如何以非守护进程模式启动pfctl？并实现其开机自启

你之前的方案踩了两个关键坑：用了用户级的LaunchAgents，还在脚本里加了sudo。LaunchAgents是用户登录后才启动的服务，而且无交互环境下sudo会因为需要密码直接失败；而pfctl必须用root权限才能启用，所以得用系统级的LaunchDaemon来实现开机自启。下面是具体步骤：

步骤1：创建系统级LaunchDaemon配置文件 #

LaunchDaemon要放在/Library/LaunchDaemons/目录（系统级服务的标准路径），文件名建议用唯一标识，比如com.yourusername.pfctl.plist，内容如下：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <!-- 唯一标识，必须和文件名一致 -->
    <key>Label</key>
    <string>com.yourusername.pfctl</string>
    <!-- 开机时立即运行 -->
    <key>RunAtLoad</key>
    <true/>
    <!-- 要执行的脚本路径 -->
    <key>ProgramArguments</key>
    <array>
        <string>/usr/local/bin/pfctl_start.sh</string>
    </array>
    <!-- 明确以root权限运行（LaunchDaemon默认就是root，写出来更清晰） -->
    <key>UserName</key>
    <string>root</string>
    <!-- 忽略标准输出/错误，避免日志堆积 -->
    <key>StandardOutPath</key>
    <string>/dev/null</string>
    <key>StandardErrorPath</key>
    <string>/dev/null</string>
</dict>
</plist>

步骤2：编写启动脚本 #

把启动脚本放在/usr/local/bin/（自定义脚本的标准位置），命名为pfctl_start.sh，内容如下：

#!/usr/bin/env bash
# 不需要sudo，因为LaunchDaemon以root权限运行
pfctl -e -f /etc/pf.conf

步骤3：设置正确的文件权限 #

系统服务的权限必须严格设置，否则Launchd会拒绝加载：

# 配置plist文件权限
sudo chown root:wheel /Library/LaunchDaemons/com.yourusername.pfctl.plist
sudo chmod 644 /Library/LaunchDaemons/com.yourusername.pfctl.plist

# 配置脚本权限
sudo chown root:wheel /usr/local/bin/pfctl_start.sh
sudo chmod 755 /usr/local/bin/pfctl_start.sh

步骤4：加载并测试服务 #

1. 手动加载服务（无需重启即可生效）：

sudo launchctl load /Library/LaunchDaemons/com.yourusername.pfctl.plist

2. 验证pfctl是否启用：

pfctl -s status

如果输出包含Enabled: Yes，说明已经生效。
3. 重启系统后再次验证，确认开机自启正常。

清理错误配置 #

别忘了删掉之前的LaunchAgent文件，避免冲突：

rm /Users/yourusername/Library/LaunchAgents/com.test.plist

额外注意事项 #

• 先手动运行pfctl -f /etc/pf.conf检查你的pf.conf是否有语法错误，这是启动失败的常见原因。
• 即使开启了系统完整性保护（SIP）也不用担心，/Library/LaunchDaemons/和/usr/local/bin/都是SIP允许修改的目录。

内容的提问来源于stack exchange，提问作者jatvin0