50、高级PF防火墙配置与应用指南

高级PF防火墙配置与应用指南

1. 配置NAT

NAT（网络地址转换）最常见的形式是将小型网络隐藏在单个IP地址之后，这种情况在许多家庭和小型企业中很常见。以下是配置NAT的具体步骤：
1. 定义接口组 ：假设存在两个接口组，即面向互联网的 egress 组和连接办公室的 lan 组。
2. 编写NAT规则 ：

pass out on egress from lan:network to any nat-to egress

此规则的前半部分如同普通防火墙规则，允许 lan 接口上的地址访问所有网络，而后半部分则额外配置了NAT。 nat-to 关键字指示PF进行地址转换， egress 则告知PF将内部地址隐藏在 egress 接口的地址之后。
3. 支持DHCP地址变化 ：若要让PF识别DHCP带来的IP地址变化，需将接口组名称置于括号内：

pass out on egress from lan:network to any nat-to (egress)

4. 加载规则并启用IP转发