mac接入私有局域网后无法上网，核心是默认路由被私有网关劫持，应删除错误默认路由、按需添加精确内网静态路由，并关闭代理/pac、调整多网卡服务顺序以保障公网出口优先。
Mac 接入私有局域网后无法正常上网，核心问题往往不是“连不上”，而是系统默认把所有流量都塞进了私有网关，导致公网访问被拦截或绕行失败。关键不在连通性，而在路由策略是否精准区分内网与外网路径。
确认私有网关是否真为默认出口
很多私有局域网（如企业办公网、研发测试网）会通过 DHCP 强制下发一个内部网关（比如 10.20.1.1 或 172.16.0.254），并覆盖原有默认路由。这会导致你 ping 得通内网设备，但访问百度、GitHub 全部超时。
- 运行 route -n get default 查当前默认网关地址和出接口（如 en0）
- 对比该网关是否属于私有网段（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16）
- 若确认是私有网关，且你本意只是访问内网服务（如 10.30.5.100），则不该让它当“全量出口”——应删掉默认路由，只加特定内网段路由
按需添加静态路由，而非依赖默认网关
私有局域网通常只需访问固定子网（如开发服务器集群、测试平台、打印机等），没必要让全部互联网流量都走它。更稳妥的做法是：清除错误默认路由，仅对目标内网段设置精确路由。
- 先清理干扰项：sudo route delete default
- 再添加内网路由（示例：访问 10.30.0.0/16 网段，下一跳是 10.20.1.1）：sudo route -n add -net 10.30.0.0/16 10.20.1.1
- 验证是否生效：netstat -nr | grep "10\.30\." 应看到对应条目，且 Netif 与你连接私网的接口一致（如 en5）
- 若需永久生效，用 networksetup 绑定到具体服务：sudo networksetup -setadditionalroutes "Ethernet" 10.30.0.0 255.255.0.0 10.20.1.1
避免代理、PAC 和虚拟接口干扰真实路由
私有局域网常配套部署透明代理、PAC 自动配置或安全客户端（如深信服、天融信），这些软件可能静默修改系统代理设置、注入虚拟网卡（如 utun、pflog）、甚至劫持 DNS 请求，使你误以为是网关问题，实则是上层策略阻断。
- 进入 系统设置 > 网络 > 当前服务 > 代理，关闭“自动代理配置（PAC）”、“Web 代理（HTTP/HTTPS）”、“安全 Web 代理”等选项
- 检查是否有异常虚拟接口：ifconfig | grep "^[a-z]" | grep -E "(utun|pflog|vnic)"，若有且非你主动启用（如 VMware、Parallels），可临时禁用对应软件再测试
- DNS 层也常被拦截：用 nslookup www.baidu.com 114.114.114.114 直连公共 DNS 测试解析是否正常；若失败，说明 DNS 请求被重定向或丢弃
多网卡共存时明确服务优先级
若同时接入 Wi-Fi（用于公网）、以太网（用于私有局域网），macOS 默认按接口顺序决定默认路由优先级。一旦私有网线插上，系统可能自动把以太网设为最高优先，导致所有流量被导向私有网关。
- 打开 系统设置 > 网络，点击右下角“详细信息”→“服务顺序”
- 将 Wi-Fi 拖到以太网上方，确保公网链路拥有更高路由权重
- 此时默认网关会来自 Wi-Fi，而你仍可通过手动添加的静态路由（如上一步）访问私有网段，互不冲突
- 验证效果：curl -s https://1.1.1.1/cdn-cgi/trace | grep ip 显示的 IP 应为你的公网出口 IP，而非私网地址
