Sidecar 与 VPN：无线还是 USB，以及是什么挡住了它

Sidecar 通过两台 Apple 设备之间的直接链路，把 iPad 变成第二块屏幕。会改变路由或阻断本地发现的 VPN 可能切断这条链路，而重新配对无论多少次都修不好策略问题。无线与有线 Sidecar 之间是一个真实的选择，不是退路，而且两种模式的失败方式不同。先测试屏幕本身，再去怪隧道或平板。

在任何 VPN 之前，Sidecar 需要什么

在隧道介入之前，Sidecar 有自己的要求：兼容的机型和软件、两台设备上同一个开启了双重认证的 Apple 账户，以及无线使用时两台设备要靠近，并且打开 Wi-Fi、蓝牙和 Handoff。任何一台设备都不能充当另一台的热点。

这些条件容易检查，也容易被忘记。一台共享手机连接的 Mac 会因与 VPN 毫无关系的原因导致 Sidecar 失败。

无线与有线，诚实地比较

无线是方便的模式，也是脆弱的模式。它依赖设备之间的发现和直接链路，所以任何过滤本地组播或强制流量走远端出口的东西都可能弄断它。USB 则完全避开这条路径，用线缆承载屏幕会话，代价是一根线和一次信任提示。当网络受管且你无法改变其策略时选 USB；当两台设备都在允许本地流量的网络上时选无线。

两种模式在定义上都不更安全。线缆去掉了一条网络路径，而设备上的策略仍然决定什么可以连接。

有线会话还去掉了距离限制，这在 iPad 放在房间另一头支架上时很重要。它并不会去掉账户要求或信任提示。

VPN 客户端可能在哪里干扰

VPN 客户端会以两种方式干扰：它可以改变路由表，让本地地址走隧道；它也可以应用阻断设备间发现的本地网络策略。Apple 自己的 Sidecar 指南指出，阻止本地联网的 VPN 可能干扰连续互通功能。与其假设两种结果中的一种，不如去读客户端的设置。

scutil --nc list

然后检查客户端实际安装了什么。把所有前缀都送进网关的完整隧道，会把本地发现流量带到并不存在 iPad 的远端网络。排除本地子网的分流隧道通常能恢复。在受管设备上你可能没有权限改，那是关于策略的对话，不是配置调整。

接受屏幕，而不是代理信号

用起来，才算接受这块屏幕。把一个窗口移到 iPad 上，确认排布是扩展而不是镜像，并在上面工作足够久，看看输入和刷新是否稳得住。iPad 出现在显示器列表里只是开始，不是结果。AirDrop 能用只证明某一项服务能到达设备，对屏幕会话什么也说明不了。

记录两台设备的版本、模式、VPN 配置以及你做过的操作。如果只有开启 VPN 时才失败，你就有一个具体的本地策略互动可以交给所有者。这份记录比为了菜单项出现而关掉保护的偏方更有价值，基准可以在Sidecar 的要求中确认。