Docs: bring the documentation in line with the code

- Demo docs replaced by the screencast docs (single source of truth): the legacy demo-session.sh/demo-record.py and the v0.9 renderer were removed instead of being kept as a second convention. - feature-matrix: stale 'M2-in-progress' vocabulary gone; the rows the 15 gates prove now say VERIFIED-in-VM and name the gate; af-to is now an explicit non-goal row (INET6 0 in this build). - guide: the queues/divert/pflog sections described a state that no longer exists (priq-only, divert dropping packets, pflog logging nothing); they now describe the shipped behaviour. - vm-lab: the 15 real gates with what each proves, 15/15 green, and the pf0 -> cli/srv/gw2 ssh setup the screencasts rely on. - install/build: pdivert and pflogd are built and ported (docs said otherwise); module object list now includes hfsc.c, fq_codel.c, pfk_pflog.c; the screencast pipeline is an optional build stage. - pf-guide: the 'M2 scope only' framing is gone; honest gaps listed. - caveats: three new sections about the screencast pipeline (MiniMax video generation blocked by the account tier, narration as a separate track, a video frame is not a verdict). - porting-notes: what the recording taught us. - README/README.pt-BR: status, milestones, layout and video section updated. All internal doc links verified.
2026-11-12 11:51:25 -03:00
1 parent cc67531602
commit dff2185b20
@@ -1,36 +1,42 @@
-# Documentação PF-on-Linux (português)
+# Documentação do PF-on-Linux (português)

 English documentation: [`docs/en/README.md`](../en/README.md).

-Este é o conjunto de documentação de usuário do port do **PF do OpenBSD 8.0**
-para o **Linux 7.3.4** — o engine PF de verdade (`pf.c`, `pf_norm.c`,
-`pf_table.c`, `pf_lb.c`, …) rodando como módulo out-of-tree `pf.ko`,
-controlado pelo `pfctl` real do OpenBSD pela ABI ioctl de `/dev/pf`.
+Este é o conjunto de documentação de usuário do port do **packet filter do
+OpenBSD 8.0 (PF)** para o **Linux 7.3.4** — o engine PF real (`pf.c`,
+`pf_norm.c`, `pf_table.c`, `pf_lb.c`, `hfsc.c`, …) rodando como o módulo
+out-of-tree `pf.ko`, controlado pelo `pfctl` real do OpenBSD sobre a ABI ioctl
+de `/dev/pf`.

 ## Índice

-| Documento | Conteúdo |
+| Doc | O que cobre |
 |---|---|
 | [guide.md](guide.md) | Arquitetura em uma página: componentes, caminho de dados, plano de controle, milestones |
-| [install.md](install.md) | Receita de aplicação/build/instalação (kernel, módulo, ferramentas) |
+| [install.md](install.md) | Receita de apply/build/install (kernel, módulo, ferramentas) |
 | [build.md](build.md) | Pipeline de build em detalhe: fetch → vendorize → kernel → módulo → pfctl |
-| [vm-lab.md](vm-lab.md) | Bancada de validação em libvirt: topologia, recriar/rodar, o que cada gate prova |
-| [feature-matrix.md](feature-matrix.md) | Status por feature: VERIFIED-in-VM / COMPILES-untested / PENDING-Mx |
-| [pf-guide.md](pf-guide.md) | Uso diário: o que funciona hoje em `/etc/pf.conf`, o que evitar até M3/M4 |
-| [patches.md](patches.md) | Patches de core do Linux (hoje vazio) + regras e template para futuros `000N-*.patch` |
-| [caveats.md](caveats.md) | Divergências conhecidas de comportamento e limitações atuais |
+| [vm-lab.md](vm-lab.md) | O lab de validação em libvirt: topologia, recriar/rodar, o que cada um dos 15 gates prova |
+| [feature-matrix.md](feature-matrix.md) | Status por feature: VERIFIED-in-VM / VERIFIED-offline / COMPILES-untested / NOT-ENABLED |
+| [pf-guide.md](pf-guide.md) | Uso diário: o que funciona hoje em `/etc/pf.conf` e as divergências a conhecer |
+| [screencast.md](screencast.md) | Os vídeos narrados (inglês e português): fases, pipeline, como regravar |
+| [patches.md](patches.md) | Conjunto de patches de core do Linux (hoje vazio) + regras e template para futuros `000N-*.patch` |
+| [caveats.md](caveats.md) | Divergências conhecidas em relação ao OpenBSD e limitações atuais |

-## Fontes de verdade
+## Fontes da verdade

-A documentação descreve o código como ele existe na árvore. Em caso de dúvida,
-as referências autoritativas são:
+Os docs descrevem o código como ele existe nesta árvore. Na dúvida, as
+referências autoritativas são:

 - `docs/superpowers/specs/2026-11-11-pf-linux-port-design.md` — design
- `docs/superpowers/plans/2026-11-11-pf-linux-port.md` — plano de milestones (tarefas T1–T19)
- `docs/porting-notes.md` — log de staging + registro de desvios da camada de compat (M1)
+- `docs/superpowers/plans/2026-11-11-pf-linux-port.md` — plano dos milestones (tarefas T1–T19)
+- `docs/porting-notes.md` — log de staging + registro das divergências (a verdade sobre as divergências da camada de compat)

-Vocabulário de status usado em todos os documentos:
+Vocabulário de status usado nestes docs:

- **VERIFIED-in-VM** — exercitado de ponta a ponta na bancada libvirt (ver vm-lab.md).
- **COMPILES-untested** — o código compila no `pf.ko`, mas nenhum gate provou o comportamento ainda.
- **PENDING-Mx** — entra (ou entra por completo) no milestone Mx; o comportamento observável hoje está documentado.
+- **VERIFIED-in-VM** — exercitado de ponta a ponta no lab libvirt; o gate que prova está nomeado (veja [vm-lab.md](vm-lab.md)).
+- **VERIFIED-offline** — provado por um teste de fixture ou de ABI, não por tráfego.
+- **COMPILES-untested** — o código é compilado dentro do `pf.ko`/`pfctl` mas nenhum gate o exercitou.
+- **NOT-ENABLED** — o código existe mas a feature está desligada neste build.
+- **OUT-OF-SCOPE** — fora de escopo por desenho (spec §3).
+
+A suíte do lab está **15/15 verde** (`./scripts/vm-run-tests.sh`).
@@ -72,13 +72,14 @@ ficam de fora do staging automático de propósito (portados à mão).

 ## 5. Módulo — `scripts/build-module.sh`

-`make -C "$KERNELDIR" M=module` → `module/pf.ko` (um único módulo hoje; o
-qdisc `pfq` chega com o M5). O script prepara sozinho `Module.symvers` /
-`modules_prepare`. Lista de objetos (`module/Makefile`): engine portado
-(`pf.c`, `pf_ioctl.c`, `pf_norm.c`, `pf_if.c`, `pf_lb.c`, `pf_ruleset.c`,
-`pf_table.c`, `pf_osfp.c`, `pf_syncookies.c`, `divert_sock.c`) + camada de
-compat (shim mbuf, glue de kernel, if/ip4/ip6/pcb/xmit/ifq, crypto, radix,
-subr_tree) + `pfk_mod.c`/`pfk_hooks.c`. As flags de compilação definem
+`make -C "$KERNELDIR" M=module` → `module/pf.ko` (um único módulo: a
+interface BSD `ifq`/`pfq` mora dentro dele, não é um qdisc `tc` separado). O
+script prepara sozinho `Module.symvers` / `modules_prepare`. Lista de objetos
+(`module/Makefile`): engine portado (`pf.c`, `pf_ioctl.c`, `pf_norm.c`,
+`pf_if.c`, `pf_lb.c`, `pf_ruleset.c`, `pf_table.c`, `pf_osfp.c`,
+`pf_syncookies.c`, `divert_sock.c`, `pfk_pflog.c`, `hfsc.c`, `fq_codel.c`) +
+camada de compat (shim mbuf, glue de kernel, if/ip4/ip6/pcb/xmit/ifq, crypto,
+radix, subr_tree) + `pfk_mod.c`/`pfk_hooks.c`. As flags de compilação definem
 `PFLINUX=1` e `_KERNEL=1`. Termina com `MODULE_BUILD_OK`.

 `insmod module/pf.ko` cria `/dev/pf` (0600) e registra os hooks netfilter; o
@@ -87,7 +88,8 @@ caminho de dados faz).

 ## 6. Userland — `make -C tools`

-Alvos (de `tools/Makefile`): `pfctl`, `abitest`, `abi`, `test`, `clean`.
+Alvos (de `tools/Makefile`): `pfctl`, `pdivert`, `pflogd`, `abitest`, `abi`,
+`test`, `clean`.

