2026 : pare-feu client macOS, outils façon Little Snitch et SSH vers une ProxyMac Mac mini qui « ne casse que sur mon portable »

Les équipes qui se connectent à des minis Apple Silicon M4 à Hong Kong, au Japon, en Corée, à Singapore et aux États-Unis entendent parfois la phrase la moins réfutable du réseau : « SSH marche pour tout le monde sauf sur mon MacBook. » Avant d’accuser Tokyo, rappelez-vous que macOS peut veto le TCP sortant pour des binaires précis. Ce guide explique (1) comment les pare-feu intégrés et tiers traitent ssh différemment de Safari, (2) une matrice en cinq lignes qui sépare pertes silencieuses et soucis DNS VPN, (3) un runbook en six étapes avec bascules concrètes et (4) comment les filtres de contenu livrés par MDM interagissent avec les shells d’automatisation. À combiner avec le routage VPN Zero Trust lorsque les tunnels de politique réacheminent le trafic, les échecs de résolveur lorsque les noms mentent, et le TCP keepalive une fois les paquets réellement échangés.

Pourquoi le MacBook suspect précède les graphiques de latence Hong Kong

OpenSSH n’est qu’un autre binaire Mach-O. macOS peut autoriser des applis GUI validées par le noyau tout en refusant silencieusement les outils CLI lancés depuis Terminal ou iTerm lorsque les bases de règles dérivent après mise à jour. Des outils comme Little Snitch, Lulu ou les agents endpoint insèrent des règles évaluées avant que vos paquets n’atteignent le FAI—comme les proxys HTTP CONNECT, sauf que le refus apparaît comme connection timed out plutôt que HTTP 407.

• Indice rapide : nc -vz hôte 22 réussit pendant que ssh reste bloqué—binaires différents, verdicts différents.
• Indice lent : copier /usr/bin/ssh vers ~/bin/myssh « répare » jusqu’à ce que les règles conscientes des signatures rattrapent.
• Indice entreprise : le MDM installe une payload « network filter » qui ne s’attache que sur les SSID corporate.

Les audits SOC demandent souvent une corrélation entre horodatage de refus et identifiant machine : préparez ces métadonnées avant la réunion inter-équipes.

Pare-feu macOS intégré contre pare-feu applicatif tiers

Réglages Système → Réseau → Pare-feu liste le filtre paquets Apple. « Bloquer toutes les connexions entrantes » bloque rarement SSH sortant—mais « Autoriser automatiquement les logiciels intégrés » peut laisser des CLI téléchargés sans approbation explicite. Les outils tiers inversent le modèle : refus sortant par défaut jusqu’à approbation par processus et destination. Puissant pour la vie privée, brutal pour l’automatisation : les wrappers CI qui lancent des enfants ssh héritent du chemin exécutable choisi par l’IDE.

Parcourez les intégrations IDE : VS Code Remote-SSH peut embarquer sa propre construction OpenSSH—empreintes distinctes du binaire système Apple. Les passerelles JetBrains peuvent dupliquer encore une copie sous ~/.cache. Chaque chemin exige sa règle d’autorisation sinon vous traquez de faux « outages ». Capturez les timestamps console lors des bascules de règles pour aligner les ID syslog.

Si EDR impose des politiques « réseau scripté », vérifiez qu’elles n’étouffent pas ssh tout en laissant passer les navigateurs managés.

Matrice en cinq lignes : classer avant d’escalader le cœur réseau

Symptôme observable	Couche probable	Test rapide	Note d’escalade
ssh reste bloqué avant la fin de « Connecting… »	Refus sortant / piège SOCKS	ssh -S none -vvv ; sudo lsof -nP -iTCP -sTCP:SYN_SENT pour les SYN coincés	Horodatages des dialogues Little Snitch/Lulu
Le navigateur atteint le HTTPS du fournisseur, SSH jamais	Politique par application	Même hôte avec curl vs ssh	Joindre capture des lignes allow/deny
Fonctionne en Wi-Fi invité, échoue sur SSID entreprise	Payload Wi-Fi MDM	Basculer profils dans Réglages → VPN et filtres	Lier à la matrice VPN
NXDOMAIN immédiat ou longue pause résolveur	DNS, pas pare-feu	dig +trace vs DNS VPN	Utiliser le guide résolveur
Sessions idle meurent après 15–20 minutes	Timeout NAT	ServerAliveInterval 30	Article keepalive

Cette grille évite d’ouvrir des incidents WAN quand un profil local suffit à expliquer la défaillance.

Runbook client en six étapes

1. Reproduire en verbeux : ssh -vvv user@host ; noter échec avant ou après TCP.
2. Confirmer le routage : route -n get default vs attentes full-tunnel du playbook Zero Trust.
3. Isoler les binaires : tester /usr/bin/ssh, Homebrew /opt/homebrew/bin/ssh, scp séparément.
4. Autoriser temporairement : règle explicite TCP 22 ou port élevé vers sous-réseaux fournisseur ; pas de « allow any » après validation.
5. Triage MDM : si la Mac est inscrite, exporter Profils → identifiants payload Web Content Filter ou DNS Proxy.
6. Preuve pair : collègue sur le même SSID exécute la même commande—s’il réussit, le profil et non HK / JP / KR / SG / US porte la faute.

MDM, Network Extension et pourquoi l’IT aime les refus silencieux

Le framework Network Extension permet aux éditeurs MDM de livrer des filtres proche-noyau qui bloquent des catégories de trafic sans pop-up utilisateur. Ces filtres référencent souvent des listes de domaines dynamiques ; si le fournisseur fait tourner des arêtes CDN, une entrée d’allowlist d’hier disparaît. Documentez les bundle IDs de votre frontal SSH (com.apple.openssh vs clients tiers) dans les tickets. Si les exceptions sont interdites, utilisez des bonds documentés depuis le guide bastion pour que le trafic parte d’un segment déjà approuvé.

Budgetisez 45–90 minutes pour la première convergence sécurité/plateforme—moins cher que changer de région sans preuve. Cinq puces RCA : SSID, mode VPN, SKU pare-feu, chemin exact du binaire ssh, journaux de refus horodatés.

Si des captures sont obligatoires : Moniteur d’activité → Réseau trié sur octets envoyés pendant reproduction—un oublié SOCKS peut capturer après la sortie de SSH. Réinitialiser la NVRAM ne corrige guère les refus pilotés par politique ; exportez plutôt profiles show -type configuration avant/après poussées MDM pour des diffs factuels.

FAQ

Désactiver iCloud Private Relay aide-t-il SSH ? Seulement si le relay perturbait le DNS—les refus pare-feu persistent ; testez quand même sans relay.

Et le partage d’écran ? Le même hôte peut laisser passer VNC pendant que SSH échoue si les règles ciblent le port 22—comparez avec les bases VNC.

ProxyMac change-t-il mes règles pare-feu ? Non—la mini honore ce qui l’atteint ; l’égress client est votre responsabilité jusqu’à l’arrivée des paquets.

Pourquoi la mini ProxyMac compte encore une fois le portable coopératif

Une fois votre Mac arrêté de veto ses propres paquets, une Mac mini M4 louée offre du calcul single-tenant prévisible pour builds, notarisations et pairing distant sur HK / JP / KR / SG / US. Apple Silicon aligne SSH et partage d’écran sur l’expérience locale et réduit la dérive « ça marche chez moi ». Comparez l’empreinte sur la page tarifs, gardez les snippets sous aide, et gardez les instructions VNC pour une preuve GUI après changement de pare-feu.