macOS strong jail

It has been a real PITA to make `pf` in macOS reliably filter/proxy traffic for just one process due to limitations in where group selectors can be used. See also macOS's official statement "[Packet Filter is not API](https://developer.apple.com/documentation/technotes/tn3165-packet-filter-is-not-api#Overview)". There's a modern macOS swift API called [`NETransparentProxyProvider`](https://developer.apple.com/documentation/networkextension/netransparentproxyprovider).

The complexity of that approach includes:
* Getting the appropriate entitlements from Apple
* Including some Swift in the build toolchain

And, I'm unsure whether the UX would be truly seamless.

Bắt đầu bằng việc xem xét cách tiếp cận lọc `pf` hiện tại trên macOS và các hạn chế được mô tả trong issue, sau đó đọc tài liệu của Apple về `NETransparentProxyProvider`. Điều tra các yêu cầu về entitlements, tác động đến Swift build-toolchain và liệu việc proxying ở cấp tiến trình tạo ra có thể cung cấp UX liền mạch hay không; hoàn thành yêu cầu phải xác định được hướng triển khai, thay vì để lại một câu hỏi về tính khả thi chưa được giải quyết.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.