PF: Konfiguration

Inhalt

Aktivierung
Konfiguration
Kontrolle

Aktivierung

Um den PF zu aktivieren und dafür zu sorgen, dass die Konfigurationsdatei während des Systemstartes eingelesen wird, wird in der in der /etc/rc.conf die zum PF gehörende Zeile wie folgt editiert:

pf=YES

Ein Neustart des Systems lässt die Änderung wirksam werden.

Der PF kann auch mit pfctl(8) aktiviert oder deaktiviert werden:

# pfctl -e # pfctl -d

Diese beiden Befehle aktivieren beziehungsweise deaktiviern zwar den PF, laden aber keine Regeln. Sie müssen zusätzlich entweder vor oder nach der Aktivierung geladen werden.

Konfiguration

Normalerweise liest der PF seine Konfiguration aus der Datei /etc/pf.conf während des Systemstartes wie in den rc scripten vorgesehen. Die /etc/pf.conf ist eine Textdatei die von pfctl(8) ausgelesen, interpretiert und anschliessend an pf(4) übergeben wird. Für bestimmte Anwendungszwecke können weitere Regeln aus anderen Dateien nach dem Systemstart hinzugeladen werden. Hier bietet der PF wie alle gut gestalteten Unix Programme eine grosse Flexibilität.

Die pf.conf Datei besteht aus sieben Teilen:

Makros: Benutzedefinierte Variablen, die IP Adressen, Schnittstellennamen, usw. enthalten.
Tabellen: Eine Tabelle dient dazu, Listen von IP Adressen zu speichern.
Optionen: Zahlreiche Möglichkeiten um zu steuern wie der PF arbeitet.
Scrub: Paketaufbereitung zur Normalisierung oder zur Defragmentierung.
Queueing: Stellt Bandbreitenkontrolle und Paketpriorisierung zur Verfügung.
Translation: Regelt NAT und Paketweiterleitung.
Filter Regeln: Erlauben das selektive Filtern oder Blockieren von Paketen während sie eine der Schnittstellen passieren.

Mit Ausnahme der Makros und Tabellen sollte jeder Teilbereich in dieser Reihenfolge in der Konfigurationsdatei erscheinen. Es ist je nach Anwendung aber nicht erforderlich das alle Teilbereiche vorkommen.

Leerzeilen innerhalb der Konfigurationsdatei werden ignoriert und Zeilen die mit einem # beginnen als Kommentarzeilen behandelt.

Kontrolle

Nach dem Systemstart kann der PF mittels des Programmes pfctl(8) verwaltet werden. Einige beispielhafte Befehle sind:

     # pfctl -f /etc/pf.conf     läd the pf.conf Datei
     # pfctl -nf /etc/pf.conf    analysiert die Datei, aber läd sie nicht
     # pfctl -Nf /etc/pf.conf    läd nur die NAT Regeln der Datei
     # pfctl -Rf /etc/pf.conf    läd nur die Filter Regeln der Datei

     # pfctl -sn                 Zeigt die aktuellen NAT Regeln 
     # pfctl -sr                 Zeigt die aktuellen Filter Regeln
     # pfctl -ss                 Zeigt die aktuelle Status Tabelle
     # pfctl -si                 Zeigt Filter Statistiken und Zähler
     # pfctl -sa                 Zeigt ALLES was gezeigt werden kann

Für ein vollständige Liste von Befehlen sei auf die pfctl(8) Man Page verwiesen.

[Inhalt] [Weiter: Listen und Makros]

www@openbsd.org
Originally [OpenBSD: config.html,v 1.8 ]
$Translation: config.html,v 1.3 2003/11/27 20:37:14 sl Exp $
$OpenBSD: config.html,v 1.3 2003/11/29 18:32:59 horacio Exp $