 - `pfctl` — as fontes do OpenBSD 8.0 compiladas contra os headers de ABI
  copiados; o resultado é um **binário estático** em `tools/out/pfctl`.
@@ -100,20 +102,44 @@ Alvos (de `tools/Makefile`): `pfctl`, `abitest`, `abi`, `test`, `clean`.
 - `test` — checagens de parse offline: roda `pfctl -n -f` sobre
  `tools/tests/*.conf` (básico / traduções / filas+scrub / anchor / negativa
  `broken.conf`). É userland puro; não precisa de `/dev/pf`.
- `pdivert` — o fonte do relay de divert fica em `tools/pdivert/`; o lado
-  kernel (pendente) está na [matriz de features](feature-matrix.md).
+- `pdivert` — o relay de divert, compilado a partir de `tools/pdivert/`. Ele
+  fala com a família de sockets `AF_DIVERT` que o módulo registra em runtime
+  (`socket(PF_DIVERT=32, SOCK_RAW, IPPROTO_DIVERT=254)`); o gate
+  `11-divert.sh` prova a ida e a volta.
+- `pflogd` — lê `/dev/pflog` e escreve um pcap DLT_PFLOG cujo layout de
+  registro é byte a byte compatível com o `pflog(4)` do OpenBSD; gate
+  `12-pflog.sh`.

-## 7. `Makefile` raiz
+## 7. Screencasts — `scripts/screencast/build-all.sh`

-`make module | tools | kernel | vm | vm-destroy | test | docs | clean` —
+Não faz parte do build do kernel, mas faz parte da entrega. O pipeline:
+
+| Etapa | Script | O que faz |
+|---|---|---|
+| texto da narração | `make_narration.py` | escreve `scripts/screencast/narration/<fase>.{en,pt}.json` (um segmento por batida da sessão) |
+| voz | `make_audio.py` | TTS do MiniMax, um MP3 por segmento, voz feminina por idioma |
+| sessão | `record.py` | sessão SSH real no lab: comandos digitados tecla a tecla, capturada como asciicast v2 |
+| vídeo | `render_video.py` | reproduz a captura por um emulador de terminal, desenha o diagrama do lab, queima as legendas |
+| montagem | `assemble.py` | mixa a narração na linha do tempo |
+| filme completo | `join.py` | emenda as fases com crossfade sobre cartões de capítulo |
+
+`make screencast` (ou o script) roda tudo; precisa de `MINIMAX_API_KEY` e do
+lab no ar. Detalhes: [screencast.md](screencast.md).
+
+## 8. `Makefile` raiz
+
+`make module | tools | kernel | vm | vm-destroy | test | screencast | docs | clean` —
 wrappers finos sobre os scripts acima. `make test` roda a suíte em VM
-([vm-lab.md](vm-lab.md)); `make docs` apenas lista o conjunto bilíngue.
+([vm-lab.md](vm-lab.md)); `make screencast` renderiza os vídeos;
+`make docs` apenas lista o conjunto bilíngue.

 ## O que já foi exercitado vs. não

- As etapas 1–6 foram rodadas ao longo do desenvolvimento M0–M2 no host de
-  build (há artefatos na árvore: `out/`, `module/pf.ko`, `tools/out/pfctl`),
-  e os scripts acima foram verificados linha a linha para este documento.
+- As etapas 1–6 foram rodadas repetidamente no host de build (há artefatos
+  na árvore: `out/`, `module/pf.ko`, `tools/out/{pfctl,pdivert,pflogd}`), e os
+  scripts acima foram verificados linha a linha para este documento.
+- A etapa 7 (os screencasts) foi rodada de ponta a ponta para as sete fases
+  nos dois idiomas; os vídeos estão em `out/screencast/{en,pt}/`.
 - Uma execução **de ponta a ponta a partir de clone limpo**
  (`quickstart-check.sh`, tarefa T19 do plano) **ainda não** foi feita;
  trate a sequência exata do install.md como "conforme projetada e conforme
@@ -163,6 +163,34 @@ sobre a semântica das regras:
  kernel. Containers/namespaces não são visíveis ao PF e não podem ser
  filtrados por ele neste design.

+## Pipeline dos screencasts (2026-11-12)
+
+### 10. A geração de vídeo do MiniMax não está habilitada nesta conta
+
+Todos os modelos de vídeo do MiniMax (`T2V-01`, `T2V-01-Director`,
+`MiniMax-Hailuo-02`) respondem com o erro de API **2068 — "The current Token
+Plan tier does not support this model"**. A narração (TTS) e a arte do
+cartão de título funcionam normalmente; só os modelos de vídeo estão
+bloqueados. Por isso as transições entre fases são renderizadas localmente
+com ffmpeg (um crossfade sobre um cartão de capítulo) em vez de clipes
+gerados por IA. Mudar isso exige só subir o tier da conta — o ponto de
+extensão é `scripts/screencast/join.py`, que constrói os cartões.
+
+### 11. A narração é uma trilha separada, não uma dublagem do vídeo
+
+Cada fase é gravada **uma vez** e serve aos dois idiomas: a sessão de
+terminal é neutra em relação ao idioma, e as duas versões narradas diferem
+apenas na trilha de áudio e nas legendas queimadas. O gravador segura cada
+batida na tela pelo tempo que o segmento de narração mais longo (EN ou PT)
+precisa, então a voz e a ação no terminal ficam em sincronia nos dois.
+
+### 12. O que os vídeos não mostram
+
+Os vídeos são uma demonstração, não uma rodada de teste: a suíte de gates do
+lab (`scripts/vm-run-tests.sh`) é a autoridade para PASS/FAIL, e os logs
+dela ficam em `out/test-logs/`. Os screencasts mostram os mesmos comandos,
+mas um quadro de vídeo não é um veredito.
+
 ## O que *não* é ressalva

 ARP e outros EtherTypes não-IPv4/IPv6 nunca entram nos hooks netfilter de
@@ -1,40 +0,0 @@
-# Demo (asciinema)
-
-O lab pode ser gravado como um cast do [asciinema](https://asciinema.org).
-Cada byte da gravação é a saída real das VMs do lab (Alpine sobre libvirt,
-rodando o kernel compilado do fonte com o `pf.ko`); só o ritmo é roteirizado.
-
-## Gravar
-
-```sh
-pip install asciinema            # uma vez
-bash scripts/vm-run-tests.sh      # ou: scripts/vm-create.sh + deploy
-asciinema rec out/demo-pf-linux.cast -c "bash scripts/demo-session.sh"
-```
-
-A sessão percorre:
-
-1. a topologia do lab e o `pf.ko` recém-carregado (prova no `dmesg`),
-2. `pfctl -s info` pela ABI de ioctl do OpenBSD,
-3. um `pf.conf` real (tabela, regras stateful, drop explícito) e `pfctl -sr`,
-4. ping em trânsito + `pfctl -ss` (stateful),
-5. `pfctl -t <tabela> -T show` (tabelas vivas),
-6. um ping bloqueado (contadores com `pfctl -sr -vv`),
-7. `divert-to` com o relay `pdivert` (pacote vai ao userspace e volta),
-8. desligamento.
-
-## Reproduzir
-
-```sh
-asciinema play out/demo-pf-linux.cast
-```
-
-## Publicar
-
-```sh
-asciinema upload out/demo-pf-linux.cast
-```
-
-`scripts/demo-record.py` é um gravador alternativo que produz o mesmo formato
-asciicast v2 sem o binário asciinema (ele conduz o lab por ssh e escreve o
-cast diretamente).
@@ -1,78 +1,83 @@
 # Matriz de features

-English: [docs/en/feature-matrix.md](../en/feature-matrix.md).
+Inglês: [docs/en/feature-matrix.md](../en/feature-matrix.md).

 Vocabulário de status (idêntico nos dois idiomas):

- **VERIFIED-in-VM** — passou de ponta a ponta na bancada libvirt (ver [vm-lab.md](vm-lab.md)).
- **M2-in-progress** — implementado; os gates VM 01–04 existem, mas a suíte **ainda não está toda verde**; sem alegação de VERIFIED até uma rodada limpa.
- **COMPILES-untested** — compila em `pf.ko`/`pfctl`; nenhum gate exercitou.
- **PENDING-Mx** — entra no milestone Mx; o comportamento observável hoje está declarado.
- **OUT-OF-SCOPE** — não-objetivo por projeto (spec §3).
+- **VERIFIED-in-VM** — exercitado de ponta a ponta no lab libvirt (veja [vm-lab.md](vm-lab.md)); o gate que prova está nomeado.
+- **VERIFIED-offline** — provado por um teste de fixture/ABI, não por tráfego (ex.: `make -C tools test`).
+- **COMPILES-untested** — compilado dentro do `pf.ko`/`pfctl`; nenhum gate exercitou ainda.
+- **NOT-ENABLED** — o código existe mas a feature está desligada neste build (ex.: `af-to`, que depende dos caminhos `INET6`).
+- **OUT-OF-SCOPE** — fora de escopo por desenho (spec §3).

