macOS系统绑定VPN占用物理网卡时socket连接失败排查

问题现象 #

在开启多条VPN连接的macOS上，通过setsockopt搭配IP_BOUND_IF将socket绑定到指定接口发起连接时：

• 绑定VPN生成的utun虚拟接口、未承载VPN流量的物理接口时连接正常
• 绑定承载VPN流量的物理接口（比如示例里的en0，是VPN的底层出接口）时，连接报错errno 51 Network is unreachable
  复现代码、网络场景、路由表信息见问题描述部分。

根因说明 #

这是macOS路由表的接口作用域（ifscope）隔离机制导致的，和全局路由表是否存在默认路由没有直接关系：

1. VPN启动后会注入0/1、128.0/1两条半长默认路由，前缀长度比物理接口的0/0默认路由更长，路由优先级更高，全局默认流量会被导向VPN隧道。
2. 系统自动生成的en0默认路由不带I标记，属于全局路由域条目，不属于en0接口的专属路由域。当socket通过IP_BOUND_IF强制绑定接口后，内核路由查找逻辑只会匹配对应接口专属作用域下的路由条目，不会读取全局域的默认路由。
3. 执行route get -ifscope en0 1.1.1.1返回not in table就是直接证据：en0的专属路由域内没有匹配公网目标地址的路由条目，内核直接返回网络不可达错误。
4. 绑定utun接口、未承载VPN的物理接口能正常连通，是因为前者启动时VPN客户端会自动向utun的专属路由域注入对应路由，后者没有高优先级VPN路由覆盖时，系统会自动将全局默认路由同步到接口专属路由域，路由查找可以命中。

手动添加route add -ifscope en0 0/0 192.168.20.1后连接恢复正常，本质是手动向en0的专属路由域注入了一条带I标记的接口域默认路由，绑定en0的socket查路由时可以命中0/0前缀，所以能正常转发。而且这条带I标记的路由仅对绑定en0的socket生效，全局未绑定接口的流量还是会优先匹配前缀更长的VPN半段路由，不会出现流量泄露。

无需修改全局路由的实现方案 #

优先使用macOS原生的connectx系统调用，完全跳过常规路由查找流程，不需要添加任何静态路由，也不会影响全局网络配置：
connectx可以在发起连接时直接指定出站接口、下一跳网关地址，直接在协议栈层完成转发路径指定，不需要依赖路由表条目。替换原有connect逻辑的示例代码如下：

#include <sys/connectx.h>
#include <net/if.h>
#include <netinet/in.h>
#include <arpa/inet.h>

// 省略前面创建socket、获取接口索引、填充目标服务器地址servAddr的逻辑
// 动态获取对应接口的默认网关地址，示例硬编码为en0的网关192.168.20.1，生产环境建议通过getifaddrs+sysctl动态读取
struct sockaddr_in gw_addr = {0};
gw_addr.sin_len = sizeof(gw_addr);
gw_addr.sin_family = AF_INET;
inet_pton(AF_INET, "192.168.20.1", &gw_addr.sin_addr);

// 构造连接端点参数
struct sa_endpoints eps = {0};
eps.sae_dstaddr = (struct sockaddr*)&servAddr;
eps.sae_dstaddrlen = sizeof(servAddr);
eps.sae_gwaddr = (struct sockaddr*)&gw_addr;
eps.sae_gwaddrlen = sizeof(gw_addr);

// 发起连接，传入之前通过if_nametoindex拿到的en0接口索引，不需要额外调用setsockopt绑定IP_BOUND_IF
int cx_ret = connectx(socketDesc, &eps, interfaceIndex, 0, NULL, 0, NULL, NULL);
if (cx_ret < 0) {
    printf("connect failed, errno: %d", errno);
    close(socketDesc);
    return;
}
printf("connection succeeded\n");
close(socketDesc);

补充说明 #

• 如果不想使用平台专属的connectx调用，手动添加接口域默认路由的方案影响极小：带I标记的ifscope路由仅对绑定对应接口的socket生效，不会改变全局流量的默认走向，VPN流量不会泄露。
• 注意macOS上SO_BINDTODEVICE套接字选项不生效，接口绑定请使用IP_BOUND_IF/IPV6_BOUND_IF，或直接通过connectx传入接口索引。
• 如果需要完全避免DNS流量走VPN，建议在域名解析阶段也通过dnssd接口指定对应接口索引发起解析，不要用默认的gethostbyname调用。

内容的提问来源于stack exchange，提问作者Bri Bri