49、深入理解PF：从基础到高级功能

深入理解PF：从基础到高级功能

1. PF选项基础

PF选项是影响核心PF功能的基本设置，能回答诸如是否将片段重新组装成数据包、状态表应支持多少条目、是否开启日志记录等问题。所有选项都以 set 关键字开头，由于其会影响PF其他部分的运行，建议将其放在 pf.conf 的最顶部。以下是一些常用选项：

1.1 set block - policy选项

此选项决定防火墙对禁止数据包的处理方式：是静默丢弃，还是向客户端回复“抱歉，不允许”。默认情况下，PF会丢弃被阻止的数据包，但你可在单个过滤规则中覆盖全局阻止策略。
- set block - policy return ：让PF返回礼貌的错误信息，TCP连接返回RST，其他类型连接返回ICMP不可达消息。
- set block - policy drop ：PF对被阻止的数据包不返回任何错误信息，客户端应用需等待网络协议超时才意识到无法连接。建议采用静默丢弃被阻止数据包的方式。

1.2 set limit选项

PF对用于跟踪片段、状态、地址表等内存消耗项的各种内部表的大小有限制。现有限制通常能满足大多数用户和环境的需求，极少情况下才需调整。可使用 pfctl -s memory 查看现有限制：

# pfctl -s memory
states        hard limit    10000
src - nodes     h