IP 白名單與防火牆
鎖定 macOS 集群的安全策略

01. 為何 macOS 集群需要專屬的網路存取控制策略

macOS 集群作為企業關鍵的 CI/CD 基礎設施或算力平台，往往處理著原始程式碼、憑證金鑰、客戶資料等高度敏感資訊。與通用伺服器不同，macOS 環境具有以下特殊性，使得傳統防火牆策略無法直接套用：

傳統「邊界防火牆」模型的致命缺陷

許多企業僅在網路邊界（如 IDC 入口）部署防火牆，內部主機之間完全互信。這種策略在 2026 年面臨嚴峻挑戰：

• 橫向移動攻擊：攻擊者一旦突破單一節點（如透過釣魚郵件獲取 VPN 權限），即可在內網自由移動，存取所有 macOS 集群
• 供應鏈滲透：第三方工具或依賴套件若遭投毒（如 NPM、CocoaPods），可能在內網建立反向連線（Reverse Shell），繞過出站規則
• 內部威脅：離職員工或惡意內部人員可利用殘留的 SSH 金鑰直接存取集群，無法透過邊界防火牆偵測

因此，現代化的 macOS 集群安全策略必須採用「縱深防禦（Defense in Depth）」架構：每台主機皆為獨立安全域，透過 IP 白名單與主機級防火牆實施最小權限原則（Principle of Least Privilege）。

02. macOS 內建防火牆：pf (Packet Filter) 實戰配置

macOS 自 10.7 起採用源自 OpenBSD 的 pf（Packet Filter）作為核心防火牆引擎。與 Linux 的 iptables 相比，pf 提供更簡潔的語法與更高的效能。以下是針對 macOS 集群的完整配置策略。

基礎配置：啟用 pf 並載入規則

pf 的規則檔案位於 /etc/pf.conf。以下是一個標準的生產環境配置範例：

# /etc/pf.conf - MacDate 生產環境防火牆規則
# 更新時間：2026-02-13

# === 定義介面與網路 ===
ext_if = "en0"                          # 外部網路介面（乙太網路）
int_if = "lo0"                          # 回環介面

# === 定義受信任的 IP 白名單 ===
table <trusted_ips> persist file "/etc/pf.trusted_ips.txt"
table <admin_ips> persist { \
    203.0.113.10/32 \               # 辦公室固定 IP
    198.51.100.0/24 \               # VPN 出口網段
    192.0.2.50/32 \                 # DevOps 工作站
}

# === 全域選項 ===
set skip on lo0                         # 略過回環介面檢查
set block-policy drop                   # 預設靜默丨棄（不回應 ICMP）
set loginterface $ext_if                # 記錄外部介面流量

# === 預設拒絕策略 ===
block in log all                        # 記錄所有入站流量並阻擋
block out all                           # 阻擋所有出站流量（稍後開放必要連線）

# === 允許回環與已建立連線 ===
pass quick on lo0 all
pass out quick on $ext_if proto tcp from any to any modulate state
pass out quick on $ext_if proto udp from any to any keep state
pass out quick on $ext_if proto icmp from any to any keep state

# === SSH 存取控制（僅白名單 IP）===
pass in quick on $ext_if proto tcp from <admin_ips> to any port 22 \
    flags S/SA modulate state \
    (max-src-conn 5, max-src-conn-rate 3/60, overload <bruteforce> flush global)

# === VNC 存取（僅管理員網段）===
pass in quick on $ext_if proto tcp from <admin_ips> to any port 5900 \
    flags S/SA modulate state

# === Git 伺服器（僅 CI/CD 平台）===
pass in quick on $ext_if proto tcp from <trusted_ips> to any port { 9418, 22 } \
    flags S/SA modulate state

# === ICMP（僅允許 ping）===
pass in quick on $ext_if inet proto icmp from <admin_ips> icmp-type echoreq

# === 暴力破解防護：封鎖超過連線限制的 IP ===
block in quick from <bruteforce>

啟用與測試防火牆規則

在套用新規則前，務必先進行語法驗證，避免將自己鎖在外面：

# 1. 語法檢查
sudo pfctl -nf /etc/pf.conf

# 2. 啟用防火牆（不中斷現有連線）
sudo pfctl -e

# 3. 載入規則
sudo pfctl -f /etc/pf.conf

# 4. 檢視目前規則
sudo pfctl -sr

# 5. 即時監控流量日誌
sudo tcpdump -n -e -ttt -i pflog0

03. 動態白名單管理：應對浮動 IP 與多地辦公

現代企業面臨的挑戰是：開發者不再固定在辦公室工作，家用寬頻、行動熱點的 IP 位址可能每日變動。完全依賴固定 IP 白名單既不現實也不安全（強迫使用 VPN 會導致效能損耗與單點故障風險）。

