「禁止联网」要做到的是：某个应用在没连 VPN 时发不出任何连接，并且退出 5UF、重启电脑后依然有效。这需要操作系统层面的「按应用拦截出站连接」能力，两个系统提供这种能力的方式不一样。
Windows：系统自带，不用另外安装
Windows 内置了一套网络过滤框架（Windows 筛选平台，也就是 Windows 防火墙用的底层），可以直接按程序添加拦截规则。5UF 安装时就带有一个管理员权限的后台服务，用它把拦截规则写进 Windows 筛选平台即可，不需要额外的驱动或扩展。
macOS：必须通过苹果的网络扩展
• macOS 自带的「防火墙」只管别人连进来的连接（入站），不能阻止应用往外联网。
• 系统底层的包过滤（pf）只认 IP 和端口，分不清是哪个应用发出的连接。
• 苹果规定，第三方软件要按应用过滤网络，只能使用苹果提供的网络扩展（Network Extension）。所以 5UF 需要安装一个小的网络过滤扩展，由 macOS 告诉它每个连接来自哪个应用，再决定放行还是拦截。
为什么要你手动确认：网络扩展能看到网络连接，苹果出于安全考虑，要求用户亲自在系统设置里打开开关，并允许它「过滤网络内容」，任何软件都不能替你完成这一步。5UF 的扩展经过苹果公证，只拦截你打开了「禁止联网」的应用，不记录、不修改其他应用的流量。
不用这个功能就不会安装：扩展只在你第一次打开「禁止联网」时才安装。只用 VPN、按应用分流或指定线路，都不需要安装它。以后不想用了，可以在「系统设置 → 通用 → 登录项与扩展 → 网络扩展」里关掉 5UF VPN 的开关。
安装步骤和常见提示，见《电脑版如何禁止某个应用绕过 VPN 联网？》。
