2026 macOS 클라이언트 방화벽·Little Snitch류 도구, 그리고 “내 맥북에서만” 끊기는 ProxyMac Mac mini SSH
Apple Silicon M4 미니로 접속하는 팀은 홍콩·일본·한국·싱가포르·미국을 가로지르며 네트워크에서 반박하기 가장 어려운 문장을 듣곤 합니다. “SSH는 다 되는데 내 맥북만 안 된다.” 도쿄 리전이 녹았다고 단정하기 전에, macOS가 특정 바이너리의 나가는 TCP를 거부할 수 있다는 점을 기억하세요. 이 글은 (1) 내장·서드파티 방화벽이 ssh를 Safari와 다르게 다루는 이유, (2) 조용한 드롭과 VPN DNS 문제를 가르는 5행 매트릭스, (3) 구체적인 토글이 있는 6단계 런북, (4) MDM으로 배포된 콘텐츠 필터가 자동화 셸과 어떻게 상호작용하는지 설명합니다. 정책 VPN이 트래픽을 우회시키면 제로 트러스트 VPN 라우팅, 호스트명이 거짓말하면 리졸버 장애, 패킷이 실제로 흐른 뒤에는 TCP 킵얼라이브 조정과 함께 읽으세요.
의심스러운 맥북이 홍콩 지연 차트보다 상류에 있는 이유
OpenSSH도 그저 또 다른 Mach-O입니다. macOS는 커널이 승인한 GUI 앱은 허용하면서도 업그레이드 후 규칙 DB가 어긋나면 Terminal이나 iTerm에서 실행한 CLI를 소리 없이 거부할 수 있습니다. Little Snitch, Lulu, 벤더 엔드포인트 에이전트는 패킷이 ISP에 닿기 전에 평가되는 규칙을 삽입합니다—동작은 HTTP CONNECT 프록시와 같지만, 거부는 HTTP 407 대신 connection timed out으로 나타납니다.
- 빠른 단서:
nc -vz host 22는 성공하는데ssh만 멈춘다—바이너리가 다르면 판정도 다릅니다. - 느린 단서:
/usr/bin/ssh를~/bin/myssh로 복사하면 갑자기 통한다—서명 인식 규칙이 따라잡기 전까지의 틈입니다. - 엔터프라이즈 단서: MDM이 “네트워크 필터” 페이로드를 넣고 회사 SSID에만 붙는다.
내장 macOS 방화벽 대 서드파티 애플리케이션 방화벽
시스템 설정 → 네트워크 → 방화벽에 Apple의 패킷 필터가 나열됩니다. “들어오는 연결 모두 차단”은 나가는 SSH를 거의 막지 않지만, “내장 소프트웨어 자동 허용”만으로도 다운로드한 CLI는 미승인으로 남을 수 있습니다. 서드파티 도구는 모델을 뒤집어 프로세스마다 그리고 원격 끝점마다 승인이 나올 때까지 나가는 트래픽을 기본 거부합니다. 프라이버시에는 강하지만 자동화에는 가혹합니다. CI 래퍼가 띄우는 ssh 자식 프로세스는 IDE가 고른 실행 경로를 물려받습니다.
흔한 IDE 연동을 순서대로 돌려보세요. VS Code Remote-SSH는 자체 빌드 OpenSSH를 묶을 때가 있고—엔드포인트 콘솔에서 Apple 시스템 바이너리와 SHA가 갈립니다. JetBrains 게이트웨이는 ~/.cache 아래 또 다른 사본을 포크할 수 있습니다. 서로 다른 경로마다 허용 규칙이 필요하고 “네트워크 장애” 유령을 쫓지 않아도 됩니다. 규칙을 바꿀 때 콘솔 타임스탬프를 남겨 SOC가 syslog 상관 ID를 맞출 수 있게 하세요.
