> Начал разбираться в PF по мануалу на сайте openBsd.org. Насколько я понял,
> в случае если пакет должен натится, то PF сначала преобразует адресс,
> а потом уже передает его фильтру. А как же тогда фильтровать
> пакеты прищедшие из локалки на основе политик разграничения по ip, ведь,
> насколько я понял, фильтр увидит пакет с уже измененным айпишником, т.е.
> айпишником шлюза......а как мне тогда сначала решить можно ли этот пакет
> вообще пропускать,а потом уже натить? Или же пакет сначала проходит правила
> фильтра входящих пакетов, потом натится, а потом уже передается на фильтр
> исходящих пакетов?

на внутреннем (входящем) интерфейсе будут оригинальные ip