Mac 上的 remoted 是什么，为什么会有网络流量？

最后更新: 2026-07-31

它是什么

remoted 是 macOS 自带的 Remote Service Discovery daemon，也就是远程服务发现守护进程。正常情况下，可执行文件位于 /usr/libexec/remoted，Apple 平台标识是 com.apple.remoted。launchd 会让它保持可用。系统需要连接设备时，remoted 可以发现哪些远程设备当前可达、这些设备提供哪些系统服务，并为获得授权的系统组件建立通信通道。

它服务的范围不只一种设备或一种功能。已经核实的关联包括 CoreDevice、RemoteXPC、USB 网络接口、Bonjour、虚拟化，以及部分嵌入式设备服务。换句话说，它更接近 macOS 底层的设备通信基础设施，而不是一个供用户直接操作的远程访问软件。Apple 没有公开完整清单，因此目前无法把每类连接逐一对应到具体产品或消费级功能。

名字里的 “remote” 很容易引起误会。remoted 不是 Apple Remote Desktop，也不是远程登录或屏幕共享服务器。Apple Remote Desktop 使用 ARDAgent 等独立组件。Mac 上出现 remoted，只说明这个系统组件正在按设计运行，不能据此判断有人打开了远程控制。

它为什么要联网

remoted 有几类已经核实的触发条件。设备通过 USB/NCM 网络接口接入时，它可能开始工作；本地网络中的另一个 Remote Service Discovery 节点被 Bonjour 发现时，它也可能产生通信。CoreDevice 或 Xcode 要连接已经配对的实体 Apple 设备，同样会用到相关通道。虚拟机或 compute-platform 后端启用后，也可能触发发现和连接流程。

通信另一端可能是兼容 CoreDevice 的设备，也可能是与本机配合的嵌入式设备、bridge/display 设备、虚拟机或计算节点。这只是目前能够确认的对象类别，并不是一份完整的产品名单。Apple 没有把每一种设备、每一项系统功能与 remoted 的关系全部公开。看到某次连接后出现流量，可以说明两者在时间上重合，却不能仅凭进程名认定某个具体功能一定由它负责。

这里的“网络流量”也不等于“从互联网下载”。remoted 的本机程序明确包含 Bonjour、USB NCM 和 IPv6 接口通信路径。部分数据会经过本地网络或链路本地网络，部分通信可以走设备直连接口。活动监视器仍会把这些活动计入网络统计，所以有数字并不代表数据一定离开了本地环境。

反过来也不能把话说满。Apple 没有承诺 remoted 只在本地通信，也没有公开保证它永远不会产生广域网流量。现有一手资料同样不足以证明它专门或持续负责 Handoff、AirPlay、iPhone Mirroring。把这三项功能全部归到 remoted 名下，目前仍属于未验证推断。

正常流量应该是多少

Apple 没有公布 remoted 的正常流量基线。没有可靠资料能给出每天多少 MB、每月多少 MB，也没有一个适用于所有 Mac 的异常门槛。配对设备数量、USB 连接、Xcode 开发活动、虚拟机状态，以及上层系统服务当时要传什么，都会改变最终统计。任何看似精确的固定数字都缺少依据。

在空闲和发现阶段，remoted 通常应当只产生间歇性的低流量通信。内容主要是控制消息、连接握手和服务描述。这些数据常见于 Bonjour、本地或链路本地网络，也可能经过设备直连接口。与视频串流或应用下载相比，这一阶段的流量通常小得多，但“通常较小”不等于可以写成固定上限。

建立通道以后，真正使用通道的是上层服务。如果上层服务传输诊断资料、符号、安装内容或其他数据，归到 remoted 名下的流量可能明显增加。因此，一次较大的统计结果不一定是发现协议本身造成的，也不能简单拿空闲阶段的控制流量作比较。

