Варианты конфигурации и сценарии настройки pf

Packet Filter (pf) на FreeBSD и в OPNsense задаёт политику фильтрации на уровне ядра: правила привязываются к интерфейсам, поддерживается отслеживание состояний (stateful) и вложенные наборы правил (anchors). Синтаксис и семантика описаны в pf.conf(5).

Сценарии в OPNsense

В OPNsense основная настройка выполняется через веб-интерфейс в разделе Firewall. Типовые сценарии:

  • правила на интерфейсах WAN/LAN/DMZ (направление, протокол, порты, источник и назначение);

  • политика по умолчанию и журналирование срабатываний;

  • согласование правил фильтрации с NAT и port forward (переадресация портов задаётся отдельно, но трафик всё равно проходит через pf).

На узле с нативным pf правила и параметры задаются в /etc/pf.conf (или подключаемых фрагментах), загрузка — командой pfctl -f.

Сценарии на узле с pf

  • Фильтрация по интерфейсу — отдельные наборы правил для внешнего и внутреннего интерфейса.

  • Stateful-проверка — разрешение ответного трафика для установленных сессий (pass out keep state и аналоги).

  • Ограничение доступа к службам узла — явные правила к адресу самого шлюза.

Пошаговую установку и первичное включение pf см. Установка PF. Синтаксис директив и макросов — в справочнике PF.

Следующая страница: Установка PF.