Необходимо поднять удаленное управление сервера-файрволла с дин.ip и стоящей за ним локалки с машины с дин.ip  
Постоянно держать в файрволе правилах позволяющие доступ к службам статистики и администрирования "from any to any", как я понимаю крайне нежелательно.
Идея такая - создать пользователей типа remote_on и remote_off в группе SSHUsers (только из неё разрешен доступ по SSH), и в качестве командной оболочки назначить для remote_on скрипт добавляющий в IPFW нужные правила, а для remote_off - скрипт удаляющий эти правила.
Так и сделал, но... ipfw разрешен запуск только root.
Разрешить Wheel доступ по SSH- не хотелось бы - снижает безопасность...
прописать в скрипте юзера SU с паролем root - хочу еще меньше.... :-)

Что посоветуете?