「禁止聯網」要做到的是：某個應用在沒連 VPN 時發不出任何連接，並且退出 5UF、重啟電腦後依然有效。這需要操作係統層麵的「按應用攔截出站連接」能力，兩個係統提供這種能力的方式不一樣。
Windows：係統自帶，不用另外安裝
Windows 內置了一套網絡過濾框架（Windows 篩選平台，也就是 Windows 防火牆用的底層），可以直接按程序添加攔截規則。5UF 安裝時就帶有一個管理員權限的後台服務，用它把攔截規則寫進 Windows 篩選平台即可，不需要額外的驅動或擴展。
macOS：必須通過蘋果的網絡擴展
• macOS 自帶的「防火牆」隻管別人連進來的連接（入站），不能阻止應用往外聯網。
• 係統底層的包過濾（pf）隻認 IP 和端口，分不清是哪個應用發出的連接。
• 蘋果規定，第三方軟件要按應用過濾網絡，隻能使用蘋果提供的網絡擴展（Network Extension）。所以 5UF 需要安裝一個小的網絡過濾擴展，由 macOS 告訴它每個連接來自哪個應用，再決定放行還是攔截。
為什麽要你手動確認：網絡擴展能看到網絡連接，蘋果出於安全考慮，要求用戶親自在係統設置裏打開開關，並允許它「過濾網絡內容」，任何軟件都不能替你完成這一步。5UF 的擴展經過蘋果公證，隻攔截你打開了「禁止聯網」的應用，不記錄、不修改其他應用的流量。
不用這個功能就不會安裝：擴展隻在你第一次打開「禁止聯網」時才安裝。隻用 VPN、按應用分流或指定線路，都不需要安裝它。以後不想用了，可以在「係統設置 → 通用 → 登錄項與擴展 → 網絡擴展」裏關掉 5UF VPN 的開關。
安裝步驟和常見提示，見《電腦版如何禁止某個應用繞過 VPN 聯網？》。
