macos互联网共享与防火墙白名单需分别管理：共享由launchctl控制守护进程，防火墙白名单由socketfilterfw配置，二者逻辑独立、不可互替，且终端命令更可靠可脚本化。

macos 的互联网共享和防火墙白名单不能靠同一套命令管理——共享由 sharingd 和系统服务控制，防火墙白名单则由 socketfilterfw 管理。两者逻辑独立：开启文件共享不会自动放行端口，防火墙也不会拦截 sharingd（它被系统默认豁免）。必须分开操作，且终端指令比图形界面更可靠、可脚本化。

启用/禁用网络共享服务（不依赖GUI）

macOS 的“互联网共享”（如文件共享、屏幕共享）本质是启动对应后台守护进程。图形界面开关可能失效或延迟，终端可立即生效：

• 开启文件共享（SMB）：
  sudo launchctl load -w /System/Library/LaunchDaemons/com.apple.smbd.plist
• 关闭文件共享：
  sudo launchctl unload -w /System/Library/LaunchDaemons/com.apple.smbd.plist
• 开启屏幕共享（VNC）：
  sudo launchctl load -w /System/Library/LaunchDaemons/com.apple.screensharing.plist
• 开启远程管理（ARD）：
  sudo launchctl load -w /System/Library/LaunchDaemons/com.apple.ARDAgent.launchd
• 验证是否监听端口（例如 SMB 的 445）：
  sudo lsof -iTCP:445 -sTCP:LISTEN -P（有输出即表示服务已就绪）

通过 socketfilterfw 添加防火墙白名单（应用级）

图形界面添加的.app有时不生效（尤其未签名或路径特殊的应用），socketfilterfw 可直接注册二进制路径，支持脚本批量处理：

macos-suite-readonly

macOS 只读查询：Mail 未读、Calendar 日程、Notes 搜索、Stocks 行情（输出 JSON）。

下载

• 启用防火墙（若未开）：
  sudo /usr/libexec/ApplicationFirewall/socketfilterfw --setglobalstate on
• 添加应用到白名单（以终端自身为例）：
  sudo /usr/libexec/ApplicationFirewall/socketfilterfw --add /Applications/Utilities/Terminal.app
• 允许该应用接收传入连接：
  sudo /usr/libexec/ApplicationFirewall/socketfilterfw --unblockapp /Applications/Utilities/Terminal.app
• 查看当前所有已添加项目：
  sudo /usr/libexec/ApplicationFirewall/socketfilterfw --listapps
• 移除某项（如误加）：
  sudo /usr/libexec/ApplicationFirewall/socketfilterfw --remove /path/to/app

为共享服务添加防火墙服务级规则（推荐用于SMB/SSH/VNC）

比起填端口号，按服务路径添加更稳定（系统会自动匹配协议+端口，且不易被系统重载覆盖）：

• 放行 SSH：
  sudo /usr/libexec/ApplicationFirewall/socketfilterfw --add /usr/sbin/sshd
sudo /usr/libexec/ApplicationFirewall/socketfilterfw --unblockapp /usr/sbin/sshd
• 放行屏幕共享：
  sudo /usr/libexec/ApplicationFirewall/socketfilterfw --add /System/Library/CoreServices/ScreenSharing.bundle
sudo /usr/libexec/ApplicationFirewall/socketfilterfw --unblockapp /System/Library/CoreServices/ScreenSharing.bundle
• 放行 SMB（Ventura 及更新）：
  sudo /usr/libexec/ApplicationFirewall/socketfilterfw --add /usr/sbin/smbd
sudo /usr/libexec/ApplicationFirewall/socketfilterfw --unblockapp /usr/sbin/smbd

关键注意事项与验证方法

这些操作看似简单，但几个细节常被忽略，导致“明明加了却连不上”：

• 防火墙状态必须真实启用：
  运行 sudo /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate，返回 Firewall is enabled. 才有效；仅在系统设置里点“打开”不一定成功
• sharingd 不受防火墙限制：
  即使开启「阻止所有传入连接」，文件共享仍可能通——因为 macOS 默认放行系统服务。真正想禁用，必须 launchctl unload 对应 plist，而非指望防火墙拦截
• 规则易被系统覆盖：
  macOS 在更新、切换网络、修改共享设置后会重载防火墙配置，手动添加的 --add 条目可能丢失。建议将关键命令写成脚本，在开机或网络变化后自动执行
• 验证连通性要分层：
  先确认服务监听（lsof），再确认防火墙放行（--listapps），最后从另一台设备实测连接（如 smb://192.168.x.x 或 vnc://192.168.x.x）