[Inhalt] [Weiter: Listen und Makros]

PF: Erste Schritte

Inhalt

• Aktivierung
• Konfiguration
• Kontrolle

Aktivierung

pf=YES

Ein Neustart des Systems lässt die Änderung wirksam werden.

Der PF kann auch mit pfctl(8) aktiviert oder deaktiviert werden:

# pfctl -e
# pfctl -d

Diese beiden Befehle aktivieren beziehungsweise deaktivieren zwar den PF, laden aber keine Regeln. Sie müssen zusätzlich entweder vor oder nach der Aktivierung geladen werden.

Konfiguration

Normalerweise liest der PF seine Konfiguration aus der Datei /etc/pf.conf während des Systemstartes wie in den rc-Skripten vorgesehen. Die /etc/pf.conf ist eine Textdatei, die von pfctl(8) ausgelesen, interpretiert und anschließend an pf(4) übergeben wird. Für bestimmte Anwendungszwecke können weitere Regeln aus anderen Dateien nach dem Systemstart hinzugeladen werden. Hier bietet der PF wie alle gut gestalteten Unix-Programme eine große Flexibilität.

Die pf.conf-Datei besteht aus sieben Teilen:

• Makros: Benutzer-definierte Variablen, die IP-Adressen, Schnittstellennamen, usw. enthalten.
• Tabellen: Eine Tabelle dient dazu, Listen von IP-Adressen zu speichern.
• Optionen: Zahlreiche Möglichkeiten, um die Arbeitsweise von PF zu steuern.
• Scrub: Paketaufbereitung zur Normalisierung oder zur Defragmentierung.
• Queueing: Stellt Bandbreitenkontrolle und Paketpriorisierung zur Verfügung.
• Übersetzung: Regelt NAT und Paketweiterleitung.
• Filterregeln: Erlauben das selektive Filtern oder Blocken von Paketen während sie eines der Interfaces passieren.

Mit Ausnahme der Makros und Tabellen sollte jeder Teilbereich in dieser Reihenfolge in der Konfigurationsdatei erscheinen. Es ist je nach Anwendung aber nicht erforderlich, dass alle Teilbereiche vorkommen.

Leerzeilen innerhalb der Konfigurationsdatei werden ignoriert und Zeilen, die mit einem # beginnen, als Kommentarzeilen behandelt.

Kontrolle

     # pfctl -f /etc/pf.conf     Lädt die pf.conf-Datei
     # pfctl -nf /etc/pf.conf    Analysiert die Datei, aber lädt sie nicht
     # pfctl -Nf /etc/pf.conf    Lädt nur die NAT-Regeln der Datei
     # pfctl -Rf /etc/pf.conf    Lädt nur die Filterregeln der Datei

     # pfctl -sn                 Zeigt die aktuellen NAT-Regeln 
     # pfctl -sr                 Zeigt die aktuellen Filterregeln
     # pfctl -ss                 Zeigt die aktuelle ,state'-Tabelle
     # pfctl -si                 Zeigt Filter-Statistiken und Zähler
     # pfctl -sa                 Zeigt ALLES was gezeigt werden kann

Für eine vollständige Liste von Befehlen sei auf die pfctl(8)-Manual-Seite verwiesen.

[Inhalt] [Weiter: Listen und Makros]