pf.conf para bloquear *sólo* una dirección IP específica cuando VPN no está conectado

Cada paquete se evalúa en contra de las reglas de filtrado de arriba a abajo y la última regla de correspondencia es el que gana. La rápida de palabras clave es la única excepción: el paquete será bloqueado o se pasa inmediatamente sin inmutarse por cualquier regla.

Asumiendo que usted está utilizando el negar toda enfoque se tienen que permitir explícitamente paquetes a pasar dentro o fuera.

Conjunto de reglas:

block all
...

Para cumplir con su "basado en la web de recursos de" el requisito de haber rápida para permitir/denegar paquetes dependiendo de la interfaz:

pass out quick on $vpn_ifs from any to { <web_res1>, <web_res2> } no state  
block out quick on $hw_ifs from any to { <web_res1>, <web_res2> } no state

Para cumplir con su "el tráfico http y https" requisito, usted tiene que permitir el tráfico saliente en el puerto 80/443:

pass out on $hw_ifs from any to any port { 80, 443 }

El uso de los denegar todo el planteamiento que usted ha de añadir más reglas (por ejemplo, para permitir el tráfico desde/hacia redes locales).

El último conjunto de reglas que se parece a esto a continuación:

block all
...
rules
...
pass out quick on $vpn_ifs from any to { <web_res1>, <web_res2> } no state  
block out quick on $hw_ifs from any to { <web_res1>, <web_res2> } no state
...
pass out on $hw_ifs from any to any port { 80, 443 }
...
more rules

Aquí está un ejemplo de un denegar todos los pf.conf con un montón de reglas, explicó. Las reglas se utilizan en un FreeBSD Puerta de enlace, sin embargo: algunos no debe ser aplicada o no son útiles en su entorno. Solo las reglas no funcionan en absoluto (por ejemplo, ALTQ características relacionadas).