我试图在FreeBSD 11.1-RELEASE上为数据包filter创build一个简单的模板。 我有vtnet0 （公共）， vtnet1 （私人，10.10地址）和tun0 （openvpn，完全工作/从客户端testing到我的networking上的节点）。
我的rc.conf如下所示：
hostname="bastion" sshd_enable="YES" static_routes="linklocal" ifconfig_vtnet0="DHCP" ifconfig_vtnet0_ipv6="inet6 accept_rtadv" ipv6_activate_all_interfaces="YES" rtsold_enable="YES" rtsold_flags="-aF" ifconfig_vtnet1="inet 10.10.6.20 netmask 255.255.255.0" gateway_enable="YES" openvpn_enable="YES" pf_enable="YES"
我的云提供商通过DHCP为我提供ipv4 / ipv6公共地址。
我已经看过FreeBSD文档和其他有用的剧本，并提出了这个基本的pf.conf：
block all set skip on lo0 set skip on tun0 pass out all keep state tcp_services = "{ ssh }" udp_services = "{ openvpn }" pass in proto tcp to any port $tcp_services keep state pass in proto udp to any port $udp_services keep state
但是通过这个configuration，我阻止了所有的ssh和openvpn访问，并且必须通过虚拟机Web控制台login到我的机器。
我的目标是这个盒子只允许openvpn（udp）和ssh从公共接口，允许通过vpn（tun0）的所有stream量和来自内部的所有stream量。
设置pf可能有点麻烦。 你需要明白， pf对待所有的接口是完全平等的，没有任何包在iptables – OUTPUT链上出现的包本身的概念。 我会从这些方面开始，并build立在这个基础上：
# allow all from host itself pass out inet all keep state pass out inet6 all keep state # allow all from private pass in quick on vtnet1 inet from any to any keep state # openvpn pass in quick proto udp to vtnet0 port openvpn keep state pass in quick on tun0 inet from any to any keep state # ssh pass in quick proto tcp to vtnet0 port ssh flags S/SA keep state
警告：不要使用标准的openvpn和ssh端口。