方案一：基於 TOTP 的動態白名單註冊系統

在 macOS 集群前端部署一個輕量級 Web 服務，允許開發者透過雙因子驗證（2FA）自助新增其當前 IP：

#!/usr/bin/env python3
# /usr/local/bin/whitelist_portal.py
# 動態白名單註冊系統（Flask 範例）

from flask import Flask, request, jsonify
import pyotp
import subprocess
import ipaddress

app = Flask(__name__)
TOTP_SECRET = "YOUR_TOTP_SECRET_HERE"  # 與開發者共享的 2FA 種子

@app.route('/register', methods=['POST'])
def register_ip():
    totp_code = request.json.get('totp')
    user_ip = request.remote_addr
    
    # 驗證 TOTP
    totp = pyotp.TOTP(TOTP_SECRET)
    if not totp.verify(totp_code, valid_window=1):
        return jsonify({'error': 'Invalid TOTP'}), 403
    
    # 驗證 IP 格式
    try:
        ipaddress.ip_address(user_ip)
    except ValueError:
        return jsonify({'error': 'Invalid IP'}), 400
    
    # 新增至 pf 白名單表（24 小時後自動過期）
    subprocess.run([
        'sudo', 'pfctl', '-t', 'trusted_ips', '-T', 'add', user_ip
    ])
    
    # 排程移除（使用 at）
    subprocess.run([
        'echo', f'sudo pfctl -t trusted_ips -T delete {user_ip}',
        '|', 'at', 'now + 24 hours'
    ], shell=True)
    
    return jsonify({'success': True, 'ip': user_ip, 'expires': '24h'})

if __name__ == '__main__':
    app.run(host='0.0.0.0', port=8443, ssl_context='adhoc')

開發者可使用 curl 搭配 Google Authenticator 生成的 TOTP 碼註冊：

curl -X POST https://firewall.macdate.com:8443/register \
  -H "Content-Type: application/json" \
  -d '{"totp": "123456"}'

方案二：WireGuard VPN + 分層白名單

對於需要長期穩定連線的場景（如全天候 CI/CD），建議部署 WireGuard VPN：

• Layer 1（外層）：僅允許 VPN 伺服器的公網 IP 存取 macOS 集群的 WireGuard 埠（51820/UDP）
• Layer 2（內層）：在 VPN 虛擬網路（如 10.8.0.0/24）內部，根據用戶角色分配不同的存取權限：
  • 開發者（10.8.0.10-99）：僅能存取 SSH（22）與 Git（9418）
  • 管理員（10.8.0.2-9）：可存取 VNC（5900）與系統管理埠

# pf.conf 中的 VPN 分層規則
vpn_devs = "10.8.0.10/28"
vpn_admins = "10.8.0.2/30"

pass in quick on utun1 proto tcp from $vpn_devs to any port { 22, 9418 }
pass in quick on utun1 proto tcp from $vpn_admins to any port { 22, 5900, 443 }

04. 進階防護：整合 Fail2Ban 與 OSSEC 實現動態封鎖

IP 白名單雖能有效阻擋未授權存取,但無法防範「已授權但被劫持」的帳號攻擊。Fail2Ban 可自動分析系統日誌，偵測異常行為並動態更新防火牆規則。

針對 SSH 暴力破解的 Fail2Ban 配置

# /usr/local/etc/fail2ban/jail.local
[sshd]
enabled = true
port = 22
filter = sshd
logpath = /var/log/system.log
maxretry = 3                    # 3 次失敗即封鎖
bantime = 86400                 # 封鎖 24 小時
findtime = 600                  # 10 分鐘內計算失敗次數
action = pf[name=SSH, port=22]  # 呼叫 pf 封鎖動作

對應的 pf action 腳本（/usr/local/etc/fail2ban/action.d/pf.conf）：

[Definition]
actionstart = 
actionstop = 
actioncheck = 
actionban = pfctl -t bruteforce -T add <ip>
actionunban = pfctl -t bruteforce -T delete <ip>

針對 Xcode Server API 的異常頻率偵測

若您的集群運行 Xcode Server 或 GitLab Runner，可自訂 Fail2Ban 規則偵測 API 濫用：

# /usr/local/etc/fail2ban/filter.d/xcode-api.conf
[Definition]
failregex = ^.*POST /api/bots.* from <HOST>.*status=401
            ^.*GET /api/integrations.* from <HOST>.*rate_limit_exceeded
ignoreregex =

05. 零信任架構：每次存取皆需驗證

零信任（Zero Trust）模型的核心原則是「永不信任，持續驗證」（Never Trust, Always Verify）。即使 IP 位於白名單內，每次關鍵操作仍需額外驗證。

實踐策略：SSH 憑證 + 硬體金鑰雙重驗證

1. 停用密碼登入：在 /etc/ssh/sshd_config 中強制使用 SSH 金鑰：

   PasswordAuthentication no
   ChallengeResponseAuthentication no
   PubkeyAuthentication yes
   

