你知道 Mac 本身也有內建防火牆嗎？
我指的不是 System Preferences 裡面有的防火牆（那個屬於 Application Firewall 指定程式進出的），而是可以像 linux iptables 可以設定規則的防火牆。
它叫做 Packet filter 簡稱 PF，因為 Mac OSX 屬於 BSD 系列的系統
自從 10.7 (Lion) 之後就有內建 PF（在這之前是 IPFW），只是預設是關閉的。
官方文件寫的非常少，大部分要參考 FreeBSD 的文件或者 OpenBSD 的文件，
大部分這二者看到的文件跟語法大多都支援。
介面只能用指令列，跟手動編輯文字檔的方式，沒有美美的 GUI 介面 😀
指令是 pfctl 設定檔主要是 /etc/pf.conf
常用指令
這裡列出我常用的 pfctl 指令
檢查預覽規則
$ sudo pfctl -vnf /etc/pf.conf如果設定檔有錯誤會在這裡顯示，反之顯示規則
重新啟動防火牆
$ sudo pfctl -d ; sudo pfctl -ef /etc/pf.conf分號前半段是關閉防火牆，後半段是啟動防火牆，我把它合再一起比較方便
檢視狀態
$ pfctl -s statepf.conf 設定
打開 /etc/pf.conf (需要 root 權限，可以用 sudo 拿到)
預設只有這樣
#
# Default PF configuration file.
#
# This file contains the main ruleset, which gets automatically loaded
# at startup. PF will not be automatically enabled, however. Instead,
# each component which utilizes PF is responsible for enabling and disabling
# PF via -E and -X as documented in pfctl(8). That will ensure that PF
# is disabled only when the last enable reference is released.
#
# Care must be taken to ensure that the main ruleset does not get flushed,
# as the nested anchors rely on the anchor point defined here. In addition,
# to the anchors loaded by this file, some system services would dynamically
# insert anchors into the main ruleset. These anchors will be added only when
# the system service is used and would removed on termination of the service.
#
# See pf.conf(5) for syntax.
#
#
# com.apple anchor point
#
scrub-anchor "com.apple/*"
nat-anchor "com.apple/*"
rdr-anchor "com.apple/*"
dummynet-anchor "com.apple/*"
anchor "com.apple/*"
load anchor "com.apple" from "/etc/pf.anchors/com.apple"
Options (參數選項)
這個 Options 要在設定檔最開頭加入，不然會 Syntax error
不多說，直接看範例就明白
# 最佳化模式：一般模式
set optimization normal
# 阻擋的策略：直接丟棄
set block-policy drop
# 封包需要照順序
set require-order yes
# 跳過 lookback 介面不處理
set skip on lo
# log 紀錄只記最危急的等級
set debug urgent其他細節可以參考這裡
https://www.openbsd.org/faq/pf/options.html
Anchors (規則群組)
Anchor 算是一個規則群組，你可以把你的規則分門別類。
例如這樣：
anchor "myrules"
load anchor "myrules" from "/etc/pf.anchors/myrules"再來就是編輯你剛剛定義的 /etc/pf.anchors/myrules 檔案就可以了
當然這例子很粗淺，
你也可以使用連結裡的範例，用巢狀的方式寫出更複雜的規則
https://www.openbsd.org/faq/pf/anchors.html
Variables (變數)
變數定義就像是寫程式一樣定義字串，看範例就懂，也就不再贅述：
int_if="{ en0 en1 }"
ext_if="{ ppp0 }"
webports = "{http, https}"
int_tcp_services = "{domain, ssh, ntp, www, https}"
int_udp_services = "{domain, ntp}"
icmp_types = "echoreq"跟 bash shell 一樣，井號 # 開頭的為註解，使用變數就是前面加錢字號 $。
