# Имена сетевых карт - внутренняя - xl0 и две внешние: xl1 и xl2:
if_int="xl0"
if_ext1="xl1"
if_ext2="xl2"
# Прописываются шлюзы по умолчанию для сетевух xl1 и xl2:
gw_ext1="10.40.1.1"
gw_ext2="172.16.1.1"
# Объявляется переменная lan, содержащая сегмент ЛВС, пакеты с которого будут балансироваться:
lan="192.168.0.0/24"
# После макросов идут правила с NAT:
# В данном случае нам нужен NAT на обоих внешних интерфейсах (xl1 и xl2):
nat on $if_ext1 from $lan to any -> $if_ext1
nat on $if_ext2 from $lan to any -> $if_ext2
# Блокируем все - правило по умолчанию:
block all
# Разрешаем любые пакеты от внутреннего интерфейса в локальную сеть:
pass out on $if_int from any to $lan
# Разрешаем пакеты (с quick) с локальной сети до сервера:
pass in quick on $if_int from $lan to $if_int
# Балансирующее правило - привязывает пакетам, идущим из локалки, произвольные назначения выходных интерфейсов:
pass in on $if_int route-to { ($if_ext1 $gw_ext1), ($if_ext2 $gw_ext2) } round-robin from $lan to any keep state
# Разрешить любые пакеты от сервера в Интернет по обоим интерфейсам:
pass out on $if_ext1 from any to any keep state
pass out on $if_ext2 from any to any keep state
# Явное указание, с какого внешнего интерфейса на какой route слать пакеты:
pass out on $if_ext1 route-to ($if_ext1 $gw_ext1) from $if_ext1 to any
pass out on $if_ext2 route-to ($if_ext2 $gw_ext2) from $if_ext2 to any
Вот с таким конфигом у меня все работает (балансировка трафика внутренней сети).
НО - нужно учитывать, что PF - это keep state firewall, поэтому трафик одной сессии идет только по одному из каналов (выбранному на основе round-robin).
Ну а так - да, балансирует. Делаешь tracert -d mail.ru и через 30 секунд повторяешь -маршрут уже другой...
