外部设备无法通过有线网络访问macOS本地服务，通常因系统防火墙默认阻止入站连接；需通过系统设置启用防火墙并添加应用例外、用pfctl配置端口级规则，或通过launchd socket激活实现自动防火墙豁免。

如果您在 macOS 系统中运行本地服务（如 Web 服务器、数据库或自定义应用），但外部设备无法通过有线网络访问该服务，则很可能是系统内置防火墙默认阻止了入站连接。以下是针对有线网络环境配置入站规则并开放特定端口的具体操作步骤：

一、使用“系统设置”图形界面启用并配置防火墙

macOS 自带的防火墙可通过系统设置进行基础策略调整，适用于大多数用户，无需命令行操作，且对有线网络接口（如 Ethernet）生效。

1、点击屏幕左上角苹果菜单，选择“系统设置”。

2、在左侧边栏滚动至底部，点击“隐私与安全性”。

3、向下滚动，找到并点击“防火墙”右侧的“详情…”按钮（若显示“关闭防火墙”，先点击开启）。

4、点击右下角“防火墙选项…”。

5、勾选“启用防火墙”，并确保“阻止所有传入连接”未被勾选（否则将拒绝全部入站请求）。

6、在下方应用列表中，点击“+”号按钮，定位并添加需对外提供服务的可执行文件（例如：/usr/bin/python3、/opt/homebrew/bin/nginx 或您的 App 的 .app 包）。

7、确认所添加条目右侧状态为“允许传入连接”，然后点击“好”保存。

二、使用 pfctl 命令行工具配置精细端口级规则

系统设置界面不支持按协议和端口号直接放行，需借助底层数据包过滤器 pf（Packet Filter）实现精确控制，该方式对有线网卡（en0、en1 等）完全有效，且规则持久化后重启不失效。

1、打开“终端”应用。

2、执行命令查看当前活跃网卡名称：ifconfig | grep "en[0-9]" | awk '{print $1}'，记下有线接口名（如 en0）。

3、创建自定义规则文件：sudo nano /etc/pf.ports.conf。

4、在文件中输入以下内容（以开放 TCP 8080 端口为例，替换 8080 为目标端口）：pass in on en0 proto tcp from any to any port 8080。

5、保存并退出（Ctrl+O → Enter → Ctrl+X）。

6、加载新规则：sudo pfctl -f /etc/pf.ports.conf。

7、启用 pf 过滤器：sudo pfctl -e。

三、通过 launchd 配置 socket 监听服务自动触发防火墙豁免

当服务由 launchd 管理且采用 socket 激活机制时，系统会根据 plist 中的 Sockets 字段自动注册防火墙例外，适用于长期运行的守护进程，且仅对声明的端口生效。

1、创建服务配置文件：nano ~/Library/LaunchAgents/local.httpd.plist（文件名可自定）。

2、写入以下内容（以监听 TCP 3000 端口为例）：<key>Sockets</key><dict><key>Listener</key><dict><key>SockServiceName</key><string>3000</string><key>SockType</key><string>stream</string></dict></dict>。

3、确保 plist 中包含"<key>ProgramArguments</key>"指向实际可执行文件路径。

4、加载配置：launchctl load ~/Library/LaunchAgents/local.httpd.plist。

5、启动服务：launchctl start local.httpd。

6、验证防火墙是否已添加例外：sudo /usr/libexec/ApplicationFirewall/socketfilterfw --listapps | grep -A5 "3000"。