>>ipfw count, после совпадения с этим правилом перебор продолжается, и зависит
>>от переменной net.inet.ip.fw.one_pass.
> которая у тебя как и у меня = 1
>>
>>00010 pipe 1 ip from any to any via rl0
>>01061 count ip from 192.168.100.106 to any via ng30
>>01062 count ip from any to 192.168.100.106 via ng30
>>01071 pipe 2 ip from any to 192.168.100.105
>>08000 divert 8668 ip from 192.168.100.0/24 to any out xmit fxp0
>>09000 divert 8668 ip from any to 193.9.165.10
>>09010 pipe 3 ip from 192.168.100.0/24 to any
>>09010 pipe 4 ip from any to 193.9.165.10
>>50000 allow ip from any to any
>>65535 deny ip from any to any
>>
>>Итак В пайп 1 попадают все пакеты, проходящие чарез rl0
>>В каунт все что идет на/с 192.168.100.106
>>В пайп 2 все на 192.168.100.105
>>В НАТ идет все сеть 192.168.100.105/24 кроме 192.168.100.106 потому как пакеты от
>>него до этого правила не доходят, они уже обработаны.

нужно ограничивать действие диверта или трубы интерфейсом
тогда можно будет сделать чтобы эти пакеты попали в фаервол _как бы_ еще раз
например если у тебя все юзеры из это сетки висят на ng*
то можно сделать так:

08000 divert 8668 ip from 192.168.100.0/24 to any out xmit fxp0
09000 divert 8668 ip from any to 193.9.165.10
09010 pipe 3 ip from any to any via ng* in
09010 pipe 4 ip from any to any via ng* out

--
ppa