-Estado em 2026-11-11; evidência por linha: `out/test-logs/`,
-`docs/porting-notes.md`, commits de milestone.
+Atualizado em 2026-11-12; fonte da evidência por linha: `out/test-logs/`,
+`docs/porting-notes.md`, commits dos milestones e os screencasts
+([screencast.md](screencast.md)) para a prova visível.
+
+A suíte está **15/15 verde** (`./scripts/vm-run-tests.sh`).

 ## Plano de controle e ferramentas

-| Feature | Sintaxe de upstream | Milestone | Status |
+| Feature | Sintaxe upstream | Milestone | Status |
 |---|---|---|---|
-| Carga do módulo, `/dev/pf` (0600) | `insmod pf.ko` | M1 | VERIFIED-in-VM |
+| Carga do módulo, `/dev/pf` (0600) | `insmod pf.ko` | M1 | VERIFIED-in-VM (gate `02-ativacao.sh`) |
 | Habilitar/desabilitar | `pfctl -e`, `pfctl -d` | M1 | VERIFIED-in-VM |
-| Carga de ruleset | `pfctl -f arquivo` | M2 | VERIFIED-in-VM (cargas bem-sucedidas em toda rodada capturada; o status geral da rodada é misto — ver [vm-lab.md](vm-lab.md) §6) |
-| Checagem só de parse | `pfctl -n -f arquivo` | M1 | VERIFIED (suíte de fixtures offline, `make -C tools test`) |
+| Carga de ruleset | `pfctl -f file` | M2 | VERIFIED-in-VM (todo gate carrega um ruleset real) |
+| Checagem só de parse | `pfctl -n -f file` | M1 | VERIFIED-offline (`make -C tools test`) |
 | Status/contadores | `pfctl -s info [-v]` | M1 | VERIFIED-in-VM |
-| Listagem de regras | `pfctl -s rules [-v]` | M2 | COMPILES-untested |
-| Listagem de estados | `pfctl -s states [-v]` | M2 | M2-in-progress — o gate 01 mostra anomalia de listagem (ping passa, nenhum estado icmp exibido) enquanto a máquina de estados está sendo corrigida |
-| Tabelas (listagem/ops) | `pfctl -s tables`, `-t t -T show/add/del/kill` | M2 | M2-in-progress (gate 03) |
-| Anchors | `pfctl -a anchor -f arquivo`, `-s Anchors` | M2 | M2-in-progress (gate 04) |
-| Listagem de filas | `pfctl -s queue -v`, `-s ifq -v` | M5 | PENDING-M5 (o parse funciona; contadores ainda não conectados aos back ends reais) |
-| Paridade de ABI ioctl | `make -C tools abi` (tabelas do abitest) | M1 | VERIFIED no lado do build (tabela userland); o diff do lado kernel é um passo aberto para o integrador (`tools/UPSTREAM.md`) |
+| Listagem de regras | `pfctl -s rules [-v]`, `pfctl -sr` | M2 | VERIFIED-in-VM (gates 02–06) |
+| Listagem de estados | `pfctl -s states [-v]`, `pfctl -ss` | M2 | VERIFIED-in-VM (gate `01-state.sh`) |
+| Listagem/operações de tabelas | `pfctl -s tables`, `-t t -T show/add/del/kill` | M2 | VERIFIED-in-VM (gate `03-tables.sh`, incluindo um `-T delete` ao vivo liberando o fluxo) |
+| Anchors | `pfctl -a anchor -f file`, `-s anchors` | M2 | VERIFIED-in-VM (gate `04-anchors.sh`) |
+| Listagem de filas | `pfctl -s queue -v` | M5 | VERIFIED-in-VM (gate `15-queue.sh`: as duas classes com estatísticas) |
+| Paridade da ABI ioctl | `make -C tools abi` (tabelas do abitest) | M1 | VERIFIED-offline (tabela do userland); o diff do lado do kernel é um passo de integração em aberto (`tools/UPSTREAM.md`) |

 ## Núcleo de filtragem

-| Feature | Sintaxe de upstream | Milestone | Status |
+| Feature | Sintaxe upstream | Milestone | Status |
 |---|---|---|---|
-| `pass`/`match`, quick, match por interface/proto/endereço/porta | `pass in quick on wan proto tcp from 10/8 to port 80` | M2 | M2-in-progress (o caminho de dados roda o `pf_test` real; rodada parcial recente: ping de trânsito OK, icmp bloqueado OK) |
-| `block drop` | `block drop in quick …` | M2 | M2-in-progress (gate 02a) |
-| `block return` / `return-rst` / `return-rst after quarter` | `block return-rst in quick proto tcp …` | M2 | M2-in-progress (gate 02b) |
-| `keep state` (icmp/tcp/udp), tabela de estados, purger | `… keep state` | M2 | M2-in-progress |
-| `set state-policy`, `allow-opts` etc. | opções `set …` | M2 | COMPILES-untested |
-| Syncookies (caminho de estouro de estado) | `set syncookies always` | M2 | COMPILES-untested |
-| Tabelas pfr (radix/hash) | `table <blk> persist { 1.2.3.4 }`, `-T add …` | M2 | M2-in-progress (gate 03) |
-| Anchors + include + precedência de quick | `anchor "x"`, `load anchor …` | M2 | M2-in-progress (gate 04) |
-| IPv6 para tudo acima | mesma sintaxe, v6 | M2+ | COMPILES-untested (o engine é completo para v6 por construção; gates v6 smoke planejados) |
-| Tráfego não-IPv4/IPv6 (ARP…) | — | M2 | PFLINUX por construção: hooks netfilter só de IPv4/IPv6 — ARP nunca entra no caminho do PF (sem gate ainda) |
+| `pass`/`match`, quick, on-interface/proto/addr/port | `pass in quick on wan proto tcp from 10/8 to port 80` | M2 | VERIFIED-in-VM (gate `01-state.sh`: ping de trânsito atravessando o firewall) |
+| `block drop` | `block drop in quick …` | M2 | VERIFIED-in-VM (gate `02-block.sh`: o ping morre e os contadores provam) |
+| `block return` / `return-rst` / `return-rst after quarter` | `block return-rst in quick proto tcp …` | M2 | VERIFIED-in-VM (gate `02-block.sh`: o `nc` do cliente recebe RST) |
+| `keep state` (icmp/tcp/udp), tabela de estados, purger | `… keep state` | M2 | VERIFIED-in-VM (gate `01-state.sh`; o estado aparece no `pfctl -ss`) |
+| `set state-policy`, `allow-opts`, etc. | opções `set …` | M2 | COMPILES-untested |
+| Syncookies (caminho de overflow de estados) | `set syncookies always` | M2 | COMPILES-untested |
+| Tabelas pfr (radix/hash) | `table <blk> persist { 1.2.3.4 }`, `-T add …` | M2 | VERIFIED-in-VM (gate `03-tables.sh`) |
+| Anchors + include + precedência de quick | `anchor "x"`, `load anchor …` | M2 | VERIFIED-in-VM (gate `04-anchors.sh`) |
+| IPv6 para tudo acima | mesma sintaxe, v6 | M2+ | COMPILES-untested — o engine é completo para v6 por construção, mas o caminho v6 não é exercitado por gate |
+| Tráfego não-IPv4/IPv6 (ARP…) | — | M2 | PFLINUX por construção: só os hooks netfilter IPv4/IPv6 — ARP nunca entra no caminho do PF (sem gate) |

