FreeBSD 7.1
le0 - смотрит в интернет
le1 - смотрит в локалку (192.168.20.0/24)

если отключаю PF, то на машине из локалки (192.168.20.22) интернет работает, а вот при включении PF и запуске NAT не срабатывает команда nat pass:

scrub in all
nat pass on le0 from 192.168.20.22 to any -> (le0)
block all

и интернет пропал...

я понимаю так, что фильтрация пакетов (block all) должна применяться после применения nat, а после nat pass к этому трафику вообще не применяются никакие правила фильтрации.... но у меня в этом случае (block all) интернет на машине 192.168.20.22 исчезает
куда рыть?

• не запускается NAT в PF,reader, 16:01 , 31-Авг-09
  • не запускается NAT в PF,gerram, 06:08 , 01-Сен-09
    • не запускается NAT в PF,reader, 10:30 , 01-Сен-09
      • не запускается NAT в PF,gerram, 10:43 , 03-Сен-09
    • не запускается NAT в PF,gerram, 12:18 , 01-Сен-09
      • не запускается NAT в PF,reader, 12:33 , 01-Сен-09
        • не запускается NAT в PF,gerram, 10:45 , 03-Сен-09
          • не запускается NAT в PF,reader, 11:27 , 03-Сен-09
            • не запускается NAT в PF,gerram, 11:33 , 03-Сен-09
              • не запускается NAT в PF,reader, 12:07 , 03-Сен-09
                • не запускается NAT в PF,gerram, 12:31 , 03-Сен-09

а на le1 наверно ничего разрешать не нужно

то есть в такой конфигурации NAT не работает? тогда в какой работает?

>то есть в такой конфигурации NAT не работает? тогда в какой работает?
>

причем тут NAT если через le1 все запрещено.

в pf.conf
block log all

в rc.conf
pflog_logfile="/var/log/pf.log"

и смотрите что блокируете
tcpdump -n -tttt -e -r /var/log/pf.log | more

добавте pass on le1 all и потом проверяйте.

открыл и le0 и le1, но убрал правило nat pass, на других машинах появился интернет... вот и думаю, как такое возможно без nat? выключаю PF на других машинах интернет остается... может во FreeBSD какой-нибудь еще демон автоматом nat запускает?

использование pass в правилах фильтрации мне понятно... я не могу заставить работать вариант nat pass при котором пакеты не должны обрабатываться фильтрами и тогда block all на него не влияет потому, что это уже правило фильтрации

>использование pass в правилах фильтрации мне понятно... я не могу заставить работать
>вариант nat pass при котором пакеты не должны обрабатываться фильтрами и
>тогда block all на него не влияет потому, что это уже
>правило фильтрации

еще раз, nat на le0, но прежде чем до него дойдет дело, пакет из сети должен пройти через le1, а на нем у вас все запрещено, вот и разрешите прохождение через le1, а потом проверяйте nat

открыл и le0 и le1, но убрал правило nat pass, на других машинах появился интернет... вот и думаю, как такое возможно без nat? выключаю PF на других машинах интернет остается... может во FreeBSD какой-нибудь еще демон автоматом nat запускает?

>открыл и le0 и le1, но убрал правило nat pass, на других
>машинах появился интернет... вот и думаю, как такое возможно без nat?
>выключаю PF на других машинах интернет остается... может во FreeBSD какой-нибудь
>еще демон автоматом nat запускает?

автоматом нет, но pf не единственный кто может nat.
может там и прокси есть.

как мне узнать, через что моя FreeBSD каким-то образом раздает интернет другим машинам, если NAT не включен?

>как мне узнать, через что моя FreeBSD каким-то образом раздает интернет другим
>машинам, если NAT не включен?

смотрите в /etc/rc.conf что запускается, и что именно работает на машинах и как настроено

в /etc/rc.conf загружается только PF и PPPoE соединение
на клиентских машинах для шлюза прописан адрес FreeBSD роутера, никаких proxy на клиентах и на шлюзе не поднято...