>[оверквотинг удален]
>>II) Привязка МАКа для ССХ не работает, что я не правильно написал?
>
>Разжовую:
>во первых правило должно быть такого вида
>add 35 nat ip from any to any via ${outinterface}
>
>если net.inet.ip.fw.one_pass установлен в 1 то заворот на нат должен быть последним
>правилом т.е. все правила разрешения и запрета должны имет номера менше
>чем правило ната. Так как в етом случае пакет прекращает движение
>по фаерволу. net.inet.ip.fw.one_pass: 1 пакет, выходящий из потока dummynet, не проходит через брандмауэр повторно, В противном случае, после обработки канала пакет повторно вводится в брандмауэр по следующему правилу.
К натд это не имеет отношения
>[оверквотинг удален]
>не попадает на правило с натом, после чего нат подменяет адресс
>источника на свои и возвращает пакет обратно в фаервол на правило
>следующее после ната далее если пакет не находит разрешающего правила уже
>с новым адрессом источника он погибает. Допустим он нашел правило типа
>allow tcp from me to any setup и только после этого
>пакет уходит в мир.
>Предположим пакет дошел до адресата и адресат посылает ответ.
>Тот в свою очередь попадает в фаервол на внешнем интерфейсе и начинает
>движение по правилам до правила с натом (если не встретит по
>пути запрещающего).
Или не встретит разрешающего правила.
>Нат подменяет адресс назначения на адресс клиента запросившего данный
>ответ и возвращает пакет в фаервол на правило следующее после правила
>с натом пакет продолжает движение по правилам фаервола вниз и если
>не находит разрешающего правила погибает. Предположим он нашел после чего снова
>попадает в фаервол уже на внутреннем интерфейсе и т.д.
