>> сквозь nat 25 порт на сервер
>> $fw nat ${nat_n} config if ${dev} log same_ports \
>>     redirect_port tcp 192.168.24.2:25 25
>возьмем это. я уже писал, но ни ман, ни хендбук не объясняет логику прохождения пакетов через ядро >и интерфейсы.
>одного только этого правила недостаточно, чтобы проброс работал.

Ну да, согласен, эта фраза (последняя цитