28.3 防火墙软件包

　　FreeBSD 的基本系统内建了三种不同的防火墙软件包。 它们是 IPFILTER (也被称作 IPF)、 IPFIREWALL (也被称作 IPFW)， 以及 OpenBSD 的 PacketFilter (也被称为 PF)。 FreeBSD 也提供了两个内建的、 用于流量整形 (基本上是控制带宽占用) 的软件包： altq(4) 和 dummynet(4)。 Dummynet 在过去一直和 IPFW 紧密集成， 而 ALTQ 则需要配合 PF 使用。 IPFILTER 对于流量整形可以使用 IPFILTER 的 NAT 和过滤功能以及 IPFW 的 dummynet(4) 配合, 或者 使用 PF 跟 ALTQ 的组合。 IPFW， 以及 PF 都是用规则来控制是否允许数据包出入您的系统， 虽然它们采取了不同的实现方法和规则语法。

　　FreeBSD 包含多个内建的防火墙软件包的原因在于， 不同的人会有不同的需求和偏好。 任何一个防火墙软件包都很难说是最好的。

　　作者倾向于使用 IPFILTER， 因为它提供的状态式规则， 在 NAT 的环境中要简单许多， 而且它内建了 ftp 代理， 这简化了使用外部 FTP 服务时所需的配置。

　　由于所有的防火墙都基于检查所选定的包控制字段来实现功能， 撰写防火墙规则集时， 就必须了解 TCP/IP 是如何工作的， 以及包的控制字段在正常会话交互中的作用。 您可以在这个网站找到一份很好的解释文档： http://www.ipprimer.com/overview.cfm.