别看现代 OpenBSD 了！macOS 的 PF 被永远冻结在了 OpenBSD 4.6！
深度图解开发者 Tatsh 整理的“macOS PF 唯一对应指南”（Tatsh/6873e3c5901b1d0663e5fbf04452e4de）：揭秘为什么看最新的 OpenBSD 文档写 macOS pf 会频频报错！掌握七段式经典语法、NAT / rdr 独立转换、Anchor 锚点嵌套树与 pfctl 核心实战技巧！
⚡ 一句话看懂这篇 Gist 的灵魂价值
很多极客在 Mac 上调 PF 防火墙时，往往去读 OpenBSD 官网最新的 PF 文档，结果照着写 match、新版 nat-to 全都报语法错误！
原因在于：Apple 在 OS X 10.7 Lion 从 FreeBSD 移植 PF 时，锁定的是 OpenBSD 4.6 时代（2009~2010年）的内核实现。它保留了极其严格的“七段顺序严格不可颠倒”原则（Macros ➔ Tables ➔ Options ➔ Scrub ➔ Queueing ➔ Translation NAT/rdr ➔ Filter Rules），支持 rdr / nat 独立指令，并依靠 anchor 系统维持系统级与第三方配置的隔离。这份 Gist 是当今互联网上与 macOS PF 实际运行内核最精准咬合的“出土活化石”操作手册！
冻结在 macOS XNU 内核中的古老规则集：nat 与 rdr 独立语句、七段式严格排列、keep state 状态跟踪。
掌控规则加载（-f）、状态表检视（-ss）、动态增删表（-t -T）、统计监控（-si）的瑞士军刀。
macOS 独有的系统级保护机制，让系统防火墙与第三方工具在专属锚点内安全共存，不踩全局表。
误用现代 OpenBSD 的 pass ... nat-to、match 规则、乱序配置直接引发 pfctl 启动报错。
⛓️ 十级核心思想链：吃透 macOS XNU 内部的 PF 实战全景
演进 01
版本时间胶囊：macOS 内核锁定 OpenBSD 4.6 规范
开发者痛点：直接搜“OpenBSD PF Tutorial”，最新版本早就把 NAT 和 Filter 融合成一条语句（`pass out ... nat-to`），照抄进 Mac 直接报 `syntax error` 报错退出。
【语法错位：现代语法当场崩】
现代OpenBSD语法在Mac上全部无法识别
【对齐真相：认准 4.6 经典结构】
针对老版本语法配置才能在Mac满血跑通
解决了什么：明确了 macOS PF 的内核版本基线，避免开发者被现代 OpenBSD 文档误导浪费调试时间。
代价是什么：无法享受现代 OpenBSD 引入的 match 动作等高级重写特性。
演进 02
铁律顺序不可逾越：七段式结构的排布法则
开发者痛点：在 `pf.conf` 里顺手把 nat 规则写在了 filter 规则后面，或者把 scrub 写在 options 前面，加载时全盘失败。
【乱序灾难：前后颠倒直接挂】
规则未按照标准顺序放置导致全盘加载失败
【七律严守：正统 7 段自上而下】
严格遵循标准七段顺序保证配置一次过
解决了什么：按照固定顺序划分解析阶段，使内核在处理过滤时已经完成了数据包规范化（Scrub）与地址重定向（Translation）。
代价是什么：编写复杂配置时必须把相关逻辑拆分到不同的段落中。
演进 03
变量与列表宏：简化庞大规则集的工程基石
开发者痛点：写十几条规则放行不同端口或多网卡，每次改网卡名就要全局查找替换，极其容易漏改引发断网。
【硬编码地狱：到处手写 en0】
网卡与端口硬编码导致维护成本极高
【优雅声明：Macros & Lists 展开】
宏变量与大括号列表在加载时自动展开
解决了什么：支持使用 `$` 宏声明和 `{ }` 列表，pfctl 会在加载时自动将其笛卡尔积展开为底层多条单规则。
代价是什么：列表中不要使用 `!not` 否定逻辑，否则会展开成全放行的灾难逻辑。
演进 04
黑名单十万条秒查：Radix 树内存 Tables 表结构
开发者痛点：想封禁 50,000 个恶意爬虫或攻击 IP，如果用普通列表写 50,000 条规则，CPU 在每个包经过时逐行扫描直接卡死崩溃！
【线性扫描崩溃：万条规则卡死】
超大黑名单线性比对导致网络彻底瘫痪
【极速基数树：table <spammers>】
内核基数树支持十万级IP零延迟秒查
解决了什么：PF 引入 `table <name>`，使用高效 Radix 树存储，50,000 个 IP 的查询耗时与 50 个几乎完全一致，并支持免重启规则动态在线增删。
代价是什么：Tables 内部无法容纳 `0.0.0.0/0` 全网段语法。
演进 05
洗干净再进门：Scrub 报文碎片规整与防篡改
开发者痛点：黑客常利用特意重叠的 IP 碎片或残缺的 TCP 标志位组合发动旁路渗透，穿透粗糙的防火墙。
【碎尸万段：恶意重叠包混入】
攻击者用重叠分片攻击绕过防火墙
【洗礼重组：scrub-anchor & scrub in】
强制规范化重组碎片包杜绝旁路注入
解决了什么：`scrub` 命令在防火墙入口处自动重组碎片包，丢弃非法组合的 TCP 标志位，确保后续规则看到的是绝对清洁的合法数据包。
代价是什么：重组分片需要暂时占用微量内核内存作为缓冲区。
演进 06
局域网共享与端口转发：经典的 NAT 与 rdr 独立指令
开发者痛点：在 Mac 上开虚拟机做开发，想把外网访问 Mac 的 8080 端口无缝转给虚拟机里面的 80 端口，或者做内网地址伪装。
【繁琐桥接：传统配置复杂】