目前能给出的可靠判断只有范围，没有具体数字：空闲发现通常是低量、间歇性的控制通信；发生实际数据传输时，用量可能上升；Apple 没有公布统一基线，也没有保证全部流量都留在本地。判断某台 Mac 是否异常，需要结合实际发生的设备连接或开发、虚拟化活动来观察，不能套用一个未经证实的 MB 数。

能不能关掉

结论是保留 remoted。Apple 没有提供针对它本身的系统设置开关，因此也不存在可以照着进入的“系统设置”路径。关闭远程登录、远程管理、某个共享选项或某项 Continuity 功能，不等于安全地停用 remoted。

本机的 launchd 定义包含 KeepAlive。历史 man page 也写明它没有配置选项。强制停用对应的 launchd job，可能导致实体设备发现失效，影响 Xcode 或 CoreDevice 与已配对设备通信，也可能破坏 RemoteXPC 系统服务、虚拟机集成或嵌入式设备组件。Apple 没有提供一种受支持的办法，让用户只关闭其中一条内部路径，同时保留其他服务。

把它永久停掉来省流量，也缺少可靠收益依据。发现阶段通常只是少量控制通信，Apple 又没有公布可节省多少流量；停用后受影响的却可能是多类设备通信能力。如果某段时间的用量看起来异常，按时间和触发场景核对实际统计，比直接处理 launchd job 更能说明问题。

常见的误解

• “remoted 就是 Apple Remote Desktop、远程登录或屏幕共享。” 这几个概念不是一回事。Apple 将 remoted 定义为 Remote Service Discovery daemon。Apple Remote Desktop 使用 ARDAgent 等独立组件。进程名带有 “remote”，不代表它就是通用远程控制服务器。

• “只要看到 remoted，就说明有人正在远程控制这台 Mac。” remoted 原本就是 macOS 的常驻系统组件，由 launchd 维持运行。它出现本身不能证明有远程控制会话。需要另行调查的情况，是同名可执行文件出现在其他路径，或者程序签名异常；正常的 /usr/libexec/remoted 不能单独作为入侵证据。

• “remoted 一直扫描附近设备，专门负责 Handoff、AirPlay 和 iPhone Mirroring。” 已核实的内容是设备与服务发现，以及它与 Bonjour、USB NCM、CoreDevice、RemoteXPC、虚拟化等通信路径有关。现有 Apple 一手资料没有证明它专门或持续承担上述三项消费级功能。这样的具体归因仍未验证，不能从名字直接推出来。

• “关掉远程登录、远程管理和所有共享选项，remoted 就会停止。” 这些设置控制的是其他面向用户的服务，并不是 remoted 开关。它的本机 launchd 定义包含 KeepAlive，历史 man page 也没有列出配置项。Apple 没有在系统设置里提供关闭它的入口。

• “为了省流量，应该用 launchctl 永久禁用 remoted。” 空闲发现通常只涉及间歇性的控制消息，但 remoted 同时承载多条系统设备通信路径。强制停用后，实体设备发现、Xcode/CoreDevice 连接、RemoteXPC、虚拟机或嵌入式设备组件都可能受到影响。Apple 没有公布能够省下多少流量，已知的功能风险却涉及多个系统组件。

• “活动监视器里记在 remoted 名下的流量，全都是互联网下载。” 本机程序明确包含 Bonjour、USB NCM 和 IPv6 接口通信路径。本地网络、链路本地网络以及设备直连产生的数据，都可能出现在网络统计中。不过也不能由此断言它只会走本地网络；Apple 没有公开这样的保证。

怎么看它到底用了多少

下一步可以按实际时间段查看 remoted 的逐进程流量，不必先给它套上一个没有依据的固定额度。Bytetally 可以统计归到 remoted 名下的用量；可对比空闲时段与设备接入、Xcode 连接或虚拟机运行期间的数据。这个结果只代表当前 Mac 和所选时间段，不应当当作所有设备通用的正常基线。

相关进程

常见问题