Сразу говорю, что просто прозрачный прокси настраиваю без проблем. :) Но тут понадобилось извратное и опаньки... :(

На внутреннем интерфейсе rl0 висит подсеть 192.168.0.0/16, на внешнем реальный IP (ep0). На внутреннем висит мини-биллинг (stargazer), который считает трафик через pcap. На rl0 так же висит ipacctd, которым делаю детальную статистику.

Задача: завернуть весь трафик юзеров на прокси.

Уже попробовал вот это правило:
ipfw add xxx fwd 127.0.0.1,8080 tcp from 192.168.0.0/16 to not me 80 via yyy

сунуть и до и после ipacctd via rl0, но при этом ломается статистика, что SG-вая, что ipacct-овская. За сим было решено захватывать трафик с интерфейса ep0. А не хочет.

Правило, дивертящее на natd стоит 999-м. Если воткнуть строчку с xxx==998 и yyy==ep0, то в логах прокси ничего, на правилах ipfw каждое срабатывание добавляет 48 байт и всё :(, если после natd
ipfw add xxx fwd 127.0.0.1,8080 tcp from $realip to not me 80 via yyy, то вообще нифига...

Можете сказать, где неправда зарыта?

p.s. ACL-и у squid-а в порядке (и серая сеть и реальный ip)