 ## NAT / normalização (M3)

-| Feature | Sintaxe de upstream | Milestone | Status |
+| Feature | Sintaxe upstream | Milestone | Status |
 |---|---|---|---|
-| `nat-to` (pools de portas, sticky-port, static-port) | `pass out … nat-to (eth1:0)` | M3 | **VERIFICADO em lab** — NAT de origem funciona ponta a ponta: o pacote sai com o endereço do pool (prova via tcpdump), a resposta é des-NATeada e roteada de novo para o cliente, e o estado mostra as duas tuplas (`10.0.2.1:59335 (10.0.1.10:4380) -> 10.0.2.20:8`). Gate: `tests/vm/05-nat.sh`. |
-| `rdr-to` | `pass in … to <fw> port 8080 rdr-to <srv> port 80 keep state` | M3 | **VERIFICADO em lab** — o redirect de portas funciona ponta a ponta (gate `06-rdr.sh`): o cliente fala com o endereço do firewall, o pf reescreve o destino, re-rotea o pacote e a resposta é des-redirectuada. O gate também baixa 2 MB pelo redirect e confere a integridade byte a byte (guarda de regressão GSO/TSO). |
-| `binat-to` | `pass quick proto icmp from 10.0.2.20 to 10.0.1.10 binat-to 10.0.2.50 keep state` | M3 | **VERIFICADO em lab** — gate `07-binat.sh`. O pfctl expande uma regra `binat-to` no par documentado (`pass out … nat-to <mapeado> static-port` + `pass in … rdr-to <real>`), e as duas metades funcionam: o peer vê o endereço mapeado, o original não vaza, e a resposta é traduzida de volta. |
-| Scrub/normalização: remonteagem, `fragment drop-overlap`, `min-ttl`, `max-mss`, `df`/`no-df`, `random-id`, `set reassemble yes` | `match in all scrub (min-ttl 100 max-mss 500)` | M3 | **VERIFICADO em lab** — gate `09-scrub.sh`: `min-ttl` eleva o TTL (o egress mostra 99 após o decremento do encaminhamento) e `max-mss` limita o MSS de um SYN, ambos medidos no egress do próprio firewall. Os caminhos de remonteagem/overlap estão compilados e alcançados, mas ainda sem gate. |
-| Fingerprint de SO em estados | `pass … set os A` + `/etc/pf.os` | bônus | COMPILES-untested (`pf_osfp.c` compilado; sem empacotamento de fingerprints ainda — ausência de `/etc/pf.os` é tolerada) |
+| `nat-to` (pools de portas, sticky-port, static-port) | `pass out … nat-to (eth1:0)` | M3 | **VERIFIED-in-VM** — gate `05-nat.sh`: o NAT de origem funciona de ponta a ponta (prova por tcpdump), a resposta é des-NATeada e re-encaminhada para o cliente, e o estado mostra as duas tuplas (`10.0.2.1:59335 (10.0.1.10:4380) -> 10.0.2.20:8`). |
+| `rdr-to` | `pass in … to <fw> port 8080 rdr-to <srv> port 80 keep state` | M3 | **VERIFIED-in-VM** — gate `06-rdr.sh`: o cliente fala com o endereço do firewall, o pf reescreve o destino, re-encaminha o pacote, e a resposta é des-redirecionada. O gate também puxa 2 MB pelo redirect e confere a integridade byte a byte (guarda de regressão GSO/TSO). |
+| `binat-to` | `pass quick proto icmp from 10.0.2.20 to 10.0.1.10 binat-to 10.0.2.50 keep state` | M3 | **VERIFIED-in-VM** — gate `07-binat.sh`. O pfctl expande uma regra `binat-to` no par documentado (`pass out … nat-to <mapped> static-port` + `pass in … rdr-to <real>`), e as duas metades funcionam: o par vê o endereço mapeado, o original nunca vaza, e a resposta é traduzida de volta. |
+| Pools de NAT (`round-robin`, `source-hash`) | `nat-to { 10.0.2.1, 10.0.3.1 } round-robin` | M4 | **VERIFIED-in-VM** — gate `10-pools.sh`, e visível no screencast: o round-robin alterna o endereço de origem entre os membros (3 pacotes cada), o source-hash mantém uma origem em um membro só. |
+| Scrub/normalize: remontagem, `fragment drop-overlap`, `min-ttl`, `max-mss`, `df`/`no-df`, `random-id`, `set reassemble yes` | `match in all scrub (min-ttl 100 max-mss 500)` | M3 | **VERIFIED-in-VM** — gate `09-scrub.sh`: o `min-ttl` aumenta o TTL (egresso mostra 99 depois do decremento do forward) e o `max-mss` limita a opção MSS do SYN, ambos medidos no egresso do próprio firewall. Os caminhos de remontagem/overlap compilam e são alcançados, mas não têm gate. |
+| Fingerprint de OS nos estados | `pass … set os A` + `/etc/pf.os` | bonus | COMPILES-untested (`pf_osfp.c` compilado; ainda sem o pacote de fingerprints — a ausência de `/etc/pf.os` é tolerada) |

 ## Roteamento / divert / filas / logging

-| Feature | Sintaxe de upstream | Milestone | Status |
+| Feature | Sintaxe upstream | Milestone | Status |
 |---|---|---|---|
-| Pools de `route-to` (`rr`, `round-robin`, `source-hash`, `hash`), `reply-to`, `dup-to` | `pass in … route-to { 10.0.3.2, 10.0.2.2 } round-robin keep state` | M4 | **`round-robin` e `source-hash` VERIFICADOS em lab** (gate `10-pools.sh`): com dois gateways em dois enlaces, o round-robin usa ambos e o source-hash fixa todo fluxo de uma origem em um único enlace. `dup-to` verificado no gate 08; `reply-to` ainda sem gate. `fail-to` **não existe no OpenBSD 8.0** (removido upstream), então está fora de escopo. |
-| `divert-to` / tag `divert` | `pass in … divert-to <host> port <n>` | VERIFICADO em lab | **Funciona ponta a ponta.** O módulo registra em runtime a família de sockets `AF_DIVERT` (`PF_DIVERT=32`) — sem patch no kernel. A regra `divert-to` entrega o pacote a essa família; sem listener o pacote é descartado (`divs_noport`, paridade BSD); com `tools/pdivert` rodando o pacote vai ao userspace, é reescrito e reinjetado (verificado com mutação de payload + correção de checksum, ping 0% loss). |
-| Filas (`queue`, `queue on`, `pfctl -s queue -v`) | `queue rootq on eth2 bandwidth 10Mbit` + `queue leafq on eth2 bandwidth 2Mbit parent rootq default` | M5 | **VERIFICADO em lab** — gate `15-queue.sh`: a configuração de filas carrega, a disciplina hfsc é anexada à interface, `pfctl -s queue -v` lista as duas classes com estatísticas, um fluxo de 2 MB pela fila completa, e o contador de pacotes da classe avança (o escalonador está no caminho de dados). Note que `bandwidth` é *linkshare* do HFSC - garantia sob contenção, não teto: o pf.conf do OpenBSD 8.0 não tem `minimum`/`maximum`, então um fluxo isolado não é limitado, nem no Linux nem no OpenBSD. |
-| HFSC | `queue on wan { hfsc … }` | M5 | COMPILES-untested — **fallback priq até o M5**; `pfsrc/hfsc.c` staged (código real do OpenBSD 8.0) mas **fora da lista de objetos** do módulo |
-| FQ-CoDel | `queue on wan { fq_codel … }` | M5 | COMPILES-untested — igual ao HFSC: staged, não compilado |
-| Qdisc `pfq` (`tc qdisc … root pfq`) | n/a (glue Linux) | M5 | PENDING-M5 (ainda não existe na árvore) |
-| pflog (`log`, `log all`, `block log`) + `pflogd` pcap (DLT_PFLOG) | `pass out quick log` + `pflogd /tmp/x.pcap` | M4 | **VERIFICADO em lab** — gate `12-pflog.sh`: os pacotes logados são enfileirados pelo engine, lidos via `/dev/pflog` e gravados como pcap com linktype DLT_PFLOG (117); o dump contém os bytes reais do pacote. Desvio: um chardev em vez de interface if_pflog/bpf (Linux não tem bpf sobre essa interface virtual aqui); o layout do registro é byte-compatível com `pflog(4)` do OpenBSD. `if_pflog.c` permanece fora do build. |
+| `route-to` / `dup-to` / `reply-to` | `pass in … route-to { 10.0.3.2 } keep state`, `reply-to { gw }` | M4 | **VERIFIED-in-VM** — gates `08-routeto.sh` (o route-to sai pelo link do gateway, o dup-to copia mantendo o fluxo) e `13-replyto.sh` (a resposta de um fluxo é forçada para o link do gateway em vez do cliente). Divergência: o próximo salto forçado é instalado definindo `rt_gw4`/`rt_gw_family` na rota consultada (o Linux só faz ARP do gateway quando a rota declara um). `fail-to` **não é palavra-chave no OpenBSD 8.0** (removido upstream), logo está fora de escopo. |
+| `divert-to` / tag `divert` | `pass in … divert-to <host> port <n>` | M4 | **VERIFIED-in-VM** — gate `11-divert.sh`. O módulo registra uma família de sockets `AF_DIVERT` (`PF_DIVERT=32`) em runtime — sem patch no kernel. Uma regra `divert-to` entrega o pacote a essa família; sem listener o pacote é descartado (`divs_noport`, paridade com o BSD); com o `tools/pdivert` rodando o pacote vai para o userspace, é reescrito e reinjetado (verificado com mutação do payload + correção de checksum, ping com 0% de perda). |
+| Filas (`queue`, `queue on`, `pfctl -s queue -v`) | `queue rootq on eth2 bandwidth 10Mbit` + `queue leafq on eth2 bandwidth 2Mbit parent rootq default` | M5 | **VERIFIED-in-VM** — gate `15-queue.sh`: a configuração de filas carrega, a disciplina hfsc é anexada à interface, `pfctl -s queue -v` lista as duas classes com estatísticas, um fluxo de 2 MB pela fila completa, e o contador de pacotes da classe avança (o escalonador está no caminho de dados). Note que `bandwidth` é *linkshare* do HFSC — garantia sob contenção, não teto: o pf.conf do OpenBSD 8.0 não tem `minimum`/`maximum`, então um fluxo isolado não é limitado, nem no Linux nem no OpenBSD. |
+| HFSC | `queue on wan { hfsc … }` | M5 | **VERIFIED-in-VM** — o `pfsrc/hfsc.c` (código real do OpenBSD 8.0) está na lista de objetos do módulo e é a disciplina que o gate exercita. As classes usam o `net/hfsc.h` vendorizado (classe raiz `0x10000`, classe default `0x1000`) compartilhado com o `pfctl`, então a ABI de estatísticas bate nos dois lados. |
+| FQ-CoDel | `queue on wan { fq_codel … }` | M5 | COMPILES-untested — o `pfsrc/fq_codel.c` é compilado dentro do `pf.ko` e o `net/fq_codel.h` vendorizado é compartilhado com o `pfctl`, mas nenhum gate o exercita. |
+| Interface `pfq` | n/a (interfaces BSD `ifq`/`pfq`, não um qdisc `tc` do Linux) | M5 | **VERIFIED-in-VM** — o port mantém a forma do BSD: `compat/pfk_ifq.c` implementa as interfaces `ifq_ops`/`pfq_ops` e os back ends do OpenBSD se plugam nelas (`pfq` nunca foi um qdisc `tc` do Linux, nem nunca pretendeu ser). priq é a disciplina default. |
+| pflog (`log`, `log all`, `block log`) + pcap do `pflogd` (DLT_PFLOG) | `pass out quick log` + `pflogd /tmp/x.pcap` | M4 | **VERIFIED-in-VM** — gate `12-pflog.sh`: os pacotes logados são enfileirados pelo engine, lidos por `/dev/pflog` e escritos como pcap com linktype DLT_PFLOG (117); o dump contém os bytes reais do pacote. Divergência: um chardev em vez de uma interface if_pflog/bpf (o Linux não tem bpf sobre uma interface virtual dessas aqui); o layout do registro é byte a byte compatível com o `pflog(4)` do OpenBSD. O `if_pflog.c` continua fora da build. |

