PF запускается раньше интерфейса, как решить?

Question

[Александр]

Всем привет.
Есть сервер OpenVPN на FreeBSD, защищённый PF. Есть правило касательно интерфейса tun0 OpenVPN-сервера. Загвоздка в том, что PF грузится раньше OpenVPN, не видит интерфейса tun0 и, следовательно, не применяет правила, т. к. по его мнению есть ошибка в файле с правилами.
Есть ли изящный способ решения этой проблемы? Можно, конечно, запускать пакетный фильтр в последнюю очередь, но не очень хочется.

Answer 1

[Александр]

Разобрался сам. Там, где PF конвертирует имя интерфейса в его IP-адрес, нужно заключить конструкцию в скобки, чтобы он воспринимал его как динамический. В моём случае была сеть интерфейса, внутри правила это выглядит так:
($ovpn_if:network)
Правила же, где фигурирует непосредственно интерфейс, а не его адрес, PF игнорирует, даже если такого интерфейса не существует.