Mac OSX是否记录网络连接地址与传输统计？如何查找相关日志？

好问题！Mac OS X 默认并不会自动持久化记录所有网络活动的完整连接地址和对应的发送/接收字节统计——像你提到的nettop是实时展示当前连接状态，它的数据不会自动保存成历史日志文件。不过你可以通过以下几种方式获取这类历史信息：

• 系统自带日志工具：使用log show命令可以过滤系统中与网络相关的日志，比如针对com.apple.network子系统的日志，能看到连接的源/目标IP、端口以及连接状态变化（比如建立、断开）。举个实用的命令示例：

  log show --predicate 'subsystem == "com.apple.network"' --info --last 1h
  

  注意：默认情况下这类日志不会记录详细的字节传输统计，更多是事件层面的记录。

• 第三方监控工具：如果需要完整、持续的连接历史和字节统计，推荐使用专门的网络监控工具：

  • Little Snitch：一款付费的防火墙工具，不仅能拦截连接，还会完整记录所有进出你的Mac的网络连接，包括每个连接的字节发送/接收量，支持查看历史记录。
  • Wireshark：免费的抓包工具，可以手动启动抓包并保存数据，事后分析时能获取详细的连接和传输统计，但需要你主动启动抓包，不会后台自动持续记录。

• 自定义脚本定时记录：你可以自己写脚本定时抓取nettop或lsof的输出，实现持久化记录。比如用nettop只输出你需要的列并保存到日志文件：

  nettop -L 1 -J bytes_in,bytes_out,state,remote_address >> ~/network_history.log
  

  然后配合cron或launchd设置定时任务（比如每5分钟执行一次），就能积累历史连接数据了。

另外，系统的/var/log目录下有一些基础网络日志（比如旧系统的system.log），但这些日志主要记录DHCP、防火墙、DNS等系统层面的网络事件，没有nettop那样详细的每连接字节统计。

内容的提问来源于stack exchange，提问作者isosceleswheel