>[оверквотинг удален]
> int_if="fxp0"
> internal_net=$int_if:network
> tcp_services="{ 13671 }"
> allowed_ports="{5190, 2041, 2042, 2043, 2044}"
> web_ports="{80, 8080, 443}"
> icmp_types="echoreq"
> table <remote> {ИПшники}
> table <priv> {ИПшники тех кто не все}
> set block-policy drop
> set loginterface $ext_if Добавьте set state-policy if-bound
> set skip on ng
Если это интерфейс mpd, то это вы зря. Лучше up/down скриптами добавлять\удалять правила для ВПНа.
>[оверквотинг удален]
> nat-anchor "ftp-proxy/*"
> rdr-anchor "ftp-proxy/*"
> rdr pass on $ext_if proto tcp from <remote> to $ext_if port
> 81 -> 192.168.200.1 port 81
> rdr pass on $ext_if proto tcp from <remote> to $ext_if port 443
> -> 192.168.200.7
> rdr pass on $int_if proto tcp to !($int_if) port ftp -> 127.0.0.1
> port 8021
> rdr pass on $int_if proto { tcp } from $internal_net to any
> port 80 -> 192.168.200.1 port 3127
Отвыкайте от этой плохой привычки втупую разрешать трафик в правилах nat/rdr. Вы же теряете контроль над ним. Лично я дополнительно прописываю потом разрешающие правила на внешний интерфейс с разрилчными лимитами. Например, доступ к рабочему столу виндовой машины в локальной сети
rdr on $ext_if inet proto tcp from any to ($ext_if) port 3389 -> 10.11.1.2 port 3389
pass in quick on $ext_if inet proto tcp from <me> to !(self) port 3389 (max 10)
Теперь конкретно о вашей проблеме. Допустим, сквид или чето-там висит на 127.0.0.1:3128 и вы хотите перенаправить весь трафик от пользователей локальной сети с портом назначения 80 на локальный проксик (получается transparent proxy),
тогда:
rdr on $int_if inet proto tcp from ($int_if:network) to !(self) port 80 -> 127.0.0.1 port 3128
pass in log quick on $int_if inet proto tcp from ($int_if:network) to 127.0.0.1 port 3128
>[оверквотинг удален]
> - идет коннект на висящий на машинке Сквид ('telnet 192.168.200.1 87'
> с машины внутри сети)
> А вот например 'telnet ya.ru 87' виснет на connecting to ya.ru...
> б) при написания редиректа на лупбэк:
> rdr pass on $int_if proto { tcp } from $internal_net to any
> port 87 -> 127.0.0.1 port 3127
> уже не работает ничего, ни на саму машину ни наружу
> IP-адрес ya.ru резолвится нормально, проверил
> машина имеет полные права ходить везде (pass quick log from 192.168.200.8 to
> any - в правилах)
