ipfw+pf雙防火墻規(guī)則生效順序

kkkggg

以下內(nèi)容可能有錯誤的地方，歡迎指正。

同時開啟兩個防火墻讓數(shù)據(jù)包每次通過兩個防火墻，性能肯定會下降。但在bsd系統(tǒng)中，這兩個防火墻都有自己獨(dú)到的功能。ipfw可以實(shí)現(xiàn)自動單ip限速功能(主要是用dummynet實(shí)現(xiàn)，但dummynet一般情況下要用ipfw來操作，所以也得打開ipfw防火墻)。pf可以實(shí)現(xiàn)多線路負(fù)載均衡。這兩個防火墻結(jié)合起來，可以作中、小規(guī)模共享上網(wǎng)網(wǎng)絡(luò)的網(wǎng)關(guān)。ipfw+dummynet負(fù)責(zé)限速，pf負(fù)責(zé)包過濾和多線路(寬帶、光纖)nat負(fù)載均衡。

freebsd內(nèi)核配置中加入以下參數(shù)，同時支持PF+ALTQ和IPFW+DUMMYNET雙防火墻及流量控制。
# Packet Filter and ALTQ
device                pf
device                pflog
device                pfsync

options                ALTQ
options                ALTQ_CBQ
options                ALTQ_RED
options                ALTQ_RIO
options                ALTQ_HFSC
options                ALTQ_PRIQ
options                ALTQ_NOPCC

# IPFireWall and DUMMYNET support
options                IPFIREWALL
options                IPFIREWALL_FORWARD
options                IPFIREWALL_NAT
options                IPFIREWALL_VERBOSE
options                IPFIREWALL_VERBOSE_LIMIT=10
options                IPFIREWALL_DEFAULT_TO_ACCEPT
options                DUMMYNET
options                LIBALIAS

sysctl中net.inet.ip.fw.one_pass為1

數(shù)據(jù)包經(jīng)過雙防火墻的順序或者規(guī)則執(zhí)行順序，經(jīng)過實(shí)驗(yàn)初步判斷如下。
順序從上到下。
同一行不分先后。
filter是指過濾規(guī)則如pass、allow、block、deny。
ipfw的nat是用的內(nèi)核級的libalias。

pf in rdr
pf in filter                        (pf和ipfw進(jìn)入方向的過濾規(guī)則沒確定先后)
ipfw in filter redirect fwd
ipfw out filter nat                (出去方向的包過濾及nat規(guī)則)
pf out nat
pf out filter



流量控制方面，dummynet可以在進(jìn)出兩個方向抓取數(shù)據(jù)包，altq則只能在接口外出方向進(jìn)行處理。
兩者可以同時運(yùn)行。但實(shí)驗(yàn)結(jié)果表明兩者同時運(yùn)行會有問題，流量會降到很低。