2026 SSH über firmeninterne HTTP-CONNECT-Proxys zu einer gemieteten ProxyMac-Mac-mini

Sicherheitsteams stellen Laptops bereit, bei denen ohne Ticket nur TCP 443 (gelegentlich 80) ins öffentliche Internet darf—während Ihre ProxyMac-Mac-mini in Hongkong, Japan, Südkorea, Singapur oder den USA weiterhin TCP 22 für SSH lauscht. Selten ist die Ursache „ProxyMac hat SSH kaputt gemacht“; meist fährt Browser-Traffic einen HTTP-CONNECT-Tunnel durch einen Forward-Proxy, während nacktes ssh diesen Vertrag nicht kennt. Dieser Artikel erklärt, wer CONNECT wirklich braucht im Vergleich zu einem Full-Tunnel-VPN, vergleicht vier Transportmodi in einer Matrix mit Zahlenannahmen (30–120 s Proxy-Auth-Timeouts, 512 KB–8 MB/s geformte SCP-Obergrenzen auf manchen DLP-Pfaden), liefert eine kopierbare ProxyCommand-Strophe mit OpenBSD-nc unter macOS, warnt vor TLS-MITM-Geräten, die Host-Keys umschreiben, führt ein achtstufiges Eskalations-Runbook von PAC bis Paketbeweis und zeigt die Kombination mit Jump-Hosts, Zero-Trust-Routing und TCP-Keepalive-Tuning, damit Sitzungen nach erfolgreichem CONNECT stabil bleiben.

Ergänzend Hilfezentrum und Preise nutzen, um die Region zu wählen—bevor eine Woche im Beweis des Proxys statt der Last verschwendet wird.

Wenn aus dem Büro nur HTTPS darf, die mini aber weiter SSH spricht

Unternehmen setzen auf explizite Forward-Proxys, weil jeder Egress-Byte URL-Kategorisierung, Malware-Scan und DLP braucht. Das ist rational—und kollidiert mit Entwicklern, die git push, rsync und ssh -L auf einen Build-Host wollen. Das Symptommuster wiederholt sich: ssh -vvv hängt bei Connecting to ... port 22, während curl https://example.com sofort klappt, weil der Browser HTTPS_PROXY automatisch setzte, die Shell aber nicht.

• Split-Tunnel-VPN kann Port 22 nur im „vollen“ Tunnelmodus zeigen—den Modus dokumentieren, den die IT wirklich ausliefert.
• WPAD kann pro SSID andere Proxys setzen; Hotel-WLAN ist nicht Ihr Büro-PAC.
• SOCKS5 aus reinen Browser-Erweiterungen gilt nicht automatisch fürs Terminal, außer Variablen werden konsistent exportiert.

Transportmatrix: direktes SSH, CONNECT, VPN Full-Tunnel, VPN Split

Modus	Wer öffnet TCP 22	Typische Latenz-Mehrkosten	Geruch bei Fehlern
Direkt vom vertrauenswürdigen Heim-ISP	Laptop → mini	0 ms Proxy-Steuer	CGNAT-Leerlauf—Keepalive-Leitfaden
HTTP CONNECT über expliziten Proxy	Proxy → mini	3–15 ms pro Hop	HTTP-407-Auth-Schleifen
VPN Full-Tunnel	VPN-Konzentrator → Internet	8–40 ms	Richtlinienrouten umgehen die mini-Region
VPN Split + Firmenproxy	Laptop → Proxy → mini	Summe beider	SCP langsamer als interaktive Shell

ProxyCommand unter macOS mit nc -X connect

Apple liefert OpenBSD-nc mit -X connect für klassisches HTTP CONNECT. Platzhalter durch den von der IT dokumentierten host:port ersetzen—nie aus einem Screenshot raten.

