全的依据。参见 [GeoIP map 指南](/docs/features/geoip-map)。

## 快速对比

| 工具 | 按 App 查看用量 | 域名 | 实时历史记录 | 拦截流量 |
| --- | --- | --- | --- | --- |
| 活动监视器 | ✅ | ❌ | ❌ | ❌ |
| `lsof` / `nettop` | ✅ | 部分 | ❌ | ❌ |
| TinyShield | ✅ | ✅ | ✅ | ✅ |

## 发现了不信任的连接？

不要一下子全部阻止。从小处着手：

- **搜索该域名**，了解它属于谁。
- 先**只阻止一个域名**，让 App 的其他部分继续正常工作。
- 只有在不需要某个 App 联网时，才**阻止整个 App**。
- 添加规则后**测试该 App**，如果出现问题就删除规则。

在 TinyShield 中，右键点击 App、域名或 IP 地址，选择 **Add to Block List**。详情请参阅[如何阻止 App 和域名](/docs/features/block-apps-and-domains)。

## 总结

- 用**活动监视器**查看哪个 App 使用的数据最多。
- 用 **`lsof` 或 `nettop`** 快速获取技术快照。
- 想在一个简洁的视图中查看所有 App、域名和国家/地区，并阻止不想要的连接，就用 **TinyShield**。

想把 TinyShield 和其他 Mac 防火墙做个比较？请阅读我们的 [Little Snitch 对比](/blogs/tiny-shield-alternative-to-little-snitch)和 [LuLu 对比](/blogs/tiny-shield-alternative-to-Lulu)。

[下载 TinyShield](https://api-tinyshield.proxyman.com/api/releases/download/tinyshield.dmg)，不到一分钟就能看到哪些 App 在使用你的网络。


查出 Mac 上哪些 App 正在连接互联网，以及它们把数据发到了哪里。从简单到详细：活动监视器、终端和 TinyShield。

如何查看 Mac 上哪些 App 在联网


Little Snitch 功能强大。但对很多人来说，如果只是想弄清楚下面这一个问题，它就显得有些复杂了：

**哪个 App 正在联网？我能不能阻止它？**

TinyShield 正是为这种更简单的需求而设计的。它在一个简洁的 Mac App 中展示网络活动，帮你看懂每个 App 在做什么，无需折腾复杂的设置，就能拦截不需要的流量。

## TinyShield 演示

<Video 
  src="/assets/videos/Tinyshield_demo_hero_2.mp4" 
  className="rounded-lg shadow-lg my-6 w-full h-auto"
  width="2274"
  height="1880"
  alt="TinyShield 显示各 App 的连接及其目标"
/>

## 有什么不同？

- **界面更简单**：TinyShield 只关注你真正需要查看的 App 和连接。
- **轻松阻止**：无需先搭建复杂的规则集，就能阻止某个 App、IP 或域名。
- **App 活动一目了然**：流量按 App 分组显示，更容易看懂发生了什么。
- **原生 Mac 体验**：TinyShield 的设计轻巧、现代，在 macOS 上用起来自然又熟悉。
- **一次性购买**：Standard 和 Combo 均为一次性购买，含 2 年更新。
- **Lifetime Deal**：如果想获得后续更新又不想续费，Lifetime Deal 包含 2 台 macOS 设备和终身更新。

## 问题所在

大多数 Mac 用户并不想成为防火墙专家。他们只想发现陌生的连接，阻止不信任的 App，然后继续工作。

这正是 TinyShield 擅长的地方。重要的控制项触手可及，没有杂乱的界面，阻止连接就像平常使用 Mac 一样自然。

## 更合适的选择

如果想要一款更易看懂、更易上手、购买也更简单的 Little Snitch 替代品，就选 TinyShield。

重要的功能一样不少：监控、按 App 查看活动，以及阻止连接。只是用起来更简洁。

准备好试试了吗？[下载 TinyShield](https://api-tinyshield.proxyman.com/api/releases/download/tinyshield.dmg)，或[查看价格方案](/pricing)。


