Исходное сообщение
"Выпуск OpenBSD 6.5" Отправлено PereresusNeVlezaetBuggy, 02-Май-19 22:24
Как минимум вы говорите про сильно старый PF. В актуальных версиях нет директивы nat, всё делается через match или pass с опцией nat-to (binat-to, rdr-to). Во-первых, вспоминайте, что маршрутизируемый пакет проходит через PF минимум два раза: на входе одного интерфейса и на выходе другого. Проход должен быть разрешён оба раза, соответственно. SNAT делается обычно на выходе, т.е. в pass out или (обычно теперь) в match out. Для простого SOHO-роутера я бы делал примерно так (не проверял): block return set skip on lo pass in on $int_if # всякие 192.168/16, 127/8, 169.254/16 и т.п. block in on $int_if to <reserved> # нужно если подсеть $int_if не входит в <reserved> block in on $int_if to (self:network) block in quick on $int_if from urpf-failed icmpecho=" icmp-type  echoreq  code 0" icmp6echo="icmp6-type echoreq  code 0" pass in quick inet  proto icmp  to (self) $icmpecho pass in quick inet6 proto icmp6 to (self) $icmp6echo pass in to (self) port ssh keep state (max-src-conn-rate 10/10, overload <brute> flush global) pass out on $ext_if from (self:network)