RoamSwitch for Mac 操作手册

按照实际显示顺序，逐一细致讲解从菜单栏图标打开的每一个菜单项。即便是第一次使用 RoamSwitch 的用户，只要按照这个顺序打开菜单、边看边读，也不会感到迷失方向。

1. 关于本手册

RoamSwitch 是一款常驻在 Mac 菜单栏、以 🛡️ 图标呈现的应用。与大多数需要从 Dock 点击打开的应用不同，您不需要一直开着一个窗口。只需点击屏幕右上角菜单栏中的图标，就会弹出与当前状况相符的菜单。

菜单内容并非固定不变，显示哪些项目取决于应用当下的状态。例如“批准辅助程序”只会在辅助程序尚未获批时出现，一旦获批便会消失。同样，“解除 Air-Gap 隔离”也只在隔离实际生效时才会显示。本手册中，凡是这类“按条件显示的项目”，都标注了 条件显示 标签。

此外，许多高级功能都带有 Pro 标记，这意味着只有购买（或试用）RoamSwitch Pro 之后才能启用。没有该标记的项目均可免费使用。

2. 菜单栏图标与状态显示

菜单最上方会显示一行文字，概括当前的保护状态。例如 🛡️ 正在受信任网络下受保护，通过表情符号和简短文字，让您一眼就能看懂当前状态。点击这一行，会打开一个界面，对当前状态给出更详细的说明。

图标本身的外观也会随状态变化而改变（例如隔离期间会变成警示色）。只需瞥一眼菜单栏图标，就能大致了解“目前的保护程度如何”，这正是它的设计初衷。

3. 批准辅助程序（仅首次运行）条件显示

为了真正拦截网络流量或切换防火墙，RoamSwitch 依赖一个以管理员权限运行的小型辅助程序，称为“辅助程序（Helper）”。安装完成后，只要这个辅助程序尚未获得批准，菜单顶部就会显示一项 ⚠️ 批准辅助程序…。

点击后会弹出 macOS 管理员密码输入界面。输入密码并完成批准后，这一项就会永久消失，此后所有保护功能都会自动生效。在完成这项批准之前，RoamSwitch 无法真正拦截网络流量。请务必将这一步作为初始设置的一部分完成。

操作步骤

1. 点击菜单栏 🛡️ 图标，选择 ⚠️ 批准辅助程序…。
2. 在弹出的 macOS 对话框中，输入这台 Mac 的管理员（Admin）账户的用户名和密码。
3. 点击"允许更改"。当对话框关闭、菜单中的相应项目消失时，说明批准已完成。

4. Air-Gap 隔离期间的显示与解除 条件显示

“Air-Gap”是一项紧急防御功能：当 RoamSwitch 检测到严重威胁（如恶意软件或 ARP 欺骗）时，会将 Mac 从网络中物理隔离。隔离生效期间，菜单顶部会显示隔离的类型（全面隔离 / 降级模式），如果已知原因，也会一并显示触发隔离的理由。

操作步骤

1. 点击菜单栏 🛡️ 图标，选择隔离状态行（🔒 隔离中…）下方的 ℹ️ 隔离原因与解除说明…，查看触发原因。
2. 如果没有可疑操作，请在同一菜单中选择 🔓 解除 Air-Gap 隔离。
3. 在确认对话框中选择"解除"，网络通信会当场恢复。

5. Wi-Fi 连接信息显示 条件显示

当您连接 Wi-Fi 时，会有一行显示所连网络的名称（SSID）与加密方式（如 WPA3）。点击它可以查看信号强度、频段等更详细的连接信息。仅通过有线以太网连接时，不会显示这一行。

6. 注册与切换当前网络

RoamSwitch 的核心理念是：“在家里、公司这类可信场所放宽限制，在其他陌生网络上则严格防护”。为此，只要将您当前所在的网络注册一次，下次再回到这个地方时，RoamSwitch 就能自动切换到相应的安全级别。

