区分流量路径与代理作用域
macOS 中 VPN 与系统代理的冲突，核心在于两者对流量去向的控制权不同。系统代理通常指 HTTP、HTTPS 或 SOCKS 代理设置，它告诉应用“把发往非保留地址的流量交给某 IP:Port 处理”。而 VPN（如 IKEv2、WireGuard 或 OpenVPN）通过内核级路由表修改数据包的实际出接口，将特定网段或全局流量强制导入虚拟网卡。当应用同时受两者影响时，需判断是应用遵循了代理设置，还是内核路由将流量劫持到了 VPN 隧道。若代理设置指向本地 VPN 客户端监听的端口（如 8080），性价比机场这是设计内的协作；若代理指向外部服务器，而路由又将该外部 IP 导向 VPN 隧道，则可能形成环路或导致连接失败。
检查系统代理与路由表状态
首先确认当前生效的代理配置。在“系统设置”或旧版“系统偏好设置”的“网络”面板中，选中当前活跃的物理或虚拟网络服务，点击“高级”，查看“代理”标签页。记录 HTTP、SSL 和 SOCKS 的启用状态及目标地址。同时，机场推荐在终端执行 `route get default` 查看默认网关，以及 `netstat -rn` 或 `route -n show` 查看路由表，确认是否存在由 VPN 注入的特定路由条目（如 0.0.0.0/0 或特定内网段）。若发现默认路由被 VPN 接管，但系统代理又指向一个无法通过该 VPN 访问的地址，即存在配置矛盾。
验证应用层流量走向
为了区分是路由层还是应用层在起作用，可使用 `scutil --proxy` 命令直接读取当前系统的全局代理设置，这比图形界面更准确，因为它排除了用户级和系统级设置的层级混淆。接着，针对特定问题应用，性价比机场使用 `lsof -i -n | grep [应用名]` 观察其实际连接的远程地址。如果应用显示连接到本地 VPN 端口，说明流量先经过本地代理转发，再由 VPN 客户端发送；如果直接显示连接到公网 IP，则需检查该 IP 是否被路由表指向了 VPN 接口。注意，浏览器自带的代理插件可能独立于系统设置，需单独检查其状态。
排查macOS VPN与系统代理冲突时，需仔细检查路由表状态与代理设置，区分流量路径。
排查特定网段的路由冲突
冲突常发生在“部分路由”场景。例如，VPN 策略要求将所有流量走隧道，但系统代理将特定 DNS 或管理流量指定给物理网络网关。此时，内核路由表会包含具体的路由条目，而代理设置仅对应用层生效。若应用无视系统代理直接建立 TCP 连接，流量将完全依赖路由表。若路由表将目标网段指向 VPN 接口，但 VPN 服务端无法解析该网段或拒绝转发，机场推荐连接即失败。排查时应重点比对 VPN 配置文件中的 `route` 指令或 `split-tunnel` 策略，与系统代理目标是否重叠。若存在重叠，需明确业务需求是“全局代理”还是“混合模式”，并据此调整路由或代理指向，避免同一流量路径出现两次封装或丢弃。