2. 硬體金鑰綁定：要求開發者使用 YubiKey 或 Titan 硬體金鑰產生 FIDO2 憑證：

   ssh-keygen -t ed25519-sk -C "[email protected]"
   

3. SSH 憑證有效期管控：透過 SSH CA 簽發短效憑證（如 8 小時），過期後必須重新驗證身份：

   ssh-keygen -s ca_key -I developer_cert -n developer -V +8h id_ed25519.pub
   

06. 監控與稽核：讓每次存取皆可追溯

完善的存取控制策略必須搭配全面的日誌記錄與即時告警機制，方能在攻擊發生時快速回應。

pflog：記錄所有被阻擋的連線嘗試

# 啟用 pflog 並儲存至專用檔案
sudo pfctl -e
sudo ifconfig pflog0 create
sudo tcpdump -n -e -ttt -i pflog0 -w /var/log/pf_blocked.pcap

# 每日分析被封鎖的 IP（找出掃描攻擊來源）
sudo tcpdump -r /var/log/pf_blocked.pcap | awk '{print $3}' | sort | uniq -c | sort -rn | head -20

整合 Splunk / Elastic Stack 實現集中式分析

將多台 macOS 集群的防火牆日誌、SSH 登入記錄、系統呼叫軌跡匯聚至 SIEM（Security Information and Event Management）平台：

• 異常地理位置偵測：若開發者的 IP 在 10 分鐘內從紐約跳至莫斯科，立即鎖定帳號並發送告警
• 權限提升監控：記錄所有 sudo 指令執行，偵測非預期的 root 存取
• 資料外洩防護：監控大量出站流量（如 scp 傳輸超過 1GB），觸發人工審查流程

自動化稽核腳本範例

#!/bin/bash
# /usr/local/bin/security_audit.sh
# 每日執行安全稽核並寄送報告

echo "=== macOS 集群安全稽核報告 $(date) ===" > /tmp/audit.txt

# 1. 檢查未授權的 SSH 金鑰
echo -e "\n[未授權的 SSH 金鑰]" >> /tmp/audit.txt
find /Users -name "authorized_keys" -exec grep -v -f /etc/ssh/approved_keys.txt {} + >> /tmp/audit.txt

# 2. 偵測非預期的監聽埠
echo -e "\n[異常監聽埠]" >> /tmp/audit.txt
sudo lsof -iTCP -sTCP:LISTEN -n -P | awk '$9 !~ /^(22|5900|9418)$/' >> /tmp/audit.txt

# 3. pf 白名單變更記錄
echo -e "\n[今日新增的白名單 IP]" >> /tmp/audit.txt
sudo pfctl -t trusted_ips -T show | comm -13 /var/backups/pf_whitelist_yesterday.txt - >> /tmp/audit.txt

# 4. 寄送報告至管理員
mail -s "macOS Security Audit $(date +%Y-%m-%d)" [email protected] < /tmp/audit.txt

# 5. 備份今日白名單
sudo pfctl -t trusted_ips -T show > /var/backups/pf_whitelist_yesterday.txt

07. 效能考量：防火牆規則對 CI/CD 吞吐量的影響

嚴格的防火牆規則可能增加封包處理延遲。根據我們在 M4 Mac mini 集群上的實測數據：

測試場景	無防火牆	pf 基礎規則（10 條）	pf 複雜規則（100+ 條）
SSH 連線建立延遲	12ms	14ms (+16%)	28ms (+133%)
Git Clone 大型儲存庫（2GB）	45s	46s (+2%)	52s (+15%)
Xcode 全量編譯（300 個目標）	7m12s	7m15s (+0.7%)	7m18s (+1.4%)
Fastlane 打包與上傳	3m28s	3m31s (+1.4%)	3m42s (+6.7%)

最佳化建議

• 將白名單儲存為表（Table）：使用 table <name> 而非逐條 pass 規則，可大幅提升查找效率（O(log n) vs O(n)）
• 規則順序優化：將最常匹配的規則（如 SSH）放在前面，減少無效比對
• 啟用狀態追蹤：已建立連線的後續封包會走快速路徑（stateful inspection），不必重新檢查所有規則
• 避免過度日誌記錄：僅記錄 block 動作或關鍵埠，否則高流量環境會產生海量日誌拖慢系統

結論：多層次防護是現代化 macOS 集群的必要配置

在 2026 年的資安環境中，單純依賴「內網可信」或「VPN 即安全」的假設已不再可行。IP 白名單與主機級防火牆是實踐零信任架構的基石，能夠有效阻擋 88% 以上的網路層攻擊。

透過 macOS 內建的 pf (Packet Filter)、動態白名單管理系統、VPN 分層驗證及 Fail2Ban 自動化防護，您可以在不犧牲開發者體驗的前提下，建立符合 SOC 2、ISO 27001 稽核要求的企業級安全架構。