桌面操作系统的网络过滤功能是保障用户隐私与安全的关键组件，但实现路径的选择直接影响系统的安全性、稳定性与可维护性。macOS 与 Linux 在这一领域走向了不同的技术方向：macOS 从内核扩展逐步迁移至 Network Extension 用户空间框架，而 Linux 则通过 eBPF 在内核空间实现了灵活的沙箱化过滤方案。本文从架构模型、安全边界、性能特征三个维度进行深入对比，为跨平台技术选型提供参考。

架构模型的根本差异

macOS 的传统网络过滤依赖于内核扩展（Kernel Extension，简称 KEXT）。内核扩展是加载到内核空间的代码模块，能够直接访问操作系统的底层数据结构，在网络过滤场景中表现为 Socket Filter 形式，直接拦截系统调用层面的网络数据。2019 年后，随着 Apple 逐步弃用内核扩展机制，LittleSnitch 等主流过滤工具迁移至 Network Extension 框架，该框架将过滤逻辑置于用户空间，通过 NEFilterDataProvider 和 NEFilterControlProvider 与系统通信，本质上是一种受监管的沙箱方案。

Linux eBPF 则采用了完全不同的技术路径。eBPF（extended Berkeley Packet Filter）是内核中的一套沙箱虚拟机，允许用户态程序将验证后的字节码加载到内核中执行。在网络过滤场景下，eBPF 程序可挂载至 XDP（Express Data Path）钩子在网络包到达最早阶段进行拦截，或挂载至 tc（Traffic Control）钩子进行更精细的协议层过滤。这种架构的核心优势在于：过滤逻辑运行在内核空间但受到沙箱约束，代码必须通过 eBPF 验证器的安全检查才能执行，既保留了内核执行的性能优势，又避免了传统内核模块的稳定性风险。

安全边界与信任模型

两种架构的安全模型存在本质差异。macOS 的 Network Extension 代表了一种「降级」策略：通过将过滤逻辑从特权内核空间迁移至用户空间，牺牲部分底层控制能力以换取系统整体安全性的提升。内核扩展一旦存在安全漏洞，可能导致整个内核崩溃；Network Extension 则通过 Apple 提供的严格 entitlements 机制和沙箱隔离，将潜在影响限制在特定进程范围内。Apple 要求开发者申请特定的系统能力 entitlement，并通过签名和审查流程确保只有可信应用才能部署网络过滤功能。

Linux eBPF 的安全模型建立在验证器（Verifier）之上。所有 eBPF 程序在加载前必须通过内核验证器的静态分析，确保程序不会执行无限循环、访问非法内存或进行不安全的指针操作。验证器会遍历程序的所有执行路径，确认每条路径都是可终止且安全的。这一机制在理论上提供了与内核扩展相当的控制能力，同时将安全风险从「代码本身可能出错」转化为「验证器规则是否完备」。值得注意的是，eBPF 的安全边界取决于内核版本和配置，较为老旧的内核可能缺少部分安全检查。

性能特征与扩展性

在性能层面，两种架构各有优劣。macOS 的 Network Extension 由于运行在用户空间，每次网络数据包的过滤都需要经历从内核到用户态的上下文切换，这增加了处理延迟。然而在实际部署中，这种开销对于桌面场景通常可接受，且 Apple 通过批量处理和异步机制进行了优化。内核扩展时代虽然延迟更低，但频繁的内核崩溃问题严重影响了用户体验。

Linux eBPF 在性能方面展现出显著优势，尤其体现在大规模规则集下的表现。XDP 钩子位于网络栈的最底层，过滤逻辑在网络驱动程序层直接执行，避免了传统防火墙的层层遍历开销。eBPF 使用内核映射（Maps）存储过滤状态和规则，查找操作的时间复杂度在大多数场景下接近 O (1)，而非传统 iptables 的线性遍历。第三方测试数据表明，当规则数量超过数千条时，eBPF/XDP 方案的延迟仍能保持接近基准线，而传统防火墙的延迟随规则数量呈线性增长。在吞吐量方面，配置良好的 eBPF 过滤器可稳定处理数百万 PPS（数据包每秒）的流量，且规则数量增加对吞吐量的影响极小。

工程实践考量

从开发者视角看，两种架构的维护成本差异显著。macOS 开发者需要遵循 Apple 的严格审核流程，每次 Network Extension 的更新都需要通过签名和 entitlements 验证，这虽然提高了安全性但也延长了迭代周期。Linux eBPF 的开发更接近传统的内核模块开发，需要处理内核 API 变更和版本兼容性，但好处是无需第三方审核流程，部署更为灵活。

对于需要跨平台支持的产品，如从 LittleSnitch 移植到 Linux 的场景，理解两种架构的本质差异至关重要。macOS 侧的 Network Extension 方案更适合需要 Apple 官方支持和安全背书的商业产品，而 Linux eBPF 则为开源项目和需要极致性能的场景提供了更大的优化空间。在实际选型时，应根据产品的安全合规要求、性能目标以及目标用户的系统管理能力进行综合考量。

参考资料