Приветствую.
Дело в следующем: чтоб долго не расписывать что к чему выкладываю rc.conf и pf.conf

Проблема в том что с данным конфигом всем можно всё (
Подскажите в чем я ошибся - не пойму вроде правила правильно расписал....

Rc.conf

defaultrouter="***.***.***.149"
gateway_enable="YES"
hostname="bsd"
ifconfig_re0="inet ***.***.2.150 netmask 255.255.255.252" # интерфейс  к провайдеру
ifconfig_rl0="inet ***.***.24.17 netmask 255.255.255.240" # смотрит в сеть 1
ifconfig_rl1="inet ***.***.88.241 netmask 255.255.255.248" # смотрит в сеть 2

pf_enable="YES"
pf_rules="/etc/pf.conf"

---------------------------------------------------------------------------------

Pf.conf

ext_if="re0"
lan_if_1="rl0"
lan_if_2="rl1"

inet_proto = "{tcp, udp}"
allowed_ports="{ 443, 1494, 80, 1935, 3128, 8080, 1433, 1104, 2562, 1407 }

Allowed_networks="{ ***.***.***.***/32, ***.***.***.0/24, } #разрешенные Ip и сети

# разрешаем сети подключеной к интерфейсу rl0 доступ к Allowed networks через интерфейс re0

pass in on $ext_if inet proto $inet_proto from $Allowed_networks to ***.***.24.0/28 port $allowed_ports keep state
pass out on $ext_if inet proto $inet_proto from ***.***.24.0/28 to $Allowed_networks port $allowed_ports keep state

#разрешаем одному ip из сети подключеной к интерфейсу rl0 всё

pass in on $ext_if inet proto $inet_proto from any to ***.***.24.18/32 port $allowed_ports keep state
pass out on $ext_if inet proto $inet_proto from ***.***.24.18/32 to any port $allowed_ports keep state

#разрешаем машинке из сети подключеной к интерфейсу rl1 всё

pass in on $ext_if inet proto $inet_proto from any to ***.***.88.243/32 port $allowed_ports keep state
pass out on $ext_if inet proto $inet_proto from ***.***.***.243/32 to any port $allowed_ports keep state

всё

применяем правила - ок
проверяю - все ip из всех сетей имеют полный выход в инет....