macOS无法直接用pf防火墙按域名屏蔽广告，需结合DNS重定向与pf规则：先将广告域名写入/etc/hosts指向127.0.0.1，再通过pf配置table和block规则阻断发往该地址的出站请求，实现双重拦截。
Mac用户想在家庭网络中用系统自带防火墙拦截恶意广告域名，但 macOS 内置防火墙（pf）默认只过滤端口与IP连接，【不支持直接按域名屏蔽】。必须通过修改系统级DNS解析路径，将广告域名强制指向本地黑洞（127.0.0.1），再配合pf规则阻断该地址的出站请求，才能实现真正落地的“防火墙级广告拦截”。
第一步：启用并配置macOS内置pf防火墙
打开终端，执行以下命令启用pf服务：
sudo sysctl -w net.inet.ip.forwarding=1 → sudo pfctl -e
这一步开启IP转发和数据包过滤引擎，是后续所有规则生效的前提。若跳过此步，后续添加的任何规则都不会被加载。
第二步：创建自定义DNS重定向规则
macOS不提供图形化DNS劫持界面，需手动编辑/etc/pf.conf文件。先备份原配置：
sudo cp /etc/pf.conf /etc/pf.conf.bak
然后用nano编辑主配置：
sudo nano /etc/pf.conf
在文件末尾插入以下两行（注意缩进必须为tab，不能用空格）：
table <ad_domains> { 127.0.0.1 }
block out quick on en0 from any to <ad_domains>
这里en0是Wi-Fi网卡名，有线用户请替换为en1或运行ifconfig | grep "en"确认实际接口名。漏写quick会导致规则被后续规则覆盖，广告请求仍可能发出。
第三步：构建本地广告域名黑名单并注入DNS解析层
仅靠pf无法识别域名，必须让系统在DNS查询阶段就把广告域名解析成127.0.0.1。操作分三步：
① 下载主流广告域名列表（如EasyList China）并提取纯域名行；
② 将所有域名映射到127.0.0.1，生成格式为127.0.0.1 ad.example.com的文本；
③ 追加到/etc/hosts末尾：sudo tee -a /etc/hosts < ad_hosts.txt。
这一步完成后，任何对广告域名的访问都会先查hosts，命中即返回127.0.0.1；pf规则再捕获所有发往127.0.0.1的出站包并丢弃——双重拦截，不留缝隙。
第四步：重启防火墙并验证拦截效果
执行sudo pfctl -f /etc/pf.conf重载规则；
访问http://doubleclick.net或http://googlesyndication.com，页面应完全空白且无广告资源加载；
终端运行sudo pfctl -s rules，确认输出中包含block out quick on en0 from any to <ad_domains>这一行。
