Mac 有公网 IP 地址，听起来像是电脑直接暴露在互联网上。其实要先分清楚：您看到的是 Mac 自己的地址、家中路由器的公网地址，还是运营商网络里的共享地址。简单讲，大多数家庭网络是“Mac 用内网地址上网，路由器再代表全家连接互联网”。
下面按实际检查顺序，教您在 macOS 中查看地址、判断是否经过 NAT 或运营商级 NAT（CGNAT），再检查远程登录、文件共享和防火墙。重点不是看到一个公网 IP 就紧张，而是确认有没有不需要的服务对外开放。
一、公网 IP 和 Mac 本地 IP 有什么区别？
公网 IP 是互联网侧用来识别网络出口的地址；本地 IP 则是在家中或办公室局域网里分配给 Mac 的地址。NAT（网络地址转换）可以理解为路由器替多台设备共用一个公网出口。
| 地址类型 | 常见样子 | 通常代表什么 |
|---|---|---|
| Mac 本地 IPv4 | 10.x.x.x、172.16.x.x–172.31.x.x、192.168.x.x | RFC 1918 私有地址，只在内部网络使用。 |
| 路由器 WAN 地址 | 由运营商分配的 IPv4 | 可能是公网地址，也可能是运营商共享地址。 |
| 运营商共享地址 | 100.64.0.0–100.127.255.255 | 常见于 CGNAT，不是普通公网 IPv4。 |
| IPv6 地址 | 多组十六进制字符和冒号 | 部分 IPv6 地址具有全球可路由性，需检查防火墙。 |
IANA 保留的三段私有 IPv4 地址分别是 10.0.0.0/8、172.16.0.0/12 和 192.168.0.0/16；运营商级 NAT 使用的共享地址段则是 100.64.0.0/10。100.64.0.0/10 和 RFC 1918 私有地址不是同一类地址，但都不能当作普通公网地址直接访问。
二、按这 3 步检查 Mac 有没有公网地址
第 1 步：查看 Mac 当前地址
- 打开苹果菜单中的“系统设置”，进入“网络”。
- 选择当前使用的 Wi-Fi 或以太网连接，打开“详细信息”。
- 进入 TCP/IP，查看 IPv4 地址；如果页面显示 IPv6，也一并记录。不同 macOS 版本的按钮位置可能略有差异。
如果 Mac 的 IPv4 是 10、172.16–31 或 192.168 开头，通常说明它拿到的是局域网私有地址，而不是公网 IPv4。
第 2 步：查看路由器 WAN 地址
- 登录家中路由器的管理页面或官方管理 App。
- 找到“Internet”“WAN”或“上网信息”栏目。
- 记录路由器 WAN IPv4 地址，不要把 LAN 网关地址误当成 WAN 地址。
如果您使用光猫加路由器两层设备，还要确认看到的是哪一台设备的 WAN 地址。
第 3 步：与外网查询结果对照
关闭 VPN 或代理后，用可信的 IP 查询服务查看网络出口地址，再与路由器 WAN 地址比较。若两者一致，通常说明路由器直接拿到了这个公网 IPv4；若不一致，可能存在上级路由、运营商 CGNAT、VPN 或代理。查询网站看到的是网络出口，不一定是 Mac 自己的地址。
| 检查结果 | 常见解释 | 下一步 |
|---|---|---|
| Mac 是私有地址，路由器 WAN 是公网地址 | 常见家庭 NAT 网络 | 检查端口转发和共享服务。 |
| 路由器 WAN 是 100.64.0.0/10 | 很可能处于运营商 CGNAT | 需要公网入站连接时咨询运营商。 |
| 路由器 WAN 是 10、172.16–31 或 192.168 地址 | 可能还有上级路由做 NAT | 检查光猫或上级设备的 WAN 地址。 |
