------作者：小迟 日期：2007.11.18
实践环境：FreeBSD 6.2
１）要想使用ipfw需要先修改内核，在/usr/src/sys/i386/conf/GENERIC里加入如下语句（这里GENERIC最好拷贝一份出来，如CHAMELEON）：
# 防火墙
options IPFIREWALL
# 支援 NAT
options IPDIVERT
# 下面这一行是预设允许所有封包通过，如果没有这一行，
# 就必须在 /etc/rc.firewall 中设定封包的规则。
# 这条规则内定编号是 65535，也就是所有规则的最后一条
# 如果没有加这一条规则，内定就是拒绝所有封包，
# 只允许规则中允许的封包通过。
options IPFIREWALL_DEFAULT_TO_ACCEPT
# 这一行是让你可以在 ipfw 中设定要记录哪些封包，
# 如果没有这一行，就算设定了要留下记录也不会有作用。
options IPFIREWALL_VERBOSE
# 这一行是限制每一条规则所要记录的封包数量，
# 因为同样的规则可能有许多记录，加上这一条可以使
# 同样的记录重复数减少，以避免记录文件爆增。
options IPFIREWALL_VERBOSE_LIMIT=10
# 下面这一行是用来支援封包转向，
# 当你要使用 fwd 动作时必须要有这一项设定。
options IPFIREWALL_FORWARD
# 如果要使用 pipe 来限制频宽，必须加入下列选项以支持 dummynet。
options DUMMYNET
修改核心配置文件：
# cd /usr/src/sys/i386/conf（核心配置文件目录）
# cp GENERIC /root/CHAMELEON
# ln -s /root/CHAMELEON
# vi CHAMELEON
# diff -ub GENERIC CHAMELEON（比较修改前后的差异，万一出错也可以很方便地找出问题所在）
２）然后重新编译内核就可以使用ipfw了：
方法一：
# cd /usr/src/sys/conf
# config CHAMELEON
# cd ../compile/CHAMELEON/
# make depend
# make
# make install
# cd / ; rm -rf /usr/src/sys/i386/compile/CHAMELEON
方法二：
# cd /usr/src
# make buildkernel KERNCONF=CHAMELEON
# make installkernel KERNCONF=CHAMELEON
# rm -rf /usr/obj/usr/src/sys/CHAMELEON
# sync;sync;sync;reboot（sync指令是要求系统将所有暂存在内存里的数据都写入硬盘）
附注：ipfw用法：
ipfw add [number] action [log] proto from src to dist [interface_spec] [option]
action包括：allow,deny,reject,count,check-state,divert port,fwd ipaddr[,port],pipe pipe_nr
interface_spec包括：in,out,via if*,via any等
option包括：keep-state，bridged，established，uid xxx，setup
ipfw delete [number] 删除一条编号为 number 的规则。
ipfw -f flush 清除所有的规则。
ipfw zero 将计数统计归零。
ipfw list 列出现在所有规则
附注：ipfw实例：
在192.168.10.42上屏蔽任何来自192.168.10.149的数据包
ipfw add deny all from 192.168.10.149 to 192.168.10.42
PS：参考了<<FreeBSD 6.0架设管理与应用>>一书
http://www.lupaworld.com/bbs/archiver/tid-31319.html