-## Não-objetivos (explícitos)
+## Fora de escopo (explícito)

 | Item | Motivo |
 |---|---|
-| Failover `pfsync` / CARP | não-objetivo (spec §3) |
-| IPsec / pfkey | não-objetivo |
-| `ftp-proxy` e daemons de userland | não-objetivo |
-| Instâncias PF por netns | port fiel = instância global única em `init_net` |
-| Agendadores exclusivos do ALTQ clássico (cbq/wfq/red…) | removidos do upstream antes do OpenBSD 8.0 — impossível portar da base |
-| Labels de rota (`route-label`) | não-objetivo; a camada de ioctl rejeita regras com label |
+| Failover `pfsync` / CARP | fora de escopo (spec §3) |
+| IPsec / pfkey | fora de escopo |
+| `ftp-proxy` e daemons de userland | fora de escopo |
+| Instâncias PF por netns | port fiel = uma instância global no `init_net` |
+| Agendadores exclusivos do ALTQ clássico (cbq/wfq/red…) | removidos upstream antes do OpenBSD 8.0 — impossíveis de portar a partir da base |
+| Routing labels (`route-label`) | fora de escopo; a camada de ioctl rejeita regras com label |
+| `af-to` (tradução IPv4↔IPv6) | o código está sob `#ifdef INET6` e este build tem `INET6 0`; habilitá-lo é um milestone à parte, não uma feature faltando na base |
@@ -21,7 +21,7 @@ bit a bit entre kernel e userland (codificação de ioctl em

 | Caminho | Papel |
 |---|---|
-| `module/pfsrc/` | Arquivos portados do OpenBSD: `pf.c` (engine), `pf_ioctl.c` (ABI DIOC*), `pf_norm.c` (scrub/fragmentos), `pf_table.c`, `pf_ruleset.c`, `pf_if.c`, `pf_lb.c` (pools/portas NAT), `pf_osfp.c`, `pf_syncookies.c`, `ifq.c`/`hfsc.c`/`fq_codel.c` (staged para M5), `if_pflog.c` + `ip_divert.c` (referências staged), `divert_sock.c` (stub de entrada do divert), `pfk_mod.c` (load/exit, `/dev/pf`), `pfk_hooks.c` (caminho de dados netfilter) |
+| `module/pfsrc/` | Arquivos portados do OpenBSD: `pf.c` (engine), `pf_ioctl.c` (ABI DIOC*), `pf_norm.c` (scrub/fragmentos), `pf_table.c`, `pf_ruleset.c`, `pf_if.c`, `pf_lb.c` (pools/portas NAT), `pf_osfp.c`, `pf_syncookies.c`, `hfsc.c`/`fq_codel.c` (back ends de fila, no módulo), `divert_sock.c` (família AF_DIVERT), `pfk_pflog.c` (back end do pflog), `pfk_mod.c` (load/exit, `/dev/pf`), `pfk_hooks.c` (caminho de dados netfilter) |
 | `module/compat/` | Infra Linux sob os fontes em forma BSD: shim mbuf-sobre-`sk_buff` (`pfk_mbuf`), glue de kernel (malloc/pools/timeouts/locks, `pfk_kern`), visão de interfaces e endereços (`pfk_if`), saída/forward IP com semântica BSD (`pfk_ip4`, `pfk_ip6`), busca de sockets (`pfk_pcb`), API ifq com semântica priq (`pfk_ifq`), radix/rotas/crypto portados |
 | `module/include/` | `pfk.h` (header mestre da compat + codificação `_IO*` estilo OpenBSD), `net/pfvar.h` staged, `pfk_mbuf.h`, `pfk_net.h`, `pfk_if.h` |
 | `tools/` | Build Linux do `pfctl` do OpenBSD 8.0 (binário único), relay `pdivert`, verificador de ABI (`abitest` + `make abi`), testes de parse offline (`make test`). Deltas vs upstream: `tools/UPSTREAM.md` |
@@ -71,31 +71,39 @@ tamanho embutido na codificação `_IOR/_IOW` OpenBSD e despacha para o

 ## Filas, divert, pflog — comportamento observável hoje

- **Filas**: o `pfctl` faz o parse de `queue`/`queue on` (sintaxe 8.0); no
-  kernel a API ifq é implementada por `compat/pfk_ifq.c` com **semântica
-  priq apenas**; o qdisc classful `pfq` e os back ends HFSC/FQ-CoDel chegam
-  em **M5**. `ifq.c`/`hfsc.c`/`fq_codel.c` estão staged e prontos para
-  compilar, mas ainda **não** estão na lista de objetos do módulo.
- **Divert**: `divert-to`/tag `divert` produzem o veredito `PF_DIVERT` do PF;
-  `divert_packet()` (`pfsrc/divert_sock.c`) hoje **descarta o pacote com um
-  `pr_warn` rate-limited**, porque a família de sockets AF_DIVERT ainda não
-  foi instanciada. O relay userspace `pdivert` existe e espera
-  `socket(PF_DIVERT=32, SOCK_RAW, IPPROTO_DIVERT=254)`.
- **pflog**: `pflog_packet()` retorna sucesso mas **não loga nada** (um
-  único `pr_warn "packet not logged"`); `if_pflog.c` está staged, back end
-  netlink em M4/M5.
+- **Filas**: o `pfctl` faz o parse da sintaxe `queue`/`queue on` do OpenBSD 8.0
+  e o kernel a implementa na forma do BSD: `compat/pfk_ifq.c` fornece as
+  interfaces `ifq_ops`/`pfq_ops` e os back ends do OpenBSD (`pfsrc/hfsc.c`,
+  `pfsrc/fq_codel.c`) se plugam nelas; **priq** é a disciplina default. O
+  gate `15-queue.sh` prova a disciplina **hfsc** de ponta a ponta: a
+  configuração de filas carrega, a disciplina é anexada à interface, o
+  `pfctl -s queue -v` lista as duas classes com estatísticas, um fluxo de 2 MB
+  pela fila completa e o contador de pacotes da classe avança. Os handles de
+  classe e as structs de estatísticas vêm do próprio `net/hfsc.h` e
+  `net/fq_codel.h` do OpenBSD, vendorizados para que kernel e `pfctl` não
+  puedan divergir.
+- **Divert**: `divert-to`/tag `divert` produzem o veredito `PF_DIVERT` do PF e
+  o módulo registra uma família de sockets `AF_DIVERT` (`PF_DIVERT=32`) em
+  runtime — sem patch no kernel. Sem listener o pacote é descartado
+  (`divs_noport`, paridade com o BSD); com o relay `pdivert` rodando o pacote
+  vai para o userspace, é reescrito e reinjetado. Gate `11-divert.sh`.
+- **pflog**: o engine enfileira os pacotes logados, `pfsrc/pfk_pflog.c` os
+  expõe por `/dev/pflog` e o `tools/pflogd` escreve um pcap DLT_PFLOG cujo
+  layout de registro é byte a byte compatível com o `pflog(4)` do OpenBSD.
+  Gate `12-pflog.sh`. A divergência em relação ao upstream é o transporte (um
+  chardev em vez de uma interface `if_pflog`/bpf), não o formato.