Host proxymac-jp-via-proxy HostName jp-node.proxymac.com User youruser ProxyCommand nc -X connect -x corporate-proxy.corp.local:8080 %h %p ServerAliveInterval 30 ServerAliveCountMax 4

Verlangt der Proxy Basic-Credentials, lieber einen Helfer, der sie ohne Klartextpasswörter in weltlesbaren Dateien injiziert—viele Teams kapseln corkscrew-ähnliche Helfer in kleine signierte Binaries statt Passwörter in ~/.ssh/config.

TLS-Inspektion, PAC und die Illusion „in Chrome geht es“

Ein TLS-Inspection-Appliance kann ausgehendes TLS beenden und trotzdem CONNECT-Tunnel zu beliebigen Ports erlauben—oder CONNECT außerhalb von 443 ohne Ticket blockieren. Wenn IT nur CONNECT :443 erlaubt, erreichen Sie :22 nicht auf diesem Weg; dann Port 22 für den öffentlichen Hostnamen der mini freischalten oder SSH hinter 443/tcp auf einen kontrollierten Endpunkt legen (nicht in Standard-ProxyMac-Images—als eigenes Engineering behandeln).

Achtstufiges Runbook, bevor Sie die Region beschuldigen

1. PAC exportieren aus Systemeinstellungen → Netzwerk → Details → Proxys (macOS 15) und URL archivieren.
2. CONNECT testen mit nc -vz -X connect -x proxy:port mini-host 22.
3. RTT vergleichen mit und ohne VPN per ping, falls ICMP erlaubt—sonst ssh -G für die aufgelöste Konfiguration.
4. Keepalives schichten gemäß TCP-Keepalive-Artikel, damit der Proxy idle CONNECT nicht recycelt.
5. MTU prüfen mit PMTUD-Leitfaden, wenn Bulk-Kopien mitten in der Datei stecken bleiben.
6. Jump-Host versuchen, wenn eine Bastion sauberes 22 hat—siehe Bastion-Leitfaden.
7. Konfig spiegeln in Git mit maskierten Proxy-Hostnamen für Audit.
8. Mit pcaps eskalieren erst, wenn Schritte 1–6 an einem Tag zweimal reproduzierbar sind.

ProxyCommand mit ProxyJump ohne Zyklen stapeln

Viele Teams platzieren eine kleine Bastion in der DMZ mit ausgehendem 22, während Laptops gesperrt bleiben. ProxyJump bastion für den ersten Hop, ProxyCommand für Laptop→Firmenproxy—oder umgekehrt, wenn die Bastion selbst CONNECT braucht. ASCII-Diagramm ins Runbook, damit Bereitschaft die Verschachtelung bei Vorfällen nicht vertauscht. Der Jump-Host-Artikel zeigt Host-Namensmuster, die Match exec-Blöcken standhalten.

FAQ

Behebt HTTPS_PROXY allein ssh? Nein—OpenSSH liest eigene Direktiven; Umgebungsvariablen helfen nur Tools, die sie respektieren.

Warum funktioniert GitHub-SSH, ProxyMac aber nicht? Unterschiedliche Hostnamen können unterschiedliche Proxy-Richtlinien-Eimer treffen—Kategorienlabels in der Proxy-Admin-UI vergleichen.

Erben OpenClaw-Daemonen CONNECT-Einstellungen? LaunchAgents brauchen explizite EnvironmentVariables; Exports in ~/.zprofile gelten nicht—siehe OpenClaw-Fehlerbehebung.

Warum ProxyMac-Mac-mini hinter Firmenproxys das richtige Ziel bleibt

Apple Silicon M4-Minis in HK / JP / KR / SG / US geben einen lang lebenden Hostnamen, den Sie auf der Proxy-Appliance einmal whitelisten können, statt nach Autoscale rotierenden Cloud-VMs zu jagen. Sind CONNECT und Host-Keys stabil, hängen Sie Automationsagenten, Xcode-Builds oder Compliance-Scanner an dasselbe Metall, das die Security bereits freigegeben hat. Mit regionalen Preisen eine zweite mini für DR begründen und VNC für TCC-Dialoge parat halten—SSH allein kann „Erlauben“ nicht klicken.