| Mac 有全球单播 IPv6 地址 | IPv6 可能具备全球可路由性 | 检查路由器 IPv6 入站规则和 Mac 防火墙。 |
三、有公网 IP 就代表 Mac 一定会被入侵吗？
不是。公网 IP 只是说明网络在互联网侧有一个可识别的地址，并不等于 Mac 的所有服务都能被外部连接。真正需要留意的是路由器有没有把端口转发到 Mac、IPv6 入站规则是否放行，以及 Mac 上哪些共享服务正在监听连接。
- Remote Login（远程登录）允许通过 SSH 或 SFTP 连接 Mac。
- File Sharing（文件共享）可能开放 SMB 等服务，供其他设备访问共享文件夹。
- Screen Sharing（屏幕共享）和 Remote Management（远程管理）会提供远程控制入口。
- 端口转发、UPnP 自动映射或路由器远程管理，可能让原本只在局域网使用的服务被外部访问。
动态公网 IP 仍然是公网 IP；地址会变化，不代表端口就安全。反过来，私有 IPv4 地址也不意味着完全安全，同一局域网内的设备仍可能访问您开放的服务。
四、怎样降低不必要的远程访问风险？
- 关闭不使用的共享功能：打开“系统设置”>“通用”>“共享”，检查远程登录、文件共享、屏幕共享和远程管理。用不到的就关闭。
- 限制远程登录对象：确实需要 SSH/SFTP 时，不要默认允许所有用户；选择“仅这些用户”，优先使用 SSH 密钥和强密码，维护结束后关闭临时入口。
- 打开 macOS 防火墙：进入“系统设置”>“网络”>“防火墙”，确认已开启，并检查允许接入的 App 和服务。防火墙不能替代关闭不需要的共享服务。
- 检查路由器端口转发：删除不认识或已经不用的规则，检查 UPnP 和远程管理是否有必要开启，并及时更新路由器固件。
- 远程访问优先走可信 VPN：尽量不要把 SMB、屏幕共享或 SSH 端口直接暴露到整个互联网。
如果您还在整理 Mac 的数据保护，可以接着看 Mac FileVault 恢复密钥查看与验证方法；系统设置方面也可参考 macOS 27 Golden Gate 实用设置指南。
常见问题（FAQ）
1. Mac 显示 192.168 开头，是公网 IP 吗？
不是。192.168.0.0/16 是私有 IPv4 地址段，通常只在家庭或办公室局域网内使用。
2. 路由器 WAN 地址是 100.64 开头，怎么办？
这通常表示运营商使用 CGNAT。若您需要外部设备主动连接家中网络，可以咨询运营商是否提供公网 IPv4，或使用合适的 VPN 方案。
3. 关闭远程登录后，还能正常上网吗？
可以。远程登录主要影响其他设备通过 SSH/SFTP 连接 Mac，不影响日常浏览网页。
4. 有公网 IP 就一定要关闭 IPv6 吗？
不需要。IPv6 本身不是问题，重点是路由器入站规则、Mac 防火墙和已开启的共享服务。
5. VPN 会影响公网 IP 检查吗？
会。VPN 或代理可能让查询网站显示 VPN 出口地址。比较路由器 WAN 地址时，要先确认 VPN/代理状态。
总结
判断 Mac 是否有公网 IP，不能只看一个查询网站。先查 Mac 本地地址，再查路由器 WAN 地址，最后考虑 CGNAT、双重 NAT 和 IPv6。真正影响远程暴露风险的，是端口转发、共享服务和防火墙规则。把不需要的入口关掉、限制远程用户并保持系统更新，比单纯隐藏 IP 更有用。如果您还想进一步了解 Mac 如何防范恶意软件、木马和勒索软件，可以参考Mac 恶意软件与勒索软件防护指南，检查应用来源、系统权限和独立备份。
主要参考：Apple：查找 Mac 的名称和网络地址；Apple：允许远程电脑访问 Mac；Apple：更改 Mac 防火墙设置；IANA：私有 IP 地址范围；IETF RFC 6598：运营商共享地址空间。