Comment utiliser le terminal pour la fonctionnalité "Little Snitch" sans Little Snitch

Pour bloquer de manière permanente le trafic sortant vers des domaines spécifiques, vous devez créer un nouveau fichier d'ancre et l'ajouter à pf.conf.

1. Créez un fichier d'ancre org.user.block.out dans /private/etc/pf.anchors

   sudo touch /private/etc/pf.anchors/org.user.block.out

   avec le contenu suivant et une ligne vide à la fin

   mybadhosts = "{ www.domain.com, domain.com, www.domain2.com, domain2.com }"
   mybadports = "{ 443, 80 }"
   
   block drop out proto tcp from any to $mybadhosts port $mybadports

   Les noms de domaine supplémentaires dans mybadhosts ne sont qu'un exemple de la manière d'ajouter des domaines supplémentaires. Il en va de même pour le port 80 dans mybadports.

   Une solution simple mais moins flexible est :

   block drop out proto tcp from any to domain.com port 443

2. Modifiez le fichier /private/etc/pf.conf mais gardez une ligne vide à la fin

   fichier d'origine :

   scrub-anchor "com.apple/*"
   nat-anchor "com.apple/*"
   rdr-anchor "com.apple/*"
   dummynet-anchor "com.apple/*"
   anchor "com.apple/*"
   load anchor "com.apple" from "/etc/pf.anchors/com.apple"

   à

   scrub-anchor "com.apple/*"
   nat-anchor "com.apple/*"
   rdr-anchor "com.apple/*"
   dummynet-anchor "com.apple/*"
   anchor "com.apple/*"
   anchor "org.user.block.out"
   load anchor "com.apple" from "/etc/pf.anchors/com.apple"
   load anchor "org.user.block.out" from "/etc/pf.anchors/org.user.block.out"

3. Parcourez et testez votre fichier d'ancre pour vous assurer qu'il n'y a pas d'erreurs :

   sudo pfctl -vnf /etc/pf.anchors/org.user.block.out

4. Modifiez maintenant /System/Library/LaunchDaemons/com.apple.pfctl.plist de

       pfctl
       -f
       /etc/pf.conf

   à

       pfctl
       -e
       -f
       /etc/pf.conf

   Vous devez désactiver la Protection de l'intégrité du système pour accomplir ceci. Après avoir modifié le fichier, réactivez SIP. Après le redémarrage de votre Mac, pf sera activé (c'est l'option -e).

   Alternativement, vous pouvez créer votre propre démon de lancement similaire à la réponse ici : Utiliser le serveur 5.0.15 pour partager Internet SANS partage d'Internet.

Après une mise à jour ou une mise à niveau du système, certains des fichiers d'origine ci-dessus peuvent avoir été remplacés et vous devez réappliquer tous les changements.