现在 FreeBSD 上的 pf 与 OpenBSD 上的到底相差多少？

wait_rabbit

FreeBSD 的 handbook 上说：

1. Warning: When reading the PF FAQ, keep in mind that FreeBSD uses the same version of PF as OpenBSD 4.5.

复制代码

我一查，尼玛，OpenBSD4.5 那得是7年了吧，和现在 OpenBSD 上的最新版本比起来，不啻祖孙级别的关系了。

我想研究一下 pf 的源代码，但是发觉两个系统的实现似乎完全不同。

FreeBSD 上 pf 和 ipfw 一样，都是挂在 kernel 的 pfil hooks 上，但是我在 OpenBSD 却没发现有 pfil hook 的机制（以前从来没研究过 OpenBSD 的 kernel）？也就是说，OpenBSD 的 pf 是和它的 kernel 深度嵌套的了？

所以现在问题是，如果选 FreeBSD 吧，面临着版本太古老的问题（但不知具体功能上到底差多少？），如果选 OpenBSD ，得先熟悉它的 kernel 数据结构，又是一个大坑。

元芳，你是怎么看的？

lsstarboy

我不太熟悉pf，但是以前简单用过一段时间，pf相对于openbsd的原版，已经改了很多，用你的话来说，已经跟freebsd深度嵌套，版本跟进的难度很大，并且FreeBSD的pf也添加了一些新的功能。

wait_rabbit

回复 2# lsstarboy

好吧，各自跟各自的 kernel 深度嵌套了。

搜到一篇 DFlyBSD 的文章，也是在呼吁将 PF 都统一起来，Who’s for an OpenPF?

但看起来困难重重。OpenBSD 现在对 smp 和  hyperthreading 的支持似乎都还弱爆了，不知道那帮人咋想的。这也导致很难合并。

那请问现在最新的 ipfw 和 pf 的主要使用场景有什么不同吗？这两个在 FreeBSD 上，哪个受重视的程度高一些？

wait_rabbit

才知道 OS X 已经将 ipfw 移除了，推荐用  pf

所以 pf 的通用性还是更好一点儿吧，DragonFlyBSD 自己又弄出一个 ipfw3 。。。

lsstarboy

回复 3# wait_rabbit


我现在只用ipfw，对pf只是了解一些。

用ipfw的原因：1、无状态规则性能好，大NAT性能不是盖的，状态规则在大NAT时会遇到很多麻烦；２、命令行直接添加/删除规则，只要支持system的语言都可以轻松用程序控制防火墙状态；３、跟dummynet、netgraph集成；４、学习tcp/ip的好地方。一时就先想到这些。

wait_rabbit

回复 5# lsstarboy


多谢！我再考虑考虑。。。

哎，这么多个bsd，说得好听叫百花齐放，不好听就是分裂内耗碎片化。连个 ipfw 和 pf 都做不到统一。

wait_rabbit

回复 2# lsstarboy


终于搜到了原始信息，为什么 FreeBSD 上的 PF 不再随着 OpenBSD 进行版本更新了。

http://lists.freebsd.org/pipermail/freebsd-pf/2012-September/006740.html

yyu0378

公司在用ob做软路由，不求性能很好，就是要个稳定

lsstarboy

回复 8# yyu0378

FreeBSD也很稳定


-----------------------------------


CU在搞什么鬼？没有flash连快速回复都不给贴图了。

wait_rabbit

回复 8# yyu0378

请问贵公司有多少用户啊？

我觉得 *BSD 其实都足够安全了。OpenBSD 强调安全似乎不能特别吸引人。