feat(mac): tunnel SSH inverse autoreparant et cle du Mac acceptee

ExitOnForwardFailure=yes sur l'autossh du Mac : un forward rate (port deja pris, sshd pas encore pret au boot) ne laisse plus une session inutile, launchd reessaie. La cle du Mac (marc@Air-de-Marc) est autorisee sur tower et sur le deck : ssh tower et ssh deck passent par rack en ProxyJump.

modules/home-mac/autossh/default.nix

@@ -1,4 +1,10 @@
-# profiles/macos/configuration.nix ou un module dédié
+# Tunnel SSH inverse permanent Mac -> rack (VPS) : expose le sshd du Mac sur
+# 127.0.0.1:2223 du VPS (GatewayPorts no : jamais exposé publiquement).
+# Importé par profiles/macos/configuration.nix (module nix-darwin) ; la clé
+# du Mac (marc@Air-de-Marc) est déjà autorisée pour root@rack.
+# Depuis tower (alias `mac` dans ~/.ssh/config de hermes) :
+#   ssh -J rack -p 2223 marc@localhost
+# Nécessite Remote Login activé (services.openssh.enable dans le profil).
 { pkgs, ... }: {
   environment.systemPackages = [ pkgs.autossh ];
 
@@ -10,6 +16,9 @@
         "-N"
         "-o" "ServerAliveInterval=30"
         "-o" "ServerAliveCountMax=3"
+        # Sans ça, un forward raté (port pris, sshd down au boot) laisserait
+        # une session inutile ; avec, autossh sort et launchd réessaie.
+        "-o" "ExitOnForwardFailure=yes"
         "-R" "2223:localhost:22"
         "root@marcpartensky.com"
       ];