 ## Milestones (status por feature em feature-matrix.md)

-| Milestone | Escopo | Status (2026-11-11) |
+| Milestone | Escopo | Status |
 |---|---|---|
 | M0 | repo, scripts, build do kernel, VM liga com kernel próprio | concluído |
 | M1 | camada de compat, `pf.ko` carrega, `/dev/pf`, `pfctl -f`/`-s info` | concluído |
 | M2 | núcleo do filtro: regras/estados/tabelas/âncoras, gates VM | **pronto** — gates 01–04 verdes |
 | M3 | NAT (`nat-to`/`rdr-to`/`binat-to`), scrub, pflog | **pronto** — gates 05/06/07/09 (incl. integridade de 2 MB via redirect) e pflog gate 12 |
 | M4 | route-to/dup-to/reply-to, pools, divert e2e | **pronto** — gates 08/10/13 e divert gate 11 |
-| M5 | filas: back ends ifq (hfsc/fq_codel) | **parcial** — back ends compilados no `pf.ko`; anexação/ritmo pendentes |
-| M6 | docs completas, patchset limpo, suíte verde, releases com tag | em andamento — docs EN+PT-BR completas, suíte 14/14 verde, com tag |
+| M5 | filas: back ends ifq (hfsc/fq_codel) | **concluído (mecânico)** — gate 15: o hfsc é anexado, `pfctl -s queue -v` mostra as stats das classes, um fluxo de 2 MB pela fila é contado pela classe. `bandwidth` = linkshare do HFSC (garantia sob contenção, não teto) |
+| M6 | docs completas, patchset limpo, suíte verde, releases com tag | **concluído** — docs EN+PT-BR, suíte 15/15 verde, tag `v1.0.0` |

 ## Próximas leituras

@@ -75,22 +75,36 @@ Como a entrega é um módulo out-of-tree, "aplicar o conjunto" = passos
 milestone acrescentar `patches/kernel/000N-*.patch` documentado (cada patch:
 uma seção em docs/pt-BR/patches.md com o quê/por quê/impacto/reversão).

-## 6. Notas sobre os passos acima (2026-11-11)
+## 6. Notas sobre os passos acima (2026-11-12)

 - O passo **2.3 é um no-op documentado hoje**: o conjunto de patches está
  vazio e os scripts `scripts/apply-patches.sh` / `scripts/unpatch.sh` e o
  arquivo `patches/kernel/series` ainda não existem na árvore (entram junto
  com o primeiro patch real de core — ver [patches.md](patches.md)). Pode
  pular 2.3 com segurança.
- O passo 2.4 compila apenas o `pfctl` e o verificador de ABI (alvos de
-  `make -C tools`: `pfctl abitest abi test clean`). `pdivert` existe como
-  arquivo-fonte sem alvo no Makefile por enquanto; `pflogd` ainda não foi
-  portado.
- Depois do 2.5, o que dá para usar de verdade é o núcleo de filtragem M2
-  (pass/block/quick/keep state/tabelas/anchors); NAT/scrub/queues/divert/
-  pflog dependem dos próximos milestones — consulte a
-  [matriz de features](feature-matrix.md) e leia [pf-guide.md](pf-guide.md)
-  antes de habilitar PF num caminho que você precisa manter vivo.
+- O passo 2.4 compila todas as ferramentas de userland: os alvos de
+  `make -C tools` são `pfctl`, `pdivert`, `pflogd` e o verificador de ABI
+  (`abitest`, `abi`, `test`, `clean`).
+- Depois do 2.5, todo o conjunto de features é usável e coberto pela suíte do
+  lab — filtragem com estado, tabelas e anchors, NAT (`nat-to`/`rdr-to`/
+  `binat-to` e pools), scrub, roteamento forçado (`route-to`/`dup-to`/
+  `reply-to`), `divert`, `pflog` e as filas do OpenBSD 8.0 (HFSC). A
+  [matriz de features](feature-matrix.md) diz qual gate prova o quê; leia
+  [pf-guide.md](pf-guide.md) para conhecer as divergências antes de habilitar
+  o PF num caminho que você precisa manter vivo.
+
+## 6.1 Opcional: os screencasts narrados
+
+```sh
+export MINIMAX_API_KEY=...          # TTS do MiniMax para a narração
+./scripts/vm-create.sh               # o lab precisa estar no ar
+./scripts/screencast/build-all.sh    # -> out/screencast/{en,pt}/*.mp4
+```
+
+O pipeline grava sessões shell reais contra o lab, gera a narração com uma
+voz feminina do MiniMax (inglês e português) e renderiza MP4 1080p30 com
+legendas queimadas e o diagrama de rede do lab. Detalhes:
+[screencast.md](screencast.md).

 ## 7. Para onde ir agora

@@ -3,11 +3,12 @@
 English: [docs/en/pf-guide.md](../en/pf-guide.md).

 Este é o guia do "o que dá para rodar hoje". Ele segue a
-[matriz de features](feature-matrix.md): o escopo do **M2 (núcleo de
-filtragem: pass/block/quick/keep state/tabelas/anchors + habilitar/
-desabilitar)** tem evidência em VM; tudo além disso é COMPILES-untested ou
-PENDING. Instalação/build ficam em [install.md](install.md) e
-[build.md](build.md).
+[matriz de features](feature-matrix.md): o núcleo de filtragem
+(pass/block/quick/keep state/tabelas/anchors), a família de NAT, o scrub, o
+roteamento forçado, os pools, o `divert`, o `pflog` e as filas do OpenBSD
+8.0 têm todos **evidência em VM** — os 15 gates do lab estão verdes. O que
+*não* tem gate está listado explicitamente abaixo. Instalação/build ficam em
+[install.md](install.md) e [build.md](build.md).

 ## Ciclo diário

@@ -26,7 +27,7 @@ sudo rmmod pf                     # descarrega (regras/estados são liberados aq

