Mac终端同时运行Packet Tunnel Provider与App Proxy Provider时的流量走向规则

• 先明确这两种Provider的核心差异和系统优先级逻辑：

  • Packet Tunnel Provider是网络层/链路级代理，会创建utun虚拟接口并修改系统路由表，优先级高于App Proxy Provider。如果它配置了全局路由规则（大多数场景下的默认设置），理论上所有系统流量都会走它。
  • App Proxy Provider属于应用层代理，只对匹配NEDNSSettings或NEAppProxyRules规则的App、域名生效，默认不会接管全局流量。

• 你碰到的“随机转发”情况，基本是以下原因导致：

  1. 规则重叠冲突：如果App Proxy也配置了全局匹配规则（比如通配符*域名或允许所有App），同时Packet Tunnel的路由规则没完全覆盖所有流量类型，系统会根据流量的协议类型（TCP/UDP）、发起进程的权限等因素，动态选择代理路径。
  2. 系统代理配置顺序问题：在系统后台的com.apple.networkextension.plist配置文件中，多个活跃代理的排列顺序会影响fallback逻辑——当高优先级代理没匹配到流量时，系统会按顺序尝试下一个代理，看起来就像“随机”转发。

• 可以这么排查和解决：

  • 明确分工：让Packet Tunnel处理全局流量，App Proxy只针对特定App或域名做代理补充；
  • 检查两种Provider的规则配置，删掉不必要的全局匹配规则，避免重叠；
  • 用networkextension list命令行工具查看当前活跃的代理配置，确认规则的优先级和覆盖范围。

内容的提问来源于stack exchange，提问作者yanran