pf (Packet Filter)
El cortafuegos con estado de OpenBSD. Obra de Daniel Hartmeier, 2001 (sustituto de IPFilter por problemas de licencia). El cortafuegos estándar de BSD. Es el motor de pfSense, OPNsense, el cortafuegos de macOS y el filtro de paquetes de FreeBSD. Sintaxis más legible que la de iptables en Linux.
Sintaxis: pass in on em0 proto tcp from any to any port 22 keep state — legible casi como inglés corriente. Tiene tablas para grupos de IP, anchors como espacio de nombres para reglas, y NAT integrado. La misma sintaxis funciona en todos los sistemas basados en BSD. El pf de macOS (desde 10.7 / Lion) es la base del Application Firewall y de las herramientas de filtrado de Apple. Rendimiento: excelente, heredero de la tradición del núcleo BSD de manejar paquetes con eficiencia. El equivalente moderno en Linux, nftables (el reemplazo de iptables), imita su sintaxis. Por defecto, las reglas de pf siguen la lógica "gana la última coincidencia" — justo lo contrario de iptables.