2、深入了解PF：功能、历史与配置基础

深入了解PF：功能、历史与配置基础

1. PF的起源与发展

PF（Packet Filter）最初是OpenBSD的一个子系统。2001年，由于IPFilter的许可问题，OpenBSD急需新的防火墙软件。当时，Darren Reed宣布IPFilter并非BSD许可，OpenBSD版本的IPFilter包含的修改和定制不符合许可要求，因此在2001年5月29日，IPFilter从OpenBSD源代码树中移除，OpenBSD - current有几周没有防火墙软件。

幸运的是，瑞士的Daniel Hartmeier一直在进行网络代码的内核黑客实验。他先将自己的小函数挂钩到网络栈中，让数据包通过它，之后开始考虑过滤。2001年6月24日星期日19:48:58 UTC，PF代码首次提交。经过几个月的紧张开发，2001年12月，PF作为OpenBSD 3.0基础系统的默认部分发布，包含了完整的数据包过滤实现，包括网络地址转换。

2002年，Daniel在USENIX上发表的论文中的性能测试表明，OpenBSD 3.1的PF在压力下的表现与OpenBSD 3.1上的IPFilter或Linux上的iptables相当或更好。从OpenBSD 3.0到3.1，PF代码的效率也有所提高。如今，PF在OpenBSD、FreeBSD、NetBSD和DragonFly BSD等系统中都有应用。

2. PF的基本概念

• 数据包过滤与防火墙：PF是一种数据包过滤器，它在协议和端口级别检查网络数据包，并决定如何处理它们。大部分代码在内核空间的网络代码中运行。PF可以根据数据包的来源、去向、所属协议、端口等信息，决定是否让