Tables (表格)
table <private> const { 192.168/16 }這裡定義了表格，名叫 private，IP範圍在 192.168.x.x
這個 /16 是指 16bit 的子網路遮罩，等同於 255.255.0.0
用的是 CIDR 表示法
https://en.wikipedia.org/wiki/Classless_Inter-Domain_Routing#CIDR_notation
相關資料
https://www.openbsd.org/faq/pf/tables.html
Rules (規則)
這裡就是最複雜的地方了，建議文件先開起來看
https://www.openbsd.org/faq/pf/filter.html
文件裡有提到語法為
action [direction] [log] [quick] [on interface] [af] [proto protocol]
[from src_addr [port src_port]] [to dst_addr [port dst_port]]
[flags tcp_flags] [state]有一個很大的重點是 規則是從上到下做比對，如果規則有衝突的話，會諄照 最後一條 符合的規則去執行。
要提一下 quick 這個關鍵字，如果有看到 quick 就代表只符合該規則，會無視後面寫(沒有 quick 關鍵字)的規則
例如文件寫的範例：
# 擋掉所有 ssh (TCP port: 22) 的連線
block in proto tcp to port ssh
# 允許所有連線
pass in all規則第一行寫擋掉它，第二行又寫允許，假設有一個 SSH 連線， 該封包是被擋掉呢？還是被允許？
答案是被允許，因為規則如有衝突的話，諄照 最後一條 符合的規則去執行。
# 擋掉所有 ssh (TCP port: 22) 的連線
block in quick proto tcp to port ssh
# 允許所有連線
pass in all第一行雖寫擋掉它，但因為有加 quick 所以會忽略之後所有符合的規則（忽略掉允許的規則）
所以假設有一個 SSH 連線，這次會變成 被擋掉。
這才是我們要的結果。
黑名單範例
黑名單顧名思義就是預設允許，只擋掉不要的
假設有台 個人開發機 要設定 PF 防火牆，需求如下：
- 預設允許所有連出連入連線
- 擋掉所有 80 (http), 443 (https) 的連入，只允許私有IP使用
- 擋掉所有 3306 (mysql) 的連入，只允許本機連線
# === Developer machine example ===
# 指定連線介面
int_if="{ en0 en1 }"
# 指定要開放 連入 的服務
webports = "{http, https}"
# 定義私有IP範圍
table <private> const { 192.168/16 }
# 預設允許所有連出連入連線，並保持狀態
pass in all keep state
pass out all keep state
# 跳過 lookback 介面不處理
set skip on lo
# MySQL (TCP:3306) 允許本機 lookback 介面 能連線，阻擋其他的封包
pass in quick on lo proto tcp from any to any port 3306
block in quick proto tcp from any to any port 3306
# 只允許私有 IP 能連線，阻擋其他的封包
pass in quick proto tcp from <private> to any port webports
block in quick proto tcp from any to any port webports
測試
設定好了之後來測試，這裡列出幾個：
- 是否本機能正常連線到 MySQL？
- 找一台同網段的裝置，是否無法連接 MySQL？
- 找一台接不同網路的裝置來測試，是否無法連接 MySQL？
- 是否本機能正常看到自己開發中的網站？
- 找一台同網段的裝置，是否能正常看到網站？
-
找一台接不同網路的裝置來測試，是否能正常看到網站？
附註：MySQL 連線指令為
$ mysql -u root -h <YOUR_IP> -p測試 HTTP 伺服器
$ docker run -d -p 80:00 j796160836/simple-test-http使用 docker 這個測試 image，
對應內部 container 80 port （後者） 到主機 80 port （前者）
白名單範例
白名單顧名思義就是預設全部擋掉，再允許我要的連線，
這個設定比較複雜，要小心設定，要避免自己把自己鎖住出不去。
假設有一台 http 伺服器 要設定 PF 防火牆，需求如下：
- 預設擋掉所有進出的連線
- 只接受 80 (http), 443 (https) 的連入，其餘不打開
- 基本對外上網要能用 (dns查詢、ntp網路對時、ssh、http)
這裡是簡化版，如有其他需要可以自行再加
# === HTTP server example ====
# 指定對外連線介面
ext_if="{ ppp0 }"
# 指定要開放 連入 的服務
webports = "{http, https}"
# 指定要開放的 連出 的服務
int_tcp_services = "{domain, ssh, ntp, www, https}"
