Mac 上的 neagent 是什么进程？

最后更新: 2026-08-08

它是什么

neagent 是 macOS 自带的 Network Extension 插件宿主。系统文件位于 /usr/libexec/neagent，代码标识是 com.apple.neagent；本机核验结果显示，这份系统组件由 Apple 签名。它不是一款独立 VPN，也不是后来安装的第三方软件。

需要运行网络扩展时，launchd 才会为当前用户启动 neagent。不同扩展可以分别使用自己的宿主，因此进程列表里可能同时出现多个实例。这不是异常，也不能据此判断某个实例一定在做什么。

本机的 neagent(8) 手册明确列出了 VPN、内容过滤器和 NEProvider App Extension。换句话说，neagent 只负责提供运行环境，实际职责由它当时承载的扩展决定。一个实例可能在处理 VPN 隧道，另一个实例可能在运行过滤或代理组件。

这层区别很重要。网络监控工具显示的是宿主进程名，却不一定直接显示扩展名称。看到 neagent 联网，只能确认某个由它承载的组件发起或处理了连接，不能马上认定目标服务器属于 Apple，也不能断定是 neagent 主动下载了某些内容。

DNS 代理也属于 NEProvider 类型，但这里需要保留边界：Apple 的公开资料没有保证，在所有 macOS 版本和所有打包方式下，DNS 代理都一定由 neagent 承载。因此，neagent 可能与 DNS 代理有关，但不能把两者无条件画等号。

它为什么要联网

没有扩展需要通信时，neagent 不应该凭空产生对应连接。它访问什么地址、使用什么协议、多久连接一次，都取决于当前扩展及其配置。只看到进程名，无法把具体域名直接归到 Apple 名下。

Packet Tunnel VPN 启用后，扩展会从虚拟接口接收数据，再把数据封装起来，发往用户或组织配置的 VPN 服务器。原始请求可能来自浏览器、聊天软件或其他应用，但隧道的外层连接由 VPN 扩展处理。网络工具因此可能把大量传输显示在承载扩展的 neagent 名下。此时真正触发流量的仍可能是其他应用。

DNS 代理启用后，系统的 DNS 查询可能被转发到普通递归解析器、DoH 或 DoT 服务，也可能交给自定义代理。具体去向由扩展配置决定。不过，Apple 没有公开保证所有 DNS 代理都会进入 neagent，所以不能仅凭一个 neagent 连接就断言它正在转发 DNS。

内容过滤器的控制组件也可能联网。例如，它可能从厂商服务器获取规则或策略。这样的连接通常服务于规则维护，不代表系统正在传输全部应用数据。App Proxy 类扩展则可能直接连接目标服务器，也可能先连接上游代理。它处理的是哪些应用、哪些目标，同样取决于扩展设置。

因此，调查时不能只问“neagent 为什么访问这个地址”。更准确的问题是：当前启用了哪个网络扩展，这个 neagent 实例承载了什么，以及该扩展被配置成连接哪里。进程名只能指出承载关系，不能替扩展说明来源和目的。

正常流量应该是多少

Apple 没有发布 neagent 的正常流量区间。这里不存在一个通用的 MB 数字，也没有可靠阈值能把“正常”和“异常”一刀切开。不同扩展做的事情相差很大，单一数字没有判断价值。

没有相关扩展处于活动状态时，neagent 通常不会持续传输数据，甚至可能根本没有运行。只处理 DNS 请求或偶尔更新规则时，流量一般断断续续，主要表现为控制通信。具体大小和频率仍由扩展与配置决定，现有资料不能给出更精确的范围。

全隧道 VPN 或代理则完全不同。其他应用的数据需要经过扩展转发，记录在 neagent 名下的流量可能达到所有被转发应用合计流量的同一量级，而且可以长时间维持在较高水平。这不表示 neagent 自己选择了下载内容，只说明它承载的扩展正在处理大量数据。

“VPN 流量一定会被统计两遍”也没有可靠依据。某些统计层可能同时看到应用侧的数据流和 VPN 的外层连接，看起来像重复记录。但 Apple 没有公布一套同时适用于活动监视器、第三方计量工具以及所有网络扩展的统一规则。没有先弄清统计位置，就不能把两份数字直接认定为固定的双重计量。

判断是否异常，更有用的是观察流量何时出现、持续多久，以及当时哪些网络扩展正在工作，而不是拿一个没有来源的固定数值作比较。

能不能关掉

Apple 没有提供关闭 neagent 本身的受支持开关。它是按需启动的共享宿主。若某项 VPN、过滤、DNS 或代理功能不再需要，应当���用对应扩展，而不是处理宿主进程。

强制结束或阻断正在运行的 neagent，会威胁这个实例当前承载的功能。VPN 可能立即断开；DNS 代理停止工作后，域名解析可能失败；内容过滤或组织部署的安全策略也可能失效。即使进程被结束，launchd 仍可以在扩展再次请求时重新启动它，所以结束进程也不等于完成了长期设置。

管理具体扩展时，可以打开 Apple 菜单 > 系统设置 > 通用 > 登录项与扩展 > 网络扩展，再找到相应项目。断开 VPN 则使用 Apple 菜单 > 系统设置 > VPN > 对应 VPN > 关闭。如果配置由单位或学校管理，用户可能没有修改权限。

长期活动往往说明某项网络功能正在使用 neagent。这时需要确认是哪一个扩展、它为什么启用，以及当前配置是否符合预期。把共享宿主永久禁用并不是受支持的提速方式，也无法准确解决产生流量的那项配置。

常见的误解

• “neagent 是病毒、挖矿程序，或者 Apple 的秘密上传器。” 本机核验过的 /usr/libexec/neagent 由 Apple 签名，代码标识为 com.apple.neagent，属于 macOS 自带的 Network Extension 宿主。仅凭它出现在进程列表或产生网络活动，得不出上述结论。

• “neagent 流量高，说明它自己在下载东西。” 大流量可能来自它承载的 VPN 或代理扩展。真正发起访问的可能是其他应用，只是数据需要通过扩展转发。进程名既不能指出原始应用，也不能证明下载目标由 Apple 选择。

• “VPN 经过 neagent 后，每个字节肯定都会统计两次。” 这个说法尚未得到核实。有些统计层可能分别显示应用侧数据流和 VPN 外层连接，但 Apple 没有公布适用于所有扩展和计量工具的双重计量保证。看到两组相近数字时，仍需先确认工具统计的是哪一层。

• “阻断 neagent 会立刻破坏机器上安装的所有网络扩展。” 这个说法过于绝对。受到威胁的是对应实例当前承载的活动扩展；尚未启用的扩展不会因此立即受影响。不同提供者还可以采用 App Extension 或 System Extension 等不同打包方式，不能把一种情况套到所有产品上。

• “永久禁用 neagent 可以让 Mac 更快。” neagent 本来就是按需启动。它持续工作，通常说明某项 VPN、过滤、DNS 或代理功能正在使用它。调查对象应当是那个具体扩展及其配置，而不是把系统宿主本身当成性能问题的来源。

怎么看它到底用了多少

下一步可以在 Bytetally 的逐进程统计中查看 neagent，再对照当时启用的 VPN、过滤、DNS 或代理扩展，确认流量从何时开始、持续了多久。若允许调整对应扩展，也可以在正常断开前后比较变化。统计结果能说明规模和时间，但经过隧道或代理的数据，仍不能只凭 neagent 这个名字确认最初由哪个应用产生。

相关进程

常见问题