优化mac的pf防火墙可提升网页加载性能，首先允许出站80和443端口流量，其次启用keep state实现状态化连接跟踪，再通过表格白名单放行常用cdn域名ip，最后调整tcp.established等超时参数以支持高并发请求，确保外部css等资源快速加载。
如果您在使用 Mac 的 pf 防火墙时发现网页加载性能下降，尤其是外部 CSS 文件加载缓慢或受阻，可能是防火墙规则对出站流量进行了过度限制。以下是优化 pf 防火墙配置以确保 HTML 页面及其外部资源（如 CSS）能够快速、无阻碍加载的操作步骤：
一、检查并优化 pf 规则中的出站流量策略
pf 防火墙默认可能只关注入站连接，但若配置了严格的出站规则，则可能影响浏览器对外部域名（如 CDN）的 CSS 请求。应确保出站 HTTP 和 HTTPS 流量被明确允许。
1、打开终端，查看当前加载的 pf 规则文件路径：sudo pfctl -sr。
2、编辑主规则文件（通常为 /etc/pf.conf），定位到出站规则段。
立即学习“前端免费学习笔记（深入）”；
3、添加以下规则以允许所有出站 HTTP（端口 80）和 HTTPS（端口 443）流量：pass out proto tcp from any to any port {80, 443}。
4、保存文件后重新加载规则：sudo pfctl -f /etc/pf.conf。
二、启用状态化连接跟踪以提升响应效率
状态化过滤允许 pf 自动处理返回流量，无需为每个请求单独编写反向规则，从而减少延迟并提高页面资源加载速度。
1、在规则文件中，确保所有允许的 pass 规则包含 keep state 选项。
2、例如修改为：pass in proto tcp from any to any port 80 keep state。
3、状态跟踪会自动维护连接会话，使外部 CSS 服务器的响应数据包能快速通过防火墙。
4、重新加载规则以应用更改：sudo pfctl -f /etc/pf.conf。
三、针对特定 CDN 域名设置白名单规则
若需更精细控制，可将常用 CSS CDN 域名（如 fonts.googleapis.com、cdnjs.cloudflare.com）解析出的 IP 地址加入白名单，避免 DNS 查询受限导致加载延迟。
1、使用命令 dig fonts.googleapis.com 获取目标域名的 IP 地址。
2、在 pf.conf 中创建专门的表格用于存放可信 CDN IP：table
3、添加规则允许访问这些 IP 的 HTTPS 流量：pass out proto tcp from any to
4、保存并重载规则文件，使白名单生效。
四、调整 pf 的超时设置以适应高并发资源请求
网页加载多个外部 CSS 文件时会产生多条并发连接，若 pf 的连接超时过短，可能导致部分连接被提前关闭。
1、在 /etc/pf.conf 文件顶部或选项段中，设置更合理的超时值。
2、添加或修改选项：set timeout { tcp.first 30, tcp.opening 30, tcp.established 3600 }。
3、延长 established 连接的存活时间有助于维持稳定的资源下载会话。
4、执行 sudo pfctl -f /etc/pf.conf 应用新超时策略。