int_udp_services = "{domain, ntp}"
# 跳過 lookback 介面不處理
set skip on lo
# 重新組合封包
scrub in all random-id fragment reassemble
# 擋掉所有 進入 的連線
block drop in log all
# 擋掉所有 連出 的連線
block out all
# 阻擋惡意偽造封包
antispoof quick for $ext_if
# 指定要開放 連入 的服務
pass in on $ext_if proto tcp from any to any port $webports
# 指定要開放的 連出 的服務
pass out quick on $ext_if proto tcp to any port $int_tcp_services
pass out quick on $ext_if proto udp to any port $int_udp_services
# 接受 PING 回應
pass on $ext_if inet proto icmp to $ext_if icmp-type "echoreq" keep state
# 接受使用 traceroute
pass out on $ext_if inet proto udp from any to any port 33433 >< 33626 keep state
測試
設定好了之後當然要測試，這裡列出幾個：
- 該台伺服器是否能正確上網？是否能正常使用 ping, traceroute, nslookup 等功能？
- 多個網路介面同時連線上網之後，對外介面 ppp0 斷線之後，是否無法上網？ ping 會不會不通？
- 找另一台接不同網路的裝置來測試，是否能夠 ping 到該台伺服器？ http 是否能正確連入？ 確認其他的 port 是否不能連入？
開機自啟動
PF 防火牆設定好了之後，可以這樣設定讓它開機自動啟動
$ sudo vi /System/Library/LaunchDaemons/com.apple.pfctl.plist然後修改部分內容，以下列出全文
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>Enabled</key>
<false/>
<key>Label</key>
<string>com.apple.pfctl</string>
<key>WorkingDirectory</key>
<string>/var/run</string>
<key>Program</key>
<string>/sbin/pfctl</string>
<key>ProgramArguments</key>
<array>
<string>pfctl</string>
<string>-e</string>
<string>-f</string>
<string>/etc/pf.conf</string>
</array>
<key>RunAtLoad</key>
<true/>
</dict>
</plist>其他規則範例
這裡我搜集了一些網友寫的規則，也蠻有參考價值的
https://gist.github.com/kujohn/7209628
https://gist.github.com/nathwill/9703175
https://gist.github.com/rosstimson/5826279
http://daemon-notes.com/articles/network/pf
注意事項
這裡講一些我遇到的雷，
- pf.conf 跟 Anchors 文件的最後請多放二個換行，不然有時候會莫名遇到 Syntax error （這個最雷）
- Mac OS X系統大版本更新之後（例如：El Capitan 升級到 Sierra），請倒回去確認防火牆規則是否還在，可能會被清掉
- 設定防火牆時請避免使用遠端連線，避免重啟防火牆時被斷線或被錯誤的規則鎖在門外
- 防火牆啟動後（尤其是採用白名單策略時），如果該電腦不能正常上網，切勿慌張，先查查看防火牆規則，是不是自己把自己給檔在門內出不去 😄
設定防火牆規則很複雜，請多測試，有時候不是你想的那樣，多參考別人的範例規則，再慢慢調整成自己想要的，good luck!
參考資料
http://www.thedeepsky.com/howto/newbiepfguide.php
http://www.scottro.net/pf.html
http://www.openbsd.org/faq/pf/options.html
http://www.openbsd.org/faq/pf/example1.html
http://www.openbsd.org/faq/pf/logging.html
https://www.freebsd.org/doc/handbook/firewalls-pf.html
https://forums.freebsd.org/threads/38669/
https://forums.freebsd.org/threads/11511/
https://forums.freebsd.org/threads/28101/
http://www.bsdforen.de/threads/pf-icmp-wahnsinn.14694/
https://forum.pfsense.org/index.php?topic=126031.0
