使用 VPN 或内容过滤器后 App Store 无法连接

装了 VPN 或内容过滤器之后，App Store 无法登录或无法下载。Safari 仍能打开网页，于是问题看起来像 Apple 账户问题，而不像网络问题。请把它拆成四个独立的问题：Mac 能否到达服务、能否登录、能否获取目录、能否下载单个项目。每一种失败都指向不同环节，下面的清单按出错代价最小的顺序逐项排查。

先给故障命名，再动手改动

写清实际发生了什么。能打开却从不显示任何内容的商店，是可达性或代理问题，不是身份验证问题。能列出项目却拒绝下载，更接近批量连接上的传输故障。没有任何错误文字、只是反复要求登录，通常是账户状态问题，再怎么调网络也修不好。

记下开始时间以及最后改动的是什么。如果答案是新的网络产品，它的版本和组件比你能收集到的其他信息都重要。即使你自己解决了问题，这两项也要写进工单，因为下一个人会从你停下的地方开始。

第一步：先排除 Apple 服务和时钟

在改动 Mac 网络设置之前，先查看 Apple 的系统状态页面和错误文字本身。服务中断从用户角度看和过滤器坏掉一模一样，而且不用改动本机就会自行恢复。在这个页面上花两分钟，常常能省下一小时的重配。

确认日期和时间正确，包括时区。证书验证依赖时钟，睡眠过或跨时区旅行过的 Mac 会与昨天还能访问的服务在 TLS 握手上失败。如果账户需要处理，请走账户流程，而不是改路由。

如果可能，用同一网络上的第二台设备测试。两台设备同时失败，说明问题在网络或服务；只有一台失败，说明是这台 Mac 的配置。

第二步：确认产品安装了哪个组件

VPN 隧道、HTTP 代理、内容过滤器和 DNS 代理是不同的东西，一个安装程序可能同时加上不止一个。先看实际配置了什么再推理，因为修复点在拥有失败流量的那个组件上。

在当前 macOS 版本中，网络扩展出现在系统设置的隐私与网络区域，产品添加的任何代理配置和 DNS 设置也在那里。记录你看到的内容，包括产品是否在强制一条故意要求 VPN 保持连接的限制。

最后这一点很重要。隧道断开时封锁商店的过滤器是按设计工作的，把它当成缺陷会导致关掉组织要求的防护。在判定规则有错之前，先读产品自己对这条规则的说明。

第三步：一次只改一条路径

用产品自己有文档说明的控件测试替代路径，并且只改一处。受管理的 Mac 可能需要管理员才能做这项改动，而为了证明一个观点去绕过策略，与诊断它是两回事。

商店在获准的替代路径上可用时，答案就出来了：故障出在管辖原路径的策略里。把这个结论交给产品负责人，而不是逐个关掉安全组件去看哪个起作用。

第四步：在检查方系统上修检查

Apple 公布的网络要求分别列出了 App、软件更新、账户服务和证书验证各自的依赖，所以只放行一个熟悉的主机名覆盖不了整个服务。它们也说明 HTTPS 拦截可能破坏这些服务。

当代理或过滤器检查流量时，受支持的例外应当落在检查方系统上，由管理它的人来实施。不要在 Mac 上通过削弱证书验证或接受意外证书来弥补，那等于把支持事件换成安全事件。

第五步：正确卸载，然后干净交接

如果不再需要该产品，用它的卸载程序，并完成它要求的重启。把 App 拖进废纸篓，或在设置里删掉一条 VPN 记录，都不能证明网络扩展、代理设置或后台组件已经消失，剩下的部分仍在影响流量。

不要一上来就清缓存、Cookie 和钥匙串项目。这会丢掉你可能需要的状态，而且很少能指出是哪个组件改了路径。同样，也不要以为里面没有隐私内容就公开完整的系统诊断归档。

更好的交接很短：错误文字、时间段、产品与版本、它安装的组件，以及你被允许做的那一次对比的结果。