## 切换前先对比

Little Snitch 是一款 macOS 网络监控和应用防火墙软件。其官网介绍了连接提醒、规则和网络监控等功能。请结合自己的需求，查看 [Little Snitch 当前的功能](https://www.obdev.at/products/littlesnitch/index.html)。

| 任务 | 要检查什么 |
| --- | --- |
| 弄清一个陌生的连接 | 能否在不丢失上下文的情况下，识别出 App 及其连接目标？ |
| 决定是否允许新 App 联网 | 试试 TinyShield 的 [Require Approval 模式](/docs/features/require-approval)，以及 Little Snitch 中对应的提醒流程。 |
| 阻止并撤销规则 | 用一个无关紧要的 App 测试，确认结果后删除规则。参见 [TinyShield 规则指南](/docs/features/block-apps-and-domains)。 |
| 查看连接位置 | 试试 TinyShield 的 [GeoIP map](/docs/features/geoip-map)；位置只是参考信息，不代表是否安全。 |

每次只测试一款防火墙，并使用你实际在用的 App。选择能让你清楚做出判断的那套流程。如果想要免费、开源的选择，请看我们的 [LuLu 对比](/blogs/tiny-shield-alternative-to-Lulu)。


TinyShield 是一款简单的 Little Snitch 替代品，适合想要清晰网络监控、快速阻止连接和一次性购买的 Mac 用户。

TinyShield vs Little Snitch：Mac 防火墙使用流程对比


如果想要一款免费、开源的出站连接控制工具，选 **LuLu**。如果想按 App 查看网络活动、检查连接目标，并在原生 Mac 界面中管理允许/阻止决定，可以试试 **TinyShield**。

![TinyShield 在 macOS 上显示各 App 的连接](/assets/images/blogs/alternative-lulu/tinyShield_ui.jpg)

## 对比使用流程

| 你最看重的 | 从哪里开始 |
| --- | --- |
| 公开源代码的免费软件 | [Objective-See 出品的 LuLu](https://objective-see.org/products/lulu.html) |
| 先查看 App 活动和连接目标，再修改规则 | TinyShield 的[连接监控](/docs/features/monitor-network) |
| 决定是否允许新 App 联网 | 试试 TinyShield 的 [Require Approval 模式](/docs/features/require-approval)和 LuLu 的出站连接提醒 |
| 阻止某个 App 或连接目标 | 用一个无关紧要的测试 App，对比两款工具的规则范围 |
| 一次性购买的商业许可证 | 查看 TinyShield 当前的[购买方案和更新期限](/pricing) |

## LuLu 支持哪些功能

Objective-See 的文档介绍了针对 App 和远程端点的规则、规则有效期，以及提醒中显示的目标信息。文档还说明了某些网络 API 下按主机名阻止的局限。请用自己的 App 核实这些细节，不要默认每个连接都能提供可用的主机名。[阅读 LuLu 官方文档](https://objective-see.org/products/lulu.html)。

## 用一个 App 试用 TinyShield

1. 按照 [Network Extension 设置指南](/docs/features/network-extension)操作，并批准 macOS 的权限请求。
2. 打开一个无关紧要的测试 App，在 TinyShield 中查看它的连接目标。
3. 使用 [Require Approval](/docs/features/require-approval) 决定新 App 能否联网。
4. 添加 App 或域名规则，重试连接，测试完成后删除该规则。

<Video
  src="/assets/videos/tinyshield_demo_blockList.mp4"
  width="1888"
  height="1672"
  className="rounded-lg shadow-lg my-6 w-full h-auto"
  alt="在 TinyShield 中阻止 App 或连接目标"
/>

具体的操作和规则行为，请参阅[阻止 App 和域名](/docs/features/block-apps-and-domains)。连接防火墙可以帮你控制网络访问，但允许/阻止规则并不能证明某个 App 或连接目标是安全的。

## 用自己的日常工作来判断

用工作中实际使用的 App 来测试，包括浏览器、命令行工具和后台服务。看看提示是否清晰、目标信息是否有用、撤销规则是否方便。对比期间不要同时运行多个连接过滤工具，否则结果会更难解读。

如果最看重免费、开源的出站过滤，LuLu 是很好的起点。如果 TinyShield 以 App 为中心的监控和规则流程符合你的工作方式，就值得一试。也可以阅读我们的 [Little Snitch 对比](/blogs/tiny-shield-alternative-to-little-snitch)。

[下载 TinyShield](https://api-tinyshield.proxyman.com/api/releases/download/tinyshield.dmg)，或查看[价格方案](/pricing)。


对比 TinyShield 和 LuLu 如何控制 Mac 上的 App 连接：使用流程、许可方式，以及一份挑选 macOS 防火墙的实用清单。

TinyShield 博客