当您位于尚未注册的网络时

操作步骤

1. 在 Mac 已连接到您想注册的网络的状态下，点击菜单栏 🛡️ 图标。
2. 将鼠标悬停在 注册当前网络上，在打开的子菜单中选择"家庭"、"办公室"、"网络共享"中的任意一个，或选择"以自定义名称注册…"。
3. 如果选择"以自定义名称注册…"，请在弹出的输入框中输入您喜欢的名称，接着选择安全级别，然后点击"注册"。

当您位于已注册的网络时

子菜单会以单选按钮的形式列出可为该网络设置的安全级别（信任、标准防护等），当前生效的级别旁会打勾。点击任意级别即可立即切换。分隔线下方还有“重命名…”和“取消注册”，可用来修改网络名称，或直接取消该网络的注册。

操作步骤

1. 更改安全级别: 在菜单栏 🛡️ 图标→当前网络：{注册名称}中，只需点击您想切换到的级别即可立即生效。
2. 重命名: 点击同一子菜单分隔线下方的"重命名…"，输入新名称后点击"保存"。
3. 取消注册: 点击同一子菜单中的"取消注册"。下次连接到该网络时，会被视为"未注册"，并应用外出默认防护（第 8 章）。

7. 管理已注册网络

子菜单会列出您迄今为止注册过的所有网络。每一项显示为 {注册名称} [{安全级别}] ({部分 MAC 地址})，后面跟着与第 6 章相同的安全级别切换、重命名和取消注册菜单。当您想统一查看一下之前在外出时注册过、但现在不在附近的网络时，可以使用这里。如果尚未注册任何网络，则会显示对应的空状态提示。

操作步骤

1. 将鼠标悬停在菜单栏 🛡️ 图标→已注册网络（数量）上。
2. 将鼠标进一步悬停在您想查看的网络项目上，会出现与第 6 章相同的安全级别列表、"重命名…"和"取消注册"，选择您需要的操作即可。

8. 外出默认防护

当您连接到从未注册过的网络——例如咖啡厅、车站、机场等——时自动应用的安全级别。可以从子菜单中选择来更改这个默认级别。由于陌生网络越是不能掉以轻心，初始状态下选中的是最严格的级别。除非有充分理由，否则不建议调低。

操作步骤

1. 将鼠标悬停在菜单栏 🛡️ 图标→外出默认防护：{级别}上。
2. 在打开的子菜单中，点击您想设为默认的安全级别。

9. 恶意软件防护（XProtect & ClamAV）

在 RoamSwitch 的所有菜单中，这个子菜单包含的项目最多。从 macOS 内置的 XProtect，到免费杀毒引擎 ClamAV、网页与邮件下载保护、DNS 层威胁防护、钓鱼链接检测，再到大量 Pro 专属的监控功能，与恶意软件、未授权访问相关的设置都汇集在这里。下面按从上到下的顺序依次介绍。

9.1 Apple XProtect

查看 macOS 内置的恶意软件检测引擎 XProtect 的当前版本与运行状态。“检查 XProtect 运行状态…”给出详细信息，“诊断文件安全性…”则可以对单个文件做一次简单检查。RoamSwitch 并没有在这里添加任何新功能——这一项只是把 Mac 已经内置的保护能力呈现出来。

操作步骤

1. 检查单个文件: 在恶意软件防护子菜单中选择"诊断文件安全性…"，然后在打开的窗口中从 Finder 拖放文件，或通过"选择文件"指定要检查的文件。

9.2 ClamAV（免费杀毒引擎）

ClamAV 是一款开源免费的杀毒引擎。若已安装，可以在子菜单中执行“立即快速扫描”“自定义扫描（指定文件夹）”“更新病毒库”，以及管理“隔离区”中的文件。若尚未安装，则会改为显示安装提示。

操作步骤

1. 运行扫描: 依次点击恶意软件防护子菜单→ClamAV→"立即快速扫描"，或选择"自定义扫描…"并指定文件夹。您可以在菜单栏图标或扫描窗口中查看进度，完成后会收到结果通知。
2. 处理已隔离的文件: 在同一子菜单中打开"隔离管理"，从列表中选择文件，然后选择"还原"（如果是误报，可放回原位置）或"永久删除"。
3. 更新病毒库: 在同一子菜单中点击"更新病毒库"。系统会通过互联网获取最新的病毒库。

