Приколы нашего городка :)
На свежеустановленной виртуалке с ровно тем же конфигом (копипаст кроме ессно имен интерфейсов) редирект работает

Ядро то же стоковое, осталось только одно отличие - я на живом сервере обновлял World, конфы там все брал дефолтные т.к. делал это сразу еще на пустой машине

sysctl net.inet - существенных отличий не нашел, нет такого чтобы где-то было 1 где-то 0

Печально - но проблема так и не решилась обновлением исходников и пересборкой ядра и мира ...

> Печально - но проблема так и не решилась обновлением исходников и пересборкой
> ядра и мира ...

Хм... Как обновляли, пересобирали?..

Обновил через cvsup
(часть конфига)
*default release=cvs tag=RELENG_9
src-all

далее - по хэндбуку

make buildworld
make buildkernel (сначала скомпилил и поставил GENERIC)
make installkernel
reboot
make installworld
mergemaster

когда убедился что все завелось (но не завелось то что мне нужно :) ) - собрал кастомное ядро на основе стандартного, сильно не допиливал - убрал ненужные дрова сети и добавил pf и ALTQ в ядро

>[оверквотинг удален]
> make buildworld
> make buildkernel (сначала скомпилил и поставил GENERIC)
> make installkernel
> reboot
> make installworld
> mergemaster
> когда убедился что все завелось (но не завелось то что мне нужно
> :) ) - собрал кастомное ядро на основе стандартного, сильно не
> допиливал - убрал ненужные дрова сети и добавил pf и ALTQ
> в ядро

Если быть точным, то хронология такова:

1.  cd /usr/src
2.  make buildworld
3.  make buildkernel KERNCONF=Имя_конфига_ядра_указанного_в_опции_ident
4.  make installkernel KERNCONF=Имя_конфига_ядра_указанного_в_опции_ident
5.  reboot        (in single user mode: boot -s from the loader prompt).
6.  mergemaster -p
7.  make installworld
8.  make delete-old
9.  mergemaster -iUF
10. reboot
11. make delete-old-libs

Странно - в хэндбуке эти шаги опущены
8.  make delete-old
11. make delete-old-libs
В остальном все именно так и делал (про KERNCONF= скипнул т.к. без этой опции кастомное ярдо не собрать все равно никак )

ну да не суть
mergemaster -p я скипнул т.к. а) делал его при первом обновлении и б) сервак на удаленке, физического доступа у меня к нему нет соотв. в сингл-юзер его выводить не стоит :)

Есть у меня мысль как буду физически у сервака поиграться интерфейсами, может просто поменять местами или другие сетевые платы поставить... Других идей пока больше нет

Переписал конфу - сделал с тегированием пакетов, но счастье не произошло... проброс снаружи так и есть, проброса изнутри так и нет.

Физически пока не добрался до сервака чтобы с интерфейсами поиграться

Как бы это дело подебагить - что происходит с пакетом после его прихода на внутренний интерфейс, почему он теряется... ?

конфа стала такой:

ext_if="xl0"
int_if="fxp0"
internal_net="192.168.200.0/24"

tcp_services="{ PORT }"

allowed_ports="{5190, 2041, 2042, 2043, 2044}"
web_ports="{80, 8080, 443}"
icmp_types="echoreq"

table <remote> {IP}
table <priv> {IP, IP, IP }

set block-policy drop
set loginterface $ext_if

set skip on lo

scrub in

nat on $ext_if from !($ext_if) tagged USER_TRAFFIC -> ($ext_if:0)
nat on $ext_if from !($ext_if) tagged PRIV_TRAFFIC -> ($ext_if:0)

nat-anchor "ftp-proxy/*"
rdr-anchor "ftp-proxy/*"

rdr pass on $ext_if proto tcp from <remote> to $ext_if port  80 tag REMOTE_WEB -> 192.168.200.7
rdr pass on $ext_if proto tcp from <remote> to $ext_if port 443 tag REMOTE_HTTPS -> 192.168.200.7

rdr pass on $int_if proto tcp from $int_if:network to !($int_if) port ftp -> 127.0.0.1 port 8021
rdr pass on $int_if proto tcp from $int_if:network to !($int_if) port 80  -> 127.0.0.1 port 3127
rdr pass on $int_if proto tcp from $int_if:network to !($int_if) port 81  -> 127.0.0.1 port 8181

block all

antispoof quick for { lo $int_if }

anchor "ftp-proxy/*"

pass quick on lo0

pass out quick on $int_if from any to $int_if:network
pass in quick on $int_if from $int_if:network to $int_if

pass out quick on $ext_if from ($ext_if) to any
pass in quick on $ext_if tagged REMOTE_WEB synproxy state
pass in quick on $ext_if tagged REMOTE_HTTPS synproxy state

pass in on $ext_if inet proto tcp from any to ($ext_if) port $tcp_services

pass in on $int_if inet proto tcp from $int_if:network to !($int_if) port $allowed_ports tag USER_TRAFFIC
pass in on $int_if from <priv> to !($int_if) tag PRIV_TRAFFIC

pass in on $ext_if from <remote> to any