filter by pid

Скорость можно замедлить и без использования pf. Есть порт trickle, который это позволяет.

Кратко - никак. Только по пользователю:

http://openbsd.7691.n7.nabble.com/pf-conf-by-PID-td68844.html#a17496273

явно не то, что нужно.

Грустно, но ведь как-то решают такую проблему.

в freebsd несколько firewall могут работать одновременно. use ipfw.

ок, а как в ipfw фильтровать пакеты по pid или name приложения?

можно специального юзера завести в системе и запускать ограничиваемые процессы от его имени

Да, это крайний вариант. Хочется сделать что бы фильтровались пакеты именно по пиду, любым образом, пусть даже маркеровать их как-то, главное, по pid. Разве это не тривиальная задача?

модуль owner кстати давно труп

да, знаю, а как сейчас решают подобные проблемы? Пусть даже с iptables?

через uid, например

а через pid? Процесс который надо фильтровать создается другим процессом, у которого определенный uid, который не надо фильтровать. Доступа к исходникам нет.

Фильтровать по PID в самом деле очень безсмысленно и этого нет. То, что скорей всего тебе надо — это systrace. Альтернативно — фильтровать по юзеру. Запретить всё и разрешить только то, что в самом деле надо. При этом надо учесть, что если сокет был создан до сбрасывания привилегий (setuid/setgid), то и UID/GID у сокета остаются родительские.

в опене можно запускать процесс в отдельном роутинг домене и применять правила ко всему трафику в этом домене. как во фре это делается - хз, там пф старый и прочие утилиты в бейзе другие.

а где об этом можно почитать? ссылка там или кей-вордс

systrace, я так понимаю, не подойдет: мне не надо рубить все соккет вызовы процесса, мне надо симулировать «плохой интернет» лишь для одного приложения в системе.

возможно имелось ввиду это:

http://www.packetmischief.ca/2011/09/20/virtualizing-the-openbsd-routing-table/

но как это решает твою задачу не пойму.

хотяя..если таки твой процесс будет в этом виртуальном рдомене, то можно кроном вкл/выключать ему траффик)

man pf, man route.