5행 매트릭스: 네트워크로 에스컬레이션하기 전에 분류한다
| 관측 증상 | 유력한 집행 계층 | 빠른 구분 테스트 | 에스컬레이션 메모 |
|---|---|---|---|
ssh가 “Connecting…”이 끝나기 전에 멈춘다 | 나가는 거부·SOCKS 함정 | ssh -S none -vvv 실행, sudo lsof -nP -iTCP -sTCP:SYN_SENT로 멈춘 SYN 확인 | Little Snitch·Lulu 대화 타임스탬프 캡처 |
| 브라우저는 공급자 HTTPS에 닿는데 SSH는 연결되지 않는다 | 앱별 정책 | 동일 호스트에서 curl과 ssh 비교 | 허용·거부 행 스크린샷 첨부 |
| 게스트 Wi‑Fi에서는 되고 회사 SSID에서는 실패 | MDM Wi‑Fi 페이로드 | 시스템 설정 → VPN 및 필터에서 프로필 전환 | VPN 라우팅 매트릭스 링크 |
| 즉시 NXDOMAIN 또는 긴 리졸버 정지 | DNS(방화벽 아님) | dig +trace와 VPN DNS 비교 | 리졸버 가이드 사용 |
| 유휴 세션이 15~20분 후 끊긴다 | NAT 타임아웃 | ServerAliveInterval 30 | 키프얼라이브 글 |
클라이언트 6단계 런북
- 장황하게 재현:
ssh -vvv user@host를 실행하고 실패가 TCP 핸드셰이크 전인지 후인지 저장합니다. - 라우팅 확인:
route -n get default와 제로 트러스트 플레이북의 전체 터널 기대치를 대조합니다. - 바이너리 분리:
/usr/bin/ssh, Homebrew/opt/homebrew/bin/ssh,scp를 각각 시험합니다—규칙 ID가 다를 수 있습니다. - 임시 허용: 공급자 서브넷으로 향하는 TCP 22 또는 할당된 상위 포트에 명시 허용을 추가하고, 검증 후 “모두 허용”은 남기지 않습니다.
- MDM 분석: Mac이 등록되어 있으면 프로필을 내보내고 웹 콘텐츠 필터나 DNS 프록시를 가리키는 식별자를 적습니다.
- 동료 증명: 같은 SSID 동료에게 동일 명령을 실행해달라고 요청합니다—성공하면 HK·JP·KR·SG·US가 아니라 당신의 프로필이 원인입니다.
MDM, Network Extension, IT가 조용한 거부를 선호하는 이유
Apple의 Network Extension으로 MDM 벤더는 최종 사용자에게 팝업 없이 트래픽 범주를 차단하는 커널 인접 필터를 배포할 수 있습니다. 필터는 종종 동적 도메인 목록을 참조하므로 공급자가 CDN 엣지를 바꾸면 어제의 허용 목록 항목이 사라집니다. 티켓에는 SSH 프런트엔드의 번들 ID(com.apple.openssh 대 서드파티 클라이언트)를 적으세요. 예외가 금지되어 있으면 바스티온 가이드에 있는 문서화된 점프에서 이미 신뢰된 세그먼트로 트래픽이 나가도록 우회하세요.
보안·플랫폼 팀의 첫 성공적인 조율에는 45~90분을 배정하세요—증거 없이 리전을 옮기는 것보다 쌉니다. RCA 메모는 다섯 개 불릿으로 수습하세요: SSID, VPN 모드, 방화벽 SKU, 정확한 ssh 경로, 타임스탬프가 찍힌 거부 로그.
조직이 스크린샷 증거를 요구하면 재현 중 활동 모니터 → 네트워크 탭을 “보낸 바이트”로 정렬하세요—SSH가 끝난 뒤에도 잊힌 SOCKS 헬퍼가 흐름을 잡고 있을 수 있습니다. 정책 기반 거부에는 NVRAM 초기화가 잘 먹히지 않으니 MDM 푸시 전후로 profiles show -type configuration 출력을 내보내 Slack 구전보다 diff로 사실을 남기세요.
FAQ
iCloud 프라이빗 릴레이를 끄면 SSH가 고쳐지나요? DNS가 방해할 때만 그렇습니다—방화벽 거부는 따로 남습니다. 그래도 완전성을 위해 릴레이를 끄고 시험하세요.
화면 공유는요? 같은 호스트에서 VNC는 통과하고 SSH만 실패할 수 있습니다—규칙이 포트 22만 노릴 때입니다. VNC 기본 포트 정책과 비교하세요.
ProxyMac이 방화벽 규칙을 바꿔 주나요? 아니요—미니는 도착한 패킷을 존중합니다. 패킷이 도달하기 전까지 클라이언트 이그레스는 사용자 책임입니다.
노트북이 협조한 뒤에도 ProxyMac 미니가 의미 있는 이유
자기 기기가 자기 패킷을 거부하지 않게 된 뒤에도, 임대 Mac mini M4는 빌드·notarized 업로드·원격 페어링에 단일 테넌트로 예측 가능한 연산을 제공하며 HK·JP·KR·SG·US에서 운영할 수 있습니다. Apple Silicon이면 개발자가 로컬에서 쓰는 SSH·화면 공유 동작과 맞추기 쉬워 “내 머신에서는 된다” 드리프트를 줄입니다. 발자국은 요금 페이지에서 비교하고, 자동화 스니펫은 도움말 센터에 두며, 방화벽 변경 후 가끔 필요한 GUI 확인은 VNC 안내를 곁에 두세요.
