PF: Erste Schritte

Inhalt

Aktivierung
Konfiguration
Kontrolle

Aktivierung

Um den PF zu aktivieren und dafür zu sorgen, dass die Konfigurationsdatei während des Bootvorgangs gelesen wird, füge die Zeile

pf=YES

in die Datei /etc/rc.conf.local ein.

Ein Neustart des Systems lässt die Änderung wirksam werden.

Der PF kann auch mit pfctl(8) aktiviert oder deaktiviert werden:

# pfctl -e # pfctl -d

Diese beiden Befehle aktivieren beziehungsweise deaktivieren zwar den PF, laden aber keine Regeln. Sie müssen zusätzlich entweder vor oder nach der Aktivierung geladen werden.

Konfiguration

Normalerweise liest der PF seine Konfiguration aus der Datei /etc/pf.conf während des Systemstarts (wie in den rc-Skripten vorgesehen). /etc/pf.conf ist eine Textdatei, die von pfctl(8) ausgelesen, interpretiert und anschließend an pf(4) übergeben wird. Für bestimmte Anwendungszwecke können weitere Regeln aus anderen Dateien nach dem Systemstart hinzugeladen werden. Hier bietet der PF wie alle gut gestalteten Unix-Programme eine große Flexibilität.

Die pf.conf-Datei besteht aus sieben Teilen:

Makros: benutzerdefinierte Variablen, die IP-Adressen, Schnittstellennamen usw. enthalten.
Tabellen: Eine Tabelle dient dazu, IP-Adresslisten zu speichern.
Optionen: Zahlreiche Möglichkeiten, um die Arbeitsweise von PF zu steuern.
Scrub: Paketaufbereitung zur Normalisierung oder zur Defragmentierung.
Queueing: Stellt Bandbreitenkontrolle und Paketpriorisierung zur Verfügung.
Übersetzung: Regelt NAT und Paketweiterleitung.
Filterregeln: Erlauben das selektive Filtern oder Blocken von Paketen während sie eines der Interfaces passieren.

Mit Ausnahme der Makros und Tabellen sollte jeder Teilbereich in dieser Reihenfolge in der Konfigurationsdatei erscheinen. Es ist je nach Anwendung aber nicht erforderlich, dass alle Teilbereiche vorkommen.

Leerzeilen innerhalb der Konfigurationsdatei werden ignoriert. Zeilen, die mit # beginnen, werden als Kommentarzeilen behandelt.

Kontrolle

Nach dem Systemstart kann der PF mit dem Programm pfctl(8) verwaltet werden. Einige Beispielbefehle sind:


     # pfctl -f /etc/pf.conf     Lädt die pf.conf-Datei
     # pfctl -nf /etc/pf.conf    Analysiert die Datei, aber lädt sie nicht
     # pfctl -Nf /etc/pf.conf    Lädt nur die NAT-Regeln der Datei
     # pfctl -Rf /etc/pf.conf    Lädt nur die Filterregeln der Datei

     # pfctl -sn                 Zeigt die aktuellen NAT-Regeln
     # pfctl -sr                 Zeigt die aktuellen Filterregeln
     # pfctl -ss                 Zeigt die aktuelle Statustabelle
     # pfctl -si                 Zeigt Filterstatistiken und Zähler
     # pfctl -sa                 Zeigt ALLES was gezeigt werden kann

Für eine vollständige Befehlsliste sei auf die pfctl(8)-Manualseite verwiesen.

[Inhalt] [Weiter: Listen und Makros]

www@openbsd.org
$OpenBSD: config.html,v 1.22 2007/11/12 20:29:59 saad Exp $