> Хм. Нихрена не понятно.
> НАН на приватном интерфейсе?
> Зачем в фаере чек стейт без кипа?
> То про eth1, то про ng0.
> И шо за манера вместо текущих правил выкидывать командник их создания?По порядку.
"НАН на приватном интерфейсе?" - В итоге nat будет работать наружу в Инет с белого ip. Т.к. у vpn-клиента не работает tcp через nat, то для нахождения проблемы я смоделировал ситуацию с nat-ом на приватном интерфейсе - на нем я могу пускать клиента ко внутренним адресам и через nat, и без него, а также слушать tcpdump-ом на интерфейсе сервера к которому обращается клиент. Я убедился, что проблема именно в нате - без него работают и tcp и udp. Только включаешь nat для трафика pptp-клиента (кстати, пробовал и с L2TP/IPSEC), как tcp перестает работать в отличие от udp, пинг на стороне клиента продолжает работать.
"Зачем в фаере чек стейт без кипа?" & "И шо за манера вместо текущих правил выкидывать командник их создания?" - nat делал по методичке https://forums.freebsd.org/threads/ipfw-share-internet.62149/, удаляя все что мне было не нужно. Насчет чек-стейта у меня уверенности не было, и я его оставил, он ведь не мешает? В этой же методичке все листинги настроек ipfw выложены именно как команды создания, если уж на официальном форуме Фряхи это не считается плохим тоном, то и здесь можно так поступать.
"То про eth1, то про ng0" - ng0 я упомянул только в том контексте, что это крайний к клиенту интерфейс у vpn-сервера, создающийся динамически при создании туннеля, и я убедился, что tcp-пакеты идут к клиенту через этот интерфейс, т.е. проблема не в маршрутизации.