9.3 网页与邮件保护（下载自动扫描）Pro

每当您监控的文件夹（例如下载文件夹）中出现新文件时，自动运行病毒扫描的功能。这意味着，无论是刚从浏览器下载的文件，还是刚保存的邮件附件，都会在您打开之前被检查一遍。通过开关切换启用或停用，用“📁 监控文件夹”添加或编辑受监控的文件夹，并在“隔离管理”中查看根据扫描结果被隔离的文件。启用时，还会显示最近的扫描历史。

操作步骤

1. 在恶意软件防护子菜单中查看「Web 与邮件保护」一行。激活 Pro 后它已处于开启状态。如果你曾把它关闭，点击该行即可重新打开开关。
2. 打开"📁 监控文件夹"，通过"添加文件夹"选择下载文件夹等您想监控的位置，然后"保存"（默认已包含下载文件夹）。
3. 此后，只要该文件夹中出现新文件，就会自动进行扫描。检测到威胁时会收到通知，文件会被移动到隔离管理中。

9.4 DNS 威胁防护（恶意网站与 C2 拦截）Pro

在 DNS 层直接拦截对危险域名的解析请求——例如钓鱼网站，或恶意软件用来与攻击者服务器通信的“C2（指挥控制服务器）”。启用开关后，在“提供商”中选择使用哪种安全 DNS 服务，在“应用策略”中选择它应用于哪些网络。启用时，菜单底部会显示安全 DNS 当前是否实际生效，或者是否因为处于信任网络而被排除在外。

操作步骤

1. 在恶意软件防护子菜单中查看「DNS 威胁防护」一行。激活 Pro 后它已处于开启状态。如果你曾把它关闭，点击该行即可重新打开开关。
2. 将鼠标悬停在"提供商"上，点击您想使用的安全 DNS 服务。
3. 将鼠标悬停在"应用策略"上，选择要应用于哪些网络（所有网络/仅未信任网络等）。

9.5 链接保护（钓鱼连接检测）Pro

将您即将点击的链接，或应用正试图连接的目标，与已知钓鱼网站列表实时比对并发出警告的功能。您可以从子菜单选择运行模式，查看钓鱼情报源的更新状态，并开关自动更新。启用时，菜单还会显示当前实际使用的检测方式（浏览器扩展、网络层等）。

操作步骤

1. 将鼠标悬停在恶意软件防护子菜单→"链接保护"上，点击选择运行模式（仅通知/自动拦截等）。
2. 点击"自动更新"这一行，即可开启或关闭钓鱼情报源的自动更新。

9.6 即时使用的手动检查工具

操作步骤

1. 手动检查链接: 选择该项目会打开一个输入框，粘贴您想确认的 URL 并点击"检查"。几秒钟内即会显示安全性判定结果。
2. 手动审计敏感信息与 API 密钥泄露: 选择该项目即可开始扫描，完成后会以列表形式显示检测结果（文件路径与类型）。
3. 核对软件包 CVE: 选择该项目后，系统会列出通过 Homebrew 安装的软件包，并以列表形式显示与已知漏洞比对的结果。

9.7 常驻监控开关一览

从这里开始，是一系列在后台持续运行的独立监控功能，通过勾选来切换启用或停用，并按照实际显示顺序排列。激活 Pro 后，勒索软件检测、凭据蜜罐令牌、自动日志审计、关键文件与锁文件的篡改监控、与 XProtect 联动的自动切断等会自动开启。ClickFix 防护、Docker 检测、浏览器凭据访问监控和进程执行记录，因可能妨碍日常使用或需要额外权限，默认关闭。除非有特殊原因，请保持已开启的项目不变，只自行开启需要的项目。

操作步骤 只需点击恶意软件防护子菜单中对应的一行即可切换开启或关闭（是否有勾选标记可以看出当前状态）。"勒索软件恢复…"和"进程执行记录…"不是开关，而是用于打开专用窗口的项目。

9.8 用于验证运行状态的模拟测试

一项无害的模拟测试功能，可安全地验证“我真的受到保护吗”这个问题。它不会产生任何真实威胁，却能当场模拟从检测、通知到（如适用）自动拦截的完整流程是否正常工作。非常适合在刚完成安装后确认运行状况，或作为定期的健康检查。

