vpnonly

vpnonly est un outil de split-tunneling léger pour macOS qui achemine uniquement les applications que vous spécifiez via un VPN WireGuard. Contrairement aux clients VPN standards qui tunnellisent tout, vpnonly garde votre navigateur, vos applications bancaires et vos services de streaming sur votre connexion Internet normale, tandis que seules les applications choisies transitent par le nœud de sortie du VPN. L'outil fonctionne en tirant parti du pare-feu PF intégré à macOS, capable d'apparier les paquets par appartenance à un groupe Unix plutôt que par application. Lorsque vous lancez une application via vpnonly, il exécute celle-ci avec un groupe spécial qui lui est assigné, puis les règles PF acheminent le trafic de ce groupe via l'interface WireGuard, tandis que tout le reste continue normalement. Le projet se compose d'environ 350 lignes de scripts shell et d'un petit fichier lanceur en C. Il ne nécessite aucun kernel extension, aucune entitlement Network Extension, et ne modifie jamais /etc/pf.conf ni votre route par défaut. Les règles résident dans une ancre dédiée, et l'arrêt du VPN efface uniquement ces règles. Pour le support WireGuard, il intègre wireguard-go standard depuis Homebrew. La version CLI fonctionne avec NordVPN dès le départ, mais les fournisseurs utilisant le cryptokey routing (Mullvad, Proton, serveurs auto-hébergés) nécessitent le wireguard-go patché qui réécrit l'adresse source intérieure - ce patch est inclus dans l'application Mac compilée mais pas encore dans la formule CLI. Les limitations connues incluent Safari et autres applications WebKit (elles transmettent les connexions via des processus système séparés qui ne portent jamais le groupe), les requêtes DNS (non tunnellisées, donc les recherches résident toujours normalement), et IPv6 (bloqué pour les groupes d'applications plutôt que tunnellisé). Il n'y a pas non plus de reconnexion automatique si le serveur tombe. L'installation se fait via Homebrew : brew tap kanishkdan/vpnonly && brew install vpnonly. Une version application Mac payante (19 $ pour deux Macs) est également disponible sur vpnonly.app avec des fonctionnalités supplémentaires comme les bascules par application sans relancer, les mises à jour automatiques et un sélecteur de pays. Le code source sous app-engine/ est publié avec des checksums afin que les utilisateurs puissent auditer exactement ce qui s'exécute en tant que root avant d'y faire confiance. Tous les scripts privilégiés sont suffisamment courts pour être lus en cinq minutes.