Little Snitch vs LuLu —— Mac 防火墙该选哪个

最后更新：2026-07-30 · 事实均取自两家各自的官方文档

选 LuLu，如果你想要的是「App 要往外连之前先问我一声」，能接受按应用、按端点写规则，而且在意免费与开源。它把这件事做得不错，且分文不取。

选 Little Snitch，如果你需要围绕这个核心的纵深：加密 DNS、持续维护的 blocklist、带流量分析的网络监视器、命令行接口，以及对服务器、域名、端口、协议更细的控制。

对于第一次问这个问题的大多数人，LuLu 是更合理的起点——它能回答你真正担心的那件事（这个 App 在连什么？），而且一分钱不用花；等你哪天觉得不够用了，你会非常清楚是被哪一项能力卡住的。

但如果你想问的其实是每个 App 用了多少流量，而不是该放行哪些连接，那这两个都答不了——那属于「用量统计」，是另一个品类，见下文。利益相关：那正是我们做的东西。

两者各自是什么

Little Snitch 来自 Objective Development，是一款应用防火墙。它的产品页描述：在应用尝试联网时提示你，由你允许或拒绝该连接；规则可以限制访问特定的服务器、域名、端口或协议。围绕这个内核，它还记载了连接提示弹窗、Silent Mode（新连接先自动放行）、带实时活动与地图和流量分析的网络监视器、支持 DoH / DoT / DoQ 的 DNS 加密、每日更新的分类 blocklist，以及一个命令行工具。

LuLu 来自 Objective-See，是一款免费开源的防火墙，瞄准的是一个具体威胁：某个应用发起了你没有授权的出站连接——恶意软件外传数据或者连回控制服务器，走的正是这条路。它支持按应用、按远端端点、以及带时效的规则（永久、仅本次会话、或 N 小时后过期），并且可以用正则匹配远端地址、端口或域名。

功能对比

能力	Little Snitch	LuLu
App 出站前先询问	✓	✓
按应用设规则	✓	✓
按端点 / 域名设规则	✓ 服务器、域名、端口、协议	✓ 端点、端口、域名，支持正则
临时 / 到期自动失效的规则	产品页未提及	✓ 仅本次会话，或 N 小时后过期
出站连接	✓	✓
入站连接	产品页按「出站应用管控」表述	— 文档写明仅限出站
加密 DNS（DoH / DoT / DoQ）	✓	—
维护中的 blocklist	✓ 每日更新	—
带流量分析的网络监视器	✓ 实时，含地图	—
命令行控制	✓	—
源码公开	—	✓ 开源，在 GitHub
收费模式	商业软件	免费

空格表示该能力在厂商自己的页面上没有记载，这和「确认不具备」不是一回事。价格、版本号和评分刻意不写——它们过期的速度比这个页面能维护的速度快。

LuLu 自己写明的那条限制

这一条值得单独一节，因为它是最可能改变你决定的那个事实，而且它来自 LuLu 自己的文档，不是出自某个批评者之口。

LuLu 中基于主机名的拦截，对使用 Network.framework 或 NSURLSession 的应用有效。用其他网络栈构建的应用——文档点名的例子是 Chrome——不受主机名规则覆盖。文档还提到，有一部分流量会完全绕过网络扩展，根本无法过滤。

如果你的目标是「阻止这个特定浏览器访问这个特定域名」，这一点值得在安装前就知道。而如果你的目标是「有东西想往外连的时候告诉我」，这条限制的影响就小得多，因为按应用的提示依然会触发。

什么时候另一个明显更合适

Little Snitch 明显更合适，当你想要的是「看懂流量」而不只是「放行流量」——它记载的那个带流量分析的网络监视器，在 LuLu 里没有对应物。如果加密 DNS 或者持续维护的 blocklist 也在你的采购清单上，或者你想用命令行脚本化地改规则，答案同样是它。

LuLu 明显更合适，当预算为零、当你想亲自读一遍那个正在过滤你流量的东西的源码、或者当你专门需要会过期的规则——这次会话内放行，或者接下来两小时放行，之后恢复询问。最后这一条是个相当实用的模式，而 Little Snitch 的产品页并没有描述它。

如果你真正的问题是「多少」而不是「要不要」

这一点值得点破，因为不少人是先问错了问题才找到这个对比页的。上面这两个工具回答的是该允许哪些连接，而它们都不是为了回答这个月每个 App 用了多少 GB 而设计的。

这是两个不同的问题。如果你想搞清楚是什么把流量套餐吃穿了、哪个 App 一夜之间传了好几个 GB、或者热点的额度还够不够撑一周，连接授权工具答不了你——它告诉你什么被允许连接，而不是它搬了多少。用量统计是另一个品类，Bytetally 做的正是这个。但如果你的问题确实是规则而不是流量，那就在上面两个里挑一个吧；这件事它们比我们做得好，我们也没打算去做。

常见问题

LuLu 能完全替代 Little Snitch 吗？

就「App 要往外连时先问你一声、并按应用或按端点决定」这个核心功能而言，可以。但它的范围更窄：LuLu 官方文档写明只监控出站流量，且基于主机名的规则只对使用 Network.framework 或 NSURLSession 的应用生效——用其他网络栈的浏览器（比如 Chrome）不在此列。Little Snitch 另外还记载了 DNS 加密、分类 blocklist、带流量分析的网络监视器和命令行工具。

它们能拦截入站连接吗？

LuLu 明确不能——它的文档写明规则只作用于出站连接。Little Snitch 的产品页把自己描述为应用防火墙，限制 App 能访问哪些服务器、域名、端口和协议，这同样是出站的表述。如果你的需求是入站过滤，请对照最新官方文档确认，别默认哪一家覆盖了这一点。

它们能告诉我某个 App 用了多少流量吗？

Little Snitch 记载了一个带实时活动和流量分析的网络监视器。LuLu 是连接授权工具，并不以流量计量自居。如果你真正的问题是「这个月每个 App 消耗了多少 GB」而不是「该允许哪些连接」，这两者都不是为此而生的。

两个可以同时装吗？

两者都会安装系统网络扩展来过滤流量，同时跑两个过滤扩展会带来难以预料的相互影响和重复弹窗。选一个就好。想换另一个，先把前一个正确卸载干净。

如果你的问题最后落在「用了多少」上

逐 App 的上传下载，配额、限速与历史。全部在本机完成。

免费下载 · Mac App Store

需 macOS 14 Sonoma 或更高 · 100% 本机分析 · 无需账号