操作步骤

1. 在恶意软件防护子菜单中选择您想尝试的模拟项目。
2. 如果出现确认对话框，请选择"运行"。几秒到几十秒后，如果收到与实际检测时格式相同的通知，说明系统运行正常。

10. Mac 安全综合诊断

一项针对 Mac 整体安全配置进行评分的综合诊断功能。菜单标题本身会实时显示“通过项/总项 ・ 分数”，因此不必打开菜单，也能一眼掌握当前的健康状况。打开子菜单后，会以列表形式显示每个检查项的通过或未通过状态。

操作步骤

1. 重新检查设置后，点击子菜单中的"立即重新诊断"，分数会当场更新。
2. 想了解需要改进的项目时，选择"📊 打开综合诊断报告…"，在打开的窗口中查看红色和黄色的项目。大多数项目都配有可以当场处理的按钮。

10.1 安全活动日志

将遏制事件历史(ARP欺骗检测、勒索软件诱饵文件检测、XProtect联动Air-Gap、未知端口自动阻止等)与邮件附件中已确认的恶意软件检测结果统一到一个画面,可通过关键字搜索、按分类或严重程度筛选,并通过时间序列图表下钻查看。

同一子菜单中的「📜 Mac安全日志审计…」针对的是macOS自身的统一日志(sudo、SSH、Gatekeeper、XProtect等);而本画面的不同之处在于,它只横向搜索RoamSwitch自身作出的遏制判断。

操作步骤

1. 点击菜单栏的🛡️图标→「Mac安全综合诊断」→「📈 安全活动日志…」。
2. 在画面顶部选择分类、严重程度和时间范围,并根据需要在搜索框中输入关键字。
3. 点击图表中的柱子,可将列表缩小到该时间段。再次点击可取消。

11. 端口与设备监控

汇集了监控 Mac “与外部边界”的各项功能——从网络本身（ARP 欺骗、VPN、开放端口），到连接的物理设备（USB、蓝牙）。

11.1 ARP 欺骗检测

检测“ARP 欺骗（伪装）”攻击——同一网络上的其他设备试图冒充身份，窃听您 Mac 的通信内容。当前状态以一行文字显示，一旦检测到攻击，会出现“立即全部拦截”按钮。“自动拦截”与“固定网关的 ARP/NDP（预防）”均可通过开关启用或停用，后者是一项预防措施，用于在非信任网络上从源头降低此类攻击成立的可能性。激活 Pro 后，「自动阻断」默认开启，而「固定网关 ARP/NDP（预防）」默认关闭。

操作步骤

1. 如果想在检测过程中手动拦截，请点击端口与设备监控子菜单中的"立即全部拦截"。
2. 点击"自动拦截"、"固定网关的 ARP/NDP（预防）"这两行，即可当场切换开启或关闭。

11.2 VPN 隧道（非信任网络下的 MITM 防护）Pro

当您处于咖啡厅、机场等不受信任的网络中时，将通信加密并改走 VPN 隧道的功能。首先在“后端”中选择使用 WireGuard 还是 Tailscale。

操作步骤

1. 在端口与设备监控子菜单→"VPN 隧道"→"后端"中，选择使用 WireGuard 还是 Tailscale。
2. 使用 WireGuard 时: 通过"导入配置文件…"选择您事先准备好的 .conf 配置文件。导入后点击"连接"，VPN 即会立即生效。
3. 使用 Tailscale 时: 选择"连接"后，浏览器会打开 Tailscale 的登录界面，请使用账号登录并授权。之后即可从"出口节点（Exit Node）"中选择路由目的地。
4. 无论使用哪种方式，点击"Kill Switch"这一行都可以切换开启或关闭。开启后，一旦 VPN 连接意外断开，所有通信都会随之停止，防止未加密的原始流量泄露出去。

11.3 对外暴露端口

列出您 Mac 上处于对外可访问状态的开放端口（例如忘记关闭的开发服务器），同时也能一并查看当前的防火墙状态。意外敞开的开发用端口，正是攻击者最爱盯上的典型漏洞，因此建议养成定期查看这里、确认没有遗漏关闭端口的习惯。