 > **Atenção — a ordem importa**: `-f` e depois `-e`. Habilitar sem uma regra `pass`
 > que cubra o caminho de administração corta esse caminho — este port segue
-> a política padrão de bloqueio do OpenBSD, e as rodadas do gate M2
+> a política padrão de bloqueio do OpenBSD, e as rodadas do lab
 > *realmente derrubaram o ssh da VM de teste* assim (a bancada mantém console
 > serial exatamente por isso). Num host remoto, libere a interface de
 > gerência antes de habilitar qualquer coisa.
@@ -34,8 +35,8 @@ sudo rmmod pf                     # descarrega (regras/estados são liberados aq
 ## Um ruleset que funciona neste port hoje

 ```pf
-# /etc/pf.conf — apenas escopo M2. Os nomes de interface aqui são os da
-# bancada (mgmt/lan/wan); troque pelos seus (eth0, enp1s0, …).
+# /etc/pf.conf. Os nomes de interface aqui são os da bancada
+# (mgmt/lan/wan); troque pelos seus (eth0, enp1s0, …).

 # 1) mantenha você mesmo alcançável (faça isso primeiro, sempre)
 pass in  quick on mgmt
@@ -59,7 +60,11 @@ tudo isso offline — mas o *comportamento no kernel* da maioria das opções
 `set` ainda não foi verificado em gate; trate como "carrega e reza" até a
 matriz mudar.

-## O que evitar até os milestones chegarem
+**Sem gate** (lacunas honestas): o caminho IPv6, o fingerprint de OS, as
+opções `set` acima, os syncookies e a disciplina FQ-CoDel. O `af-to` está
+compilado fora neste build (`INET6 0`).
+
+## Notas por feature — o que cada sintaxe faz hoje

 | Sintaxe | Até | O que acontece hoje |
 |---|---|---|
@@ -1,58 +1,58 @@
-# Screencasts / Videos da demonstracao
+# Screencasts / Vídeos da demonstração

-> PT-BR: esta pagina · EN: [docs/en/screencast.md](../en/screencast.md)
+> PT-BR: esta página · EN: [docs/en/screencast.md](../en/screencast.md)

-Sete videos por idioma, com **narracao de voz feminina** (MiniMax), **legendas
-queimadas**, **diagrama de rede do lab** e um **filme completo** com transicoes
-entre as fases. 1920x1080 @ 30fps, H.264/MP4 + AAC — prontos para subir no
+Sete vídeos por idioma, com **narração de voz feminina** (MiniMax), **legendas
+queimadas**, **diagrama de rede do lab** e um **filme completo** com transições
+entre as fases. 1920×1080 @ 30fps, H.264/MP4 + AAC — prontos para subir no
 YouTube.

-Cada video e a gravacao de uma **sessao shell real**: uma conexao SSH de verdade
-ao firewall Alpine, com os comandos digitados tecla a tecla e a saida do kernel
-chegando em tempo real. Nada e simulado.
+Cada vídeo é a gravação de uma **sessão shell real**: uma conexão SSH de
+verdade ao firewall Alpine, com os comandos digitados tecla a tecla e a saída
+do kernel chegando em tempo real. Nada é simulado.

 ## As fases

-| # | Video | O que mostra |
+| # | Vídeo | O que mostra |
 |---|-------|--------------|
 | 0 | `00-ambiente.mp4` | O lab: 4 VMs Alpine sob libvirt, as quatro interfaces do firewall e o diagrama de rede completo |
-| 1 | `01-implementacao.mp4` | A implementacao no kernel: fontes do OpenBSD 8.0 + camada de compatibilidade = `pf.ko` |
+| 1 | `01-implementacao.mp4` | A implementação no kernel: fontes do OpenBSD 8.0 + camada de compatibilidade = `pf.ko` |
 | 2 | `02-ativacao.mp4` | `insmod pf.ko`, `/dev/pf`, `pfctl -e`, `pfctl -s info` |
-| 3 | `03-regras.mp4` | Regras basicas: tabela, anchor, `keep state`, `block drop` (o ping morre) |
+| 3 | `03-regras.mp4` | Regras básicas: tabela, anchor, `keep state`, `block drop` (o ping morre) |
 | 4 | `04-roteamento.mp4` | `route-to` e `reply-to`, com o diagrama mostrando o caminho real do pacote |
 | 5 | `05-balanceamento.mp4` | Pool `round-robin`, pool `source-hash` e `dup-to` |
-| 6 | `06-qos.mp4` | Filas `hfsc` do OpenBSD 8.0 e uma transferencia de 2 MB pela classe |
+| 6 | `06-qos.mp4` | Filas `hfsc` do OpenBSD 8.0 e uma transferência de 2 MB pela classe |

 Mais `pf-on-linux-full.mp4`: o filme completo, com as sete fases emendadas por
-transicoes (crossfade sobre um cartao de capitulo).
+transições (crossfade sobre um cartão de capítulo).

 ## Vozes MiniMax

 | Idioma | Voz | Id |
 |--------|-----|-----|
-| Ingles (en_US) | Confident Woman | `English_ConfidentWoman` |
-| Portugues (pt_BR) | Confident Woman | `Portuguese_ConfidentWoman` |
+| Inglês (en_US) | Confident Woman | `English_ConfidentWoman` |
+| Português (pt_BR) | Confident Woman | `Portuguese_ConfidentWoman` |

-O audio e gerado pelo MiniMax TTS, **um arquivo por segmento** de fala. Como cada
-segmento corresponde a uma batida da sessao, a voz comeca exatamente quando a
-acao correspondente aparece na tela.
+O áudio é gerado pelo MiniMax TTS, **um arquivo por segmento** de fala. Como
+cada segmento corresponde a uma batida da sessão, a voz começa exatamente
+quando a ação correspondente aparece na tela.

 ## Como regravar

 ```sh
-# tudo: audio -> sessoes -> videos -> filme completo
+# tudo: áudio -> sessões -> vídeos -> filme completo
 ./scripts/screencast/build-all.sh

-# uma fase so
+# uma fase só
 ./scripts/screencast/build-all.sh 04-roteamento
 ```

 Etapas individuais:

 ```sh
-python3 scripts/screencast/make_audio.py --lang pt      # audio MiniMax
+python3 scripts/screencast/make_audio.py --lang pt      # áudio MiniMax
 python3 scripts/screencast/record.py --plan scripts/screencast/plans/04-roteamento.json \\
-        --out out/screencast/caps/04-roteamento.cast --pace
+        --out out/screencast/caps/04-roteamento.cast --pace --ensure-pf
 python3 scripts/screencast/assemble.py --phase 04-roteamento --lang pt
 python3 scripts/screencast/join.py --lang pt
 ```
@@ -60,64 +60,64 @@ python3 scripts/screencast/join.py --lang pt
 ### Como o pipeline funciona

 ```
-planos/*.json  --record.py-->  caps/*.cast  --render_video.py-->  video mudo
+planos/*.json  --record.py-->  caps/*.cast  --render_video.py-->  vídeo mudo
   (comandos)      (pty real)    (asciicast)     (pyte + PIL)         |
                                                                    |
 narracao/*.json --make_audio.py--> vo/<fase>.<lang>/*.mp3 ----------+
                          (MiniMax TTS)                                |
                                                  assemble.py: mix + legendas
                                                                    |
-                                                          join.py: transicoes
+                                                          join.py: transições
 ```

 Pontos que importam:

-* **Sessao real.** `record.py` abre um pty, faz SSH na VM e digita os comandos um
-  caractere por vez (~34 c/s, com jitter). O `bash --noediting` evita que o
+- **Sessão real.** `record.py` abre um pty, faz SSH na VM e digita os comandos
+  um caractere por vez (~34 c/s, com jitter). O `bash --noediting` evita que o
  editor de linha redesenhe o comando e o tty o repita.
-* **Pacing.** A gravacao segura a tela enquanto a voz fala: cada batida dura no
-  maximo o trecho de audio que a acompanha (o maior entre EN e PT), para uma
-  unica captura servir as duas versoes.
-* **Legendas.** O texto da narracao e queimado no video, na lingua da trilha.
-* **Diagrama.** Nas fases 0, 4 e 5 o mapa do lab e desenhado sobre o terminal, e o
-  caminho em discussao fica destacado (eth1/eth2/eth3).
+- **Pacing.** A gravação segura a tela enquanto a voz fala: cada batida dura no
+  máximo o trecho de áudio que a acompanha (o maior entre EN e PT), para uma
+  única captura servir as duas versões.
+- **Legendas.** O texto da narração é queimado no vídeo, na língua da trilha.
+- **Diagrama.** Nas fases 0, 4 e 5 o mapa do lab é desenhado sobre o terminal,
+  e o caminho em discussão fica destacado (eth1/eth2/eth3).

 Requisitos: `ffmpeg`, `python3` com `PIL` e `pyte`, a fonte DejaVu, a chave
 `MINIMAX_API_KEY` no ambiente, e o lab de VMs no ar.

 ## Onde ficam os arquivos

-| Caminho | Conteudo |
+| Caminho | Conteúdo |
 |---------|----------|
-| `out/screencast/en/`, `out/screencast/pt/` | os videos finais |
-| `out/screencast/caps/` | as capturas asciicast das sessoes |
-| `out/screencast/vo/` | o audio gerado pelo MiniMax |
+| `out/screencast/en/`, `out/screencast/pt/` | os vídeos finais |
+| `out/screencast/caps/` | as capturas asciicast das sessões |
+| `out/screencast/vo/` | o áudio gerado pelo MiniMax |
 | `scripts/screencast/plans/` | o roteiro de comandos de cada fase |
-| `scripts/screencast/narration/` | os textos da narracao (EN e PT) |
+| `scripts/screencast/narration/` | os textos da narração (EN e PT) |

-## Texto de descricao (YouTube)
+## Texto de descrição (YouTube)

 ```
 PF on Linux - o motor do OpenBSD PF 8.0 dentro do kernel Linux

 Port completo do Packet Filter do OpenBSD 8.0 para o kernel Linux 7.3.4,
-empacotado como modulo (pf.ko) e controlado pelo pfctl original do OpenBSD sobre
-a ABI de ioctls do /dev/pf.
+empacotado como módulo (pf.ko) e controlado pelo pfctl original do OpenBSD
+sobre a ABI de ioctls do /dev/pf.

