Вообщем перепахал конфиг заново. Теперь на веб сервер пускает, но почему-то перестал пускать на фтп.На вусякий случай скажу, что фтп и веб сервер - это один комп, на котором и стоит pf, имеет 2 сетевые карты xl0 - в мир, vr0 - в свою сетку. Помогите разобраться почему не пускает по фтп из внутренней сетки? Из внешней не пробовал пока.
Привожу обновленный конфиг pf.conf#------------------------------
# Макросы
#------------------------------
int_if="vr0"
ext_if="xl0"
int_ip="192.168.130.139"
ext_ip="10.0.39.36"
lannet = "192.168.130.0/24"
private_nets= "{ 127.0.0.0/8, 192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8, 169.254.0.0/16, 192.0.2.0/24, 0.0.0.0/8, 240.0.0.0/4
# Порты
client_ports = "{ 21, 22, 25, 110, 123, 80, 443, 3128, 3129, 3389,8080, >=49151 }"
admin_ports = "{ 5190, 33330:33340 }"
#------------------------------
# Нормализация
#------------------------------
# Определяем политику при блокировке пакетов
set block-policy drop
# Поведение пакетного фильтра при использовании таблицы состояний
set state-policy floating
# Логируемый интерфейс
set loginterface $ext_if
# Максимальное количество записей в пуле отвечающем за нормализацию трафика (scrub)
# Максимальное количество вхождений в пул отвечающий за состояние таблицы состояний соединений (keep state)
set limit { frags 100000, states 100000 }
# Устанавливаем тип оптимизации
set optimization normal
# Игнорируем фильтрацию на кольцевом интерфейсе
set skip on lo0
# Нормализация всего входящего трафика на всех интерфейсах
scrub in all
#------------------------------
# NAT & RDR
#------------------------------
# NAT для локалки
nat on $ext_if inet from $lannet to any -> $ext_ip
rdr on $ext_if proto tcp from any to $ext_ip port 2200 -> $int_ip port 22
rdr on $ext_if proto tcp from any to $ext_ip port 21 -> $int_ip port 21
rdr on $ext_if proto tcp from any to $ext_ip port 80 -> $int_ip port 80
rdr proto {tcp, udp} from any to any port 21 -> $int_ip port 21
#------------------------------
# Правила фильтрации
#------------------------------
# Блокируем всё
block all
# Блокируем тех, кто лезет на внешний интерфейс с частными адресами
block drop in quick on $ext_if from $private_nets to any
# Разрешаем icmp
pass inet proto icmp icmp-type echoreq
# Разрешаем DNS для локалки
pass in on $int_if proto udp from $lannet to $int_ip port domain
# Выпускаем админские сервисы
pass in on $int_if proto tcp from $int_ip to any port $admin_ports
pass out on $int_if proto tcp from $int_ip to any port $admin_ports
# Выпускаем клиентске сервисы
pass in on $int_if proto tcp from $lannet to any port $client_ports
pass out on $int_if proto tcp from $lannet to any port $client_ports
# Разрешаем нашему шлюзу полный выход с обоих интерфейсов
pass out on $ext_if proto tcp from any to any
pass out on $ext_if proto udp from any to any keep state
pass out on $int_if proto tcp from any to any
pass out on $int_if proto udp from any to any keep state
#------------------------------
# Icoming #
#------------------------------
# Разрешаем входящий ssh
pass in log on $ext_if proto tcp from any to $ext_ip port 2200 flags S/SA synproxy state
pass in log on $int_if proto tcp from any to $int_ip port 22 flags S/SA synproxy state
# Разрешаем входящий https
pass in on $ext_if proto tcp from any to $ext_ip port https flags S/SA synproxy state
# Разрешаем входящий www
pass in on $ext_if proto tcp from any to $ext_ip port www flags S/SA synproxy state
pass in on $int_if proto tcp from any to $int_ip port www flags S/SA synproxy state
# Разрешаем входящий ftp
anchor "ftp-proxy/*"
#pass in on $ext_if proto tcp from any to $ext_ip port 21
#pass out on $ext_if proto tcp from any to $ext_ip port 21
#pass in on $int_if proto tcp from any to $int_ip port 21
#pass out on $int_if proto tcp from any to $int_ip port 21