操作步骤

1. 要查看开放的端口，请将鼠标悬停在端口与设备监控子菜单→"对外暴露端口（数量）"上。
2. 选择"RoamSwitch Sensor 配对…"后会打开一个输入框，请输入 Sensor 端屏幕上显示的配对码，然后点击"关联"。

11.4 已连接的 USB 设备 / USB・BadUSB 防护

列出当前连接的 USB 设备。下方则是针对“BadUSB”攻击的防护项——这类设备伪装成 USB 闪存盘，实际上却表现得像键盘一样，在您不知情的情况下自动输入命令。

操作步骤

1. 打开"USB / BadUSB 防护设置…"，从列表中选择您今后仍会使用的设备，然后点击"添加到许可列表"。
2. 设置完成后，分别点击端口与设备监控子菜单中的"未授权 USB / BadUSB 物理端口防护"和"自动拦截未授权 USB 存储设备"，将它们打开。

11.5 蓝牙自动关闭

一个开关，可在诸如处于不受信任网络等需要的时刻，自动关闭蓝牙，从而减少近距离范围内被非法蓝牙连接的可能性。显示内容会因蓝牙状态及硬件支持情况而有所不同。

操作步骤 点击端口与设备监控子菜单中对应的一行，即可切换开启或关闭。

12. 手动覆盖

通常 RoamSwitch 会根据您所连接的网络自动切换安全级别，而这项功能是为“只想暂时固定在某个级别”这种情况准备的。选择最上方的“恢复为自动判定”，随时可以切回自动模式。下方列出了各个安全级别，选择其中一个后，系统还会进一步询问您想让该设置维持多久。

操作步骤

1. 将鼠标悬停在菜单栏 🛡️ 图标→手动覆盖上。
2. 点击您想固定的安全级别。
3. 在随后显示的持续时间列表中，点击您想维持的时长，即可立即生效。
4. 如果想恢复为自动判定，随时可以在同一位置点击"恢复为自动判定"。

13. RoamSwitch Pro

如果尚未购买 Pro 版，这里会显示“💎 激活 / 购买 Pro…”，点击后会打开许可证激活界面（其中包含购买入口）。如果 Pro 版已经激活，则会变为“💎 RoamSwitch Pro（已激活）”，点击可查看当前许可证状态。在第 9 章和第 11 章中出现的大量 Pro 功能，只要在这里激活许可证，就会一次性全部解锁。

操作步骤

1. 尚未购买时: 点击菜单栏 🛡️ 图标→"💎 激活 / 购买 Pro…"打开的界面，进入购买（或试用）流程。
2. 如果您已有许可证密钥: 在同一界面的许可证密钥输入框中粘贴密钥，点击"激活"。激活成功后，菜单显示会变为"💎 RoamSwitch Pro（已激活）"。

14. 登录时自动启动

控制每次重启或登录 Mac 时是否自动启动 RoamSwitch 的开关。勾选后，登录时会自动启动。为了保持持续保护，强烈建议保持开启状态。

15. 语言 / Language

可从子菜单的单选按钮中选择 RoamSwitch 自身的显示语言。它独立于 macOS 的系统语言，您可以单独切换 RoamSwitch 的显示语言。

操作步骤 在子菜单中点击您想使用的语言，菜单和窗口的显示会当场切换。

16. 帮助・关于・检查更新

17. 恢复与卸载

操作步骤

1. 通信中断时的紧急恢复: 点击菜单栏 🛡️ 图标→"🧰 恢复与卸载"→"🆘 紧急恢复网络…"，然后在确认对话框中选择"恢复"。
2. 卸载: 在同一子菜单中点击"🗑 卸载 RoamSwitch…"。如果提示输入管理员密码，请输入，然后在确认对话框中选择"卸载"，即可删除本体、辅助程序及全部相关文件。详情请参阅卸载步骤。

18. 退出 (Quit)

彻底退出 RoamSwitch。请注意，退出期间网络自动判定与各项保护功能都会停止工作。如果只是想临时暂停，不妨考虑改用第 12 章介绍的“手动覆盖”功能，将级别固定在所需状态，而不是直接退出。