-O lab e real: 4 VMs Alpine sob libvirt, kernel compilado do fonte com o modulo,
-trafego real entre cliente, firewall e servidor.
+O lab é real: 4 VMs Alpine sob libvirt, kernel compilado do fonte com o
+módulo, tráfego real entre cliente, firewall e servidor.

 Fases:
 0. O ambiente de testes - as 4 VMs e o diagrama de rede
-1. Implementacao no kernel - das fontes OpenBSD ao pf.ko
-2. Ativacao - insmod, /dev/pf, pfctl -e, pfctl -s info
-3. Regras basicas - tabelas, anchors, keep state, block drop
+1. Implementação no kernel - das fontes OpenBSD ao pf.ko
+2. Ativação - insmod, /dev/pf, pfctl -e, pfctl -s info
+3. Regras básicas - tabelas, anchors, keep state, block drop
 4. Roteamento - route-to e reply-to, com o caminho real no diagrama
 5. Balanceamento - pools round-robin, source-hash e dup-to
 6. QOS - filas hfsc do OpenBSD 8.0 no caminho de dados

-Suite automatizada: 15 gates, todos verdes.
-Codigo e documentacao: https://git.labexposed.com/lgcosta/pf-linux-port
+Suíte automatizada: 15 gates, todos verdes.
+Código e documentação: https://git.labexposed.com/lgcosta/pf-linux-port

 #linux #kernel #openbsd #pf #firewall #netfilter #screencast
 ```
@@ -65,6 +65,21 @@ O `vm-create.sh` termina validando `ssh pf0 'ip -br a'` e deixa todas as VMs
 ligadas. Os aliases de ssh do laptop (`pf0|cli|srv|gw2`, ProxyJump via deb)
 são gerados em `~/.ssh/config.d/pflab`.

+**Do pf0 para as outras VMs.** O firewall tem seu próprio par de chaves e os
+pares confiam nele, então uma sessão no pf0 pode pilotar o cliente e o
+servidor diretamente — é isso que os screencasts fazem
+(`ssh cli 'ping …'`):
+
+```sh
+# uma vez por lab, a partir do hypervisor
+ssh pf0 'ssh-keygen -t ed25519 -N "" -C pf0 -f /root/.ssh/id_ed25519'
+# depois autorizar essa chave pública no cli, no srv e no gw2
+```
+
+O `/root/.ssh/config` do pf0 mapeia os nomes curtos `cli`, `srv` e `gw2`
+para 10.0.1.10, 10.0.2.20 e 10.0.3.2, e o `/etc/hosts` traz o mesmo
+mapeamento.
+
 ## 4. Rodando a suíte

 ```sh
@@ -82,30 +97,55 @@ e sai com código diferente de zero se algo falhou.

 ## 5. O que cada gate prova hoje

-| Gate | Cenário (verificado com tráfego real, não com código de saída) |
+Cada gate afirma **tráfego real e estado observável**, nunca apenas um código
+de saída: o pacote chega, é descartado ou é traduzido, e a prova é lida de
+volta nos contadores do próprio firewall, na tabela de estados, em capturas de
+pacote ou no par.
+
+A lista completa está na §6 (15 gates, todos verdes). Cada gate é um script
+shell em `tests/vm/` que fala com as VMs através do deb com ssh aninhado,
+usando os helpers de `tests/vm/lib.sh` (`pf0`, `cli`, `srv`, `gw2`, `pfput`,
+`pfload`, `ok`, `bad`). O `scripts/vm-run-tests.sh` roda tudo em ordem e
+guarda `out/test-logs/<gate>.sh.log`.
+
+O que **não** tem gate (lacunas honestas): o caminho IPv6, o fingerprint de
+OS, as opções `set` (`state-policy`, `allow-opts`) e os syncookies — o código
+compila dentro do `pf.ko`, mas nenhum gate os exercita. O FQ-CoDel compila e
+compartilha o header de estatísticas com o `pfctl`, mas só a disciplina
+**hfsc** é exercitada.
+
+**Não existe gate numérico de performance**: o `bench-basic.sh` não está na
+árvore e nenhuma meta de vazão é reivindicada.
+
+## 6. Status atual da suíte (2026-11-12)
+
+**15/15 gates verdes.** Uma rodada completa e limpa
+(`./scripts/vm-run-tests.sh`, ~9 min) recria e reinicia o `pftest-pf0` antes
+de cada gate, reimplanta o módulo e as ferramentas, e termina com
+`PASS=15 FAIL=0`. Os logs capturados ficam em
+`out/test-logs/<gate>.sh.log`.
+
+| Gate | O que prova hoje |
 |---|---|
-| `01-state.sh` | `pass in/out quick proto icmp keep state` → cli pinga srv **através** do pf0 (trânsito); depois o pf0 lista um estado icmp via `pfctl -s states` |
-| `02-block.sh` | `block drop in quick proto icmp` → o ping do cli falha; `block return-rst in quick proto tcp … port 8080` → o `nc` do cli para srv:8080 é recusado (RST), checado pelo código de saída do nc |
-| `03-tables.sh` | `table <blk> { 10.0.1.10 }` + `block in quick from <blk>` → `pfctl -t blk -T show` lista; o ping do cli é bloqueado; `-T delete` ao vivo libera o fluxo |
-| `04-anchors.sh` | regra de anchor (`-a restricted -f`) liberando icmp é avaliada **antes** do `block` do ruleset principal (posicionamento top/quick); `pfctl -s Anchors` lista o anchor |
+| `01-state.sh` | `keep state` em um ping de trânsito; o estado aparece no `pfctl -ss` |
+| `02-block.sh` | `block drop` mata o ping; `block return-rst` devolve RST ao cliente |
+| `03-tables.sh` | uma tabela `pfr` bloqueia um host; um `-T delete` ao vivo libera o mesmo fluxo |
+| `04-anchors.sh` | a regra de um anchor é avaliada antes de um `block` posterior do ruleset principal |
+| `05-nat.sh` | NAT de origem: o pacote sai com o endereço do pool e a resposta é des-NATeada |
+| `06-rdr.sh` | redirect de porta de ponta a ponta, mais 2 MB passando com integridade byte a byte |
+| `07-binat.sh` | `binat-to`: o par vê o endereço mapeado e o original nunca vaza |
+| `08-routeto.sh` | `route-to` sai pelo link do gateway; `dup-to` copia e mantém o fluxo |
+| `09-scrub.sh` | `min-ttl` e `max-mss` medidos no egresso do próprio firewall |
+| `10-pools.sh` | seleção do pool de NAT (`round-robin`, `source-hash`) |
+| `11-divert.sh` | `divert-to` para o relay `pdivert`: o pacote vai para o userspace e volta |
+| `12-pflog.sh` | os pacotes logados chegam a `/dev/pflog` e viram um pcap DLT_PFLOG |
+| `13-replyto.sh` | `reply-to` força a resposta para o link do gateway |
+| `14-soak.sh` | reload de ruleset sob tráfego, ciclo de `rmmod`, checagem de vazamento |
+| `15-queue.sh` | filas hfsc: anexação, estatísticas da classe, um fluxo de 2 MB contado pela classe |

-Gates planejados (documento de plano, T11–T18): 05-nat, 06-rdr, 07-binat,
-08-scrub (scapy), 09-routeto, 10-dup-fail, 11-divert, 12-queues (tolerância
-de ±15% no rate do iperf), 13-pflog, 14-soak (reload sob tráfego + ciclo de
-rmmod + kmemleak). IPv6 é smoke test para state/block/nat66/scrub. O
-`bench-basic.sh` (planejado, ainda não está na árvore) é informativo; não
-existe gate numérico de performance.
-
-## 6. Status atual da suíte (2026-11-11, com honestidade)
-
-Os gates 01–04 do M2 existem e rodam, mas **ainda não estão todos verdes** —
-o caminho de dados (modelo netisr/workqueue) e a visibilidade de estados
-estão sendo corrigidos no trabalho do gate M2. A última rodada capturada
-(`out/test-logs/`) mostra o estado misto: ping de trânsito OK / listagem de
-estado falhando no 01, icmp bloqueado OK no 02, resultados parciais no 03, 04
-abortado. Trate "VERIFIED-in-VM" na
-[matriz de features](feature-matrix.md) como reservado a gates que passam
-numa rodada completa e limpa; nada além do M1 é declarado VERIFIED até lá.
+Os screencasts ([screencast.md](screencast.md)) mostram boa parte desses
+gates sendo executados, com o diagrama de rede do lab desenhado sobre o
+terminal.

 ## 7. Inspeção manual