Активация
PF включён по умолчанию.
Если вы хотите отключить автозапуск PF во время загрузки системы, используйте
программу rcctl(8):
# rcctl disable pf
Перезагрузите систему, чтобы изменения вступили в силу.
PF может так же быть активирован (или деактивирован) вручную при помощи
pfctl(8):
# pfctl -e
# pfctl -d
Это позволит включить и отключить PF.
Однако набор правил при этом не загрузится. Он должен быть загружен
отдельно, до или после включения PF.
Конфигурация
PF считывает свою конфигурацию из файла
pf.conf(5) во время запуска системы,
после того, как выполнятся системные
rc(8) скрипты.
Обратите внимание, что хотя pf.conf(5),
используемый по умолчанию, загружается системными rc-скриптами, это всего лишь
текстовый файл, интерпретируемый при помощи
pfctl(8)
и используемый pf(4).
Для некоторых приложений, другие наборы правил могут быть загружены из иных файлов
после загрузки системы.
pf.conf состоит из нескольких частей:
- Макросы: пользовательские переменные,
которые могут содержать IP-адреса, имена интерфейсов и т.д.
- Таблицы: структура, используемая
для хранения списков IP-адресов.
- Опции: различные опции контроля работы PF.
- Правила фильтрации:
разрешают выборочную фильтрацию или блокировку пакетов при их прохождении через любой из
интерфейсов.
Пустые строки игнорируются, а строки, начинающиеся с #, воспринимаются
как комментарии.
Управление
После загрузки, пакетным фильтром PF можно управлять при помощи утилиты
pfctl(8).
Некоторые примеры команд:
# pfctl -f /etc/pf.conf # Загрузить файл pf.conf
# pfctl -nf /etc/pf.conf # Проанализировать синтаксис, но не загружать сам файл.
# pfctl -sr # Показать текущий набор правил
# pfctl -ss # Показать таблицу текущих состояний
# pfctl -si # Показать статистику фильтра и счетчики
# pfctl -sa # Покажите ВСЁ что возможно показать
Полный список команд можно найти в man-странице.