[目次] [次に進む: リストとマクロ]

PF: はじめに

目次

• 有効化
• 設定
• 制御

有効化

pf=YES

そして再起動すれば変更の効果を得ることができます。

PF の有効化・無効化には pfctl(8) プログラムを使用することもできます。

# pfctl -e
# pfctl -d

上から、有効時と無効時の例です。 これは、単に PF を有効化あるいは無効化するだけであり、実際にルールセットを ロードするわけではないことに注意してください。ルールセットは PF の有効化の 前か後に、別途ロードしなければなりません。

設定

PF はシステム起動時に、 rc スクリプトから呼び出されて、 /etc/pf.conf から設定を読み込みます。 注意すべき点は、 /etc/pf.conf はシステムの rc スクリプトから呼び出される際の デフォルト・ファイル名であり、単なるテキストファイルに過ぎないということです。 結局のところ、それは pfctl(8) に読み込まれ、逐次解釈された上で、 pf(4) に挿入されます。いくつかのアプリケーションのためには、起動後に他のルール セットが、他のファイルから読み込まれる方が良いかも知れません。良く設計された Unix アプリケーションに対しては、PF は多大な柔軟性を提供するのです。

pf.conf ファイルは 7 つの部分に分かれています。

• マクロ: IP アドレスやインターフェイス名など、 ユーザ定義の変数を保持することができます。
• テーブル: IP アドレスのリストを 保持するための構造体です。
• オプション: PF の動作をコントロールするための さまざまなオプションです。
• スクラブ (scrub): パケットを通常化およびデフラグメント (非分断化) するための再処理行程です。
• キューイング: 帯域制御と パケットの優先付けを提供します。
• 変換: ネットワークアドレス変換 (NAT) と パケットリダイレクション を制御します。
• フィルタルール: あらゆる インターフェイスを通過するパケットの選択的フィルタリングと ブロッキングを許可します。

マクロとテーブルの例外はありますが、各セクションは この順番で設定ファイルに記述されなければなりません。とは言え、おのおのの アプリケーションについてすべてのセクションが必要なわけではありません。

空行は無視され、また、# で始まる行はコメントとして 取り扱われます。

制御

     # pfctl -f /etc/pf.conf     pf.conf ファイルを読み込みます
     # pfctl -nf /etc/pf.conf    ファイルを解析しますが、読み込みません
     # pfctl -Nf /etc/pf.conf    ファイルから NAT ルールだけを読み込みます
     # pfctl -Rf /etc/pf.conf    ファイルからフィルタルールだけを読み込みます

     # pfctl -sn                 現在の NAT ルールを表示します
     # pfctl -sr                 現在のフィルタルールを表示します
     # pfctl -ss                 現在の状態テーブルを表示します
     # pfctl -si                 フィルタの状態と計数を表示します
     # pfctl -sa                 現在表示できるすべてのものを表示します

コマンドの完全なリストは pfctl(8) man ページをご覧ください。

[目次] [次に進む: リストとマクロ]