Il firewall integrato di macOS
macOS include un firewall applicativo integrato che blocca o consente le connessioni in entrata in base all'app che le riceve. A differenza dei firewall basati su porta (come iptables/pf classici), macOS chiede autorizzazione per ogni applicazione: una volta autorizzato un programma, accetterà connessioni su qualsiasi porta usi. Questo modello applicativo è più semplice da gestire per utenti non tecnici, ma meno granulare di un firewall a livello di rete. È disattivato di default: Apple parte dal presupposto che molti Mac siano usati in reti domestiche fidate.
Attivare il firewall
Vai in Impostazioni di Sistema > Rete > Firewall e attiva l'interruttore. Per default macOS abilita anche Modalità Stealth, che impedisce al Mac di rispondere a ping e altre scansioni non sollecitate (il Mac diventa "invisibile" agli scanner di rete). Conviene attivarla in reti pubbliche e aziendali. Lo stealth mode è particolarmente importante in coworking, hotel, aeroporti: riduce la superficie di attacco da altri client sulla stessa rete locale.
Opzioni avanzate
Cliccando su Opzioni trovi tre impostazioni chiave: Blocca tutte le connessioni in entrata (blocca tutto eccetto servizi base come Bonjour e DHCP), Consenti automaticamente al software firmato (lascia entrare app con certificato valido Apple senza chiedere), Abilita modalità stealth. La voce "Software firmato" è comoda ma in ambienti sensibili conviene disattivarla per controllare manualmente ogni app: anche software legittimo firmato può fare connessioni di rete non desiderate (telemetria, update checking).
Aggiungere o rimuovere app
Nella stessa schermata vedi l'elenco delle app autorizzate o bloccate. Clicca + per aggiungere un'app manualmente e impostare se accettare o bloccare le connessioni in entrata. Cliccando l'elenco a discesa accanto a un'app cambi la sua policy. Rimuovi con -. Per gestire molte app in azienda usa un profilo .mobileconfig via MDM: definisci una whitelist standard e applicala uniformemente alla flotta.
Cosa NON fa il firewall macOS
Il firewall integrato controlla solo connessioni in entrata: app che ascoltano (es. server web locale, condivisione schermo) e ricevono connessioni dall'esterno. Non blocca connessioni in uscita (app che si connettono a Internet): per quello servono firewall di terze parti come Little Snitch, LuLu o Murus. Non fa neanche filtraggio per IP/porta: tutte le connessioni della stessa app sono trattate allo stesso modo.
Firewall a livello di rete: pf
Sotto al firewall applicativo, macOS include pf (Packet Filter, ereditato da OpenBSD): firewall stateful classico configurabile via /etc/pf.conf. È disattivato di default per utenti normali. Usalo solo se hai esigenze avanzate (es. NAT, port forwarding, regole granulari per IP/porta). Si avvia con sudo pfctl -e -f /etc/pf.conf. La sintassi pf è potente ma richiede competenze sistemistiche; per la maggior parte degli utenti il firewall applicativo è sufficiente.
Reti pubbliche e Wi-Fi aziendali
In aeroporto, hotel o uffici clienti attiva sempre firewall e stealth. Disattiva temporaneamente le condivisioni (Impostazioni > Generali > Condivisione): file sharing, screen sharing, AirDrop in modalità "Solo contatti". Considera anche di disattivare AirPlay receiver se non lo usi. Quando torni in ufficio o a casa puoi riattivare le condivisioni: macOS non ha profili automatici come Windows che cambiano in base alla rete.
Diagnostica firewall
Per vedere quali connessioni il firewall sta bloccando apri Console e filtra per process:socketfilterfw. I log mostrano connessioni respinte, app che hanno chiesto autorizzazione, decisioni utente. Utile per capire perché un'app aziendale non si connette. Da terminale puoi controllare lo stato: sudo /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate indica se il firewall è attivo.
Esportare la configurazione
Le regole del firewall applicativo sono memorizzate in /Library/Preferences/com.apple.alf.plist. In ambienti gestiti puoi distribuire una configurazione standard via MDM (Jamf, Intune, Mosyle): un profilo .mobileconfig forza le impostazioni firewall su tutta la flotta Mac. Esempio di policy aziendale base: firewall attivo, stealth on, blocco connessioni in entrata, whitelist solo per Microsoft Teams, Zoom, server SSH se necessario.
VPN e firewall
Quando ti connetti a una VPN aziendale, le regole firewall si applicano comunque alle interfacce virtuali della VPN. Alcuni client VPN (Cisco AnyConnect, GlobalProtect) installano regole proprie a livello kernel: monitora che non disabilitino il firewall di sistema. In caso di conflitto privilegia il firewall integrato per consistenza con il resto della flotta.
Audit periodico
Ogni 6 mesi rivedi le regole del firewall: app vecchie dismesse possono lasciare regole orfane. Comando da terminale: sudo /usr/libexec/ApplicationFirewall/socketfilterfw --listapps elenca tutte le app autorizzate. Rimuovi quelle non più installate. Per un'audit di sicurezza completo abbina firewall, controlli Privacy (accessi a camera/microfono/file), Gatekeeper e Lockdown Mode se applicabile.
Firewall e applicazioni con porte casuali
Alcune app (Skype, WebRTC, app peer-to-peer) usano porte casuali per le connessioni. Il firewall applicativo macOS gestisce correttamente questo caso: una volta autorizzata l'app, accetterà connessioni su qualsiasi porta usi. Se hai esigenze granulari per IP e porta, devi passare a pf o firewall di terze parti come Murus (frontend GUI per pf).
Combinare strumenti
Per protezione completa combina: firewall applicativo macOS (controlli connessioni in entrata), Little Snitch o LuLu (controlli connessioni in uscita), filtraggio DNS (NextDNS, Pi-hole) per bloccare domini malevoli a livello rete, VPN aziendale per cifrare il traffico fuori ufficio. Ogni layer aggiunge protezione contro classi diverse di attacco.
Hai bisogno di aiuto?
Se vuoi supporto Mac aziendale dal team di G Tech Group, scrivici tramite il modulo di contatto.