没有原生NAT转换无法实现端口映射
【双剑合璧：nat + rdr 经典组合】
通过独立rdr与nat语句精准控制数据流
解决了什么：第 6 段 Translation 提供了极度简练的 `rdr` 端口重定向与 `nat` 伪装映射，是 UTM、Parallels 与网关开发的基础。
代价是什么：必须配合第 7 段的 filter 规则放行被转换后的流量。
演进 07
末位匹配与 quick 拦截：PF 独特的仲裁机制
开发者痛点：写了一条 `pass in port 80`，结果后面有条全局 `block all`，访问竟然全被阻断！PF 居然不是“命中即走”！
【末位裁决陷阱：默认最后一条胜出】
PF默认规则以最后匹配为准容易踩坑
【一击即中：引入 quick 关键字】
加上quick关键字后立即终止后续扫描
解决了什么：PF 默认采取“Last Matching Rule Wins（末位匹配胜出）”哲学；添加 `quick` 关键字可强制转化为现代防火墙直觉的“First Match Wins”。
代价是什么：如果滥用 `quick`，会导致规则丧失自顶向下的分层覆盖能力。
演进 08
握手即成通行证：Keep State 有状态流跟踪
开发者痛点：传统无状态防火墙不仅要配置入站允许，还要痛苦地给每个临时端口配置出站回包放行规则，漏配一个就单向断连。
【无状态痛苦：双向配对难维护】
无状态防火墙必须繁琐配置双向放行
【状态跟踪：keep state 自动返程】
首次握手建表后续双向数据流全自动放行
解决了什么：PF 会为完成 TCP 三次握手或 UDP 会话的流在内存状态表（State Table）中登记，后续回包免检极速通过。
代价是什么：遭受海量 SYN 洪水攻击时需要合理调节 `states` 上限防止内存耗尽。
演进 09
macOS 独家命名空间：Anchor 锚点隔离与系统保护树
开发者痛点：直接执行 `pfctl -f my.conf` 会把整个系统的 `/etc/pf.conf` 洗白，macOS 自带的互联网共享（Internet Sharing）与防火墙规则当场暴毙！
【粗暴洗白：全局冲刷毁系统】
直接覆盖主配置文件破坏macOS核心网络
【分室而治：anchor 独立命名空间】
在独立Anchor锚点中加载规则安全共存
解决了什么：macOS 深度定制了 Anchor 架构，开发者使用 `pfctl -a my_anchor -f sub.conf` 仅修改专属命名空间，绝不污染系统主规则。
代价是什么：主配置文件 `/etc/pf.conf` 必须提前显式声明该 anchor 的挂载点。
演进 10
诊断军刀全开：pfctl 的神仙命令全集
开发者痛点：改完规则不知道生效没有，网络不通抓瞎怀疑人生，不知道怎么看拦截计数和当前活动的 NAT 状态。
【两眼抹黑：全凭玄学猜状态】
缺少诊断工具导致网络排障极其痛苦
【内核显影：pfctl 掌控全局】
丰富的参数让内核所有状态纤毫毕现
解决了什么：Tatsh Gist 总结了全套高频诊断命令（`-sn` 查看 NAT、`-sr` 查看过滤、`-ss` 监视状态流、`-si` 统计指标），排障如外科手术般精准。
代价是什么：必须熟练记忆这些单字母参数的组合意义。
⚖️ 玩转 macOS PF 的三大黄金守则
深入 XNU 内核调优网络时，务必刻进骨髓的三大定律：
顺序守恒定律 (The Order of 7 Sections)
顺序不可错乱：从宏到表，从清洗到限速，再到 NAT 转换与末尾过滤规则，严格自上而下，颠倒一个段落内核直接拒绝载入。
锚点隔离准则 (Anchor-First Hygiene)
坚决不碰系统主干：所有私有重定向一律写入自定义 Anchor 子树中，用 pfctl -a 操作，防止毁坏系统原生互联网共享。
动静分离优化 (Tables vs Lists)
小集用列表，大集用表：三个端口放行用 { }，上百个 IP 封禁坚决使用 <tables>，利用 Radix 基数树维持 O(1) 吞吐极限。
📋 macOS 内部 PF (OpenBSD 4.6) 核心诊断与操作速查大表
| 操作场景 |
pfctl 核心命令 |
底层原理与作用 |
| 🚀 启停与状态开关 |
sudo pfctl -e / sudo pfctl -d |
在 XNU 内核中启用或禁用包过滤总开关（不自动加载新规则）。 |
| 🧪 语法检查（不加载） |
sudo pfctl -nf /etc/pf.conf |
干跑校验语法（Dry Run），若有段落顺序错误或未定义宏立即报错。 |
| 🔄 全局重新加载配置 |
sudo pfctl -f /etc/pf.conf |
全量解析并覆写内核主规则表（慎用，可能影响系统已有 anchor）。 |
| 🎯 查看当前生效规则 |
sudo pfctl -sr (Filter) / -sn (NAT) |
分别输出当前内核中实际挂载的过滤规则与 NAT/rdr 重定向规则。 |
| 🌊 监视活动会话流 |
sudo pfctl -ss |
打印当前内存状态表（State Table），观察源IP、目标IP与连接存活。 |
| ⚡ 动态增删 Table 表 |
sudo pfctl -t badips -T add 1.2.3.4 |
无需重启防火墙，在 O(1) 基数树中秒级新增或剔除封禁 IP。 |
| ⚓ 独立 Anchor 规则加载 |
sudo pfctl -a myapp -f /path/sub.conf |
将专属规则挂载到 anchor "myapp" 下，实现完全隔离互不冲突。 |