pf (Packet Filter)
Le pare-feu à états d'OpenBSD, écrit par Daniel Hartmeier en 2001 pour remplacer IPFilter, dont la licence posait problème. C'est le pare-feu standard des BSD : il fait tourner pfSense et OPNsense, et on le retrouve dans macOS et FreeBSD. Sa syntaxe est bien plus lisible que celle d'iptables sous Linux.
La syntaxe se lit presque comme de l'anglais : pass in on em0 proto tcp from any to any port 22 keep state. Des tables pour regrouper les adresses IP, des ancres pour cloisonner les jeux de règles, du NAT intégré — et le même langage sur tous les systèmes de la famille BSD. macOS embarque pf depuis la 10.7 (Lion), sous le pare-feu applicatif d'Apple. Les performances sont excellentes, fidèles à la tradition BSD d'un traitement des paquets soigné. Côté Linux, nftables, le successeur d'iptables, lorgne du côté d'une syntaxe à la pf. Piège classique : dans pf, la dernière règle qui correspond l'emporte, sauf si on écrit quick — l'inverse d'iptables.