PF: Erste Schritte

Inhalt

Aktivierung
Konfiguration
Kontrolle

Aktivierung

PF ist standardmäßig aktiviert. Um sie zu deaktivieren, füge die Zeile

pf=NO

der Datei /etc/rc.conf.local hinzu und starte das System neu.

Der PF kann auch manuell mit pfctl(8) aktiviert oder deaktiviert werden:

# pfctl -e # pfctl -d

Diese beiden Befehle aktivieren beziehungsweise deaktivieren zwar den PF, laden aber keine Regeln. Sie müssen zusätzlich entweder vor oder nach der Aktivierung geladen werden.

Konfiguration

Normalerweise liest der PF seine Konfiguration aus der Datei /etc/pf.conf während des Systemstarts (wie in den rc-Skripten vorgesehen). /etc/pf.conf ist eine Textdatei, die von pfctl(8) ausgelesen, interpretiert und anschließend an pf(4) übergeben wird. Für bestimmte Anwendungszwecke können weitere Regeln aus anderen Dateien nach dem Systemstart hinzugeladen werden. Hier bietet der PF wie alle gut gestalteten Unix-Programme eine große Flexibilität.

Die pf.conf-Datei besteht aus fünf Teilen:

Makros: benutzerdefinierte Variablen, die IP-Adressen, Schnittstellennamen usw. enthalten.
Tabellen: Eine Tabelle dient dazu, IP-Adresslisten zu speichern.
Optionen: Zahlreiche Möglichkeiten, um die Arbeitsweise von PF zu steuern.
Queueing: Stellt Bandbreitenkontrolle und Paketpriorisierung zur Verfügung.
Filterregeln: Erlauben das selektive Filtern oder Blocken von Paketen während sie eine der Schnittstellen passieren.
Netwerk-Adress-Übersetzung: (NAT) und Paket-Umleitung.

Leerzeilen innerhalb der Konfigurationsdatei werden ignoriert. Zeilen, die mit # beginnen, werden als Kommentarzeilen behandelt.

Kontrolle

Nach dem Systemstart kann der PF mit dem Programm pfctl(8) verwaltet werden. Einige Beispielbefehle sind:

     # pfctl -f /etc/pf.conf     Lädt die pf.conf-Datei
     # pfctl -nf /etc/pf.conf    Analysiert die Datei, aber lädt sie nicht

     # pfctl -sr                 Zeigt die aktuellen Regelsätze
     # pfctl -ss                 Zeigt die aktuelle Statustabelle
     # pfctl -si                 Zeigt Filterstatistiken und -zähler
     # pfctl -sa                 Zeigt ALLES, was gezeigt werden kann

Für eine vollständige Befehlsliste sei auf die pfctl(8)-Handbuchseite verwiesen.

[Inhalt] [Weiter: Listen und Makros]

www@openbsd.org
$OpenBSD: config.html,v 1.31 2012/11/02 07:24:05 ajacoutot Exp $