macOS strong jail

It has been a real PITA to make `pf` in macOS reliably filter/proxy traffic for just one process due to limitations in where group selectors can be used. See also macOS's official statement "[Packet Filter is not API](https://developer.apple.com/documentation/technotes/tn3165-packet-filter-is-not-api#Overview)". There's a modern macOS swift API called [`NETransparentProxyProvider`](https://developer.apple.com/documentation/networkextension/netransparentproxyprovider).

The complexity of that approach includes:
* Getting the appropriate entitlements from Apple
* Including some Swift in the build toolchain

And, I'm unsure whether the UX would be truly seamless.

Comienza revisando el enfoque actual de filtrado de macOS con `pf` y las limitaciones descritas en el issue; después, lee la documentación de Apple sobre `NETransparentProxyProvider`. Investiga los requisitos de entitlements, el impacto en la Swift build-toolchain y si el proxying resultante a nivel de proceso puede proporcionar una UX fluida; el trabajo requiere llegar a una dirección de implementación decidida, no a una cuestión de viabilidad sin resolver.

Escrito por el modelo de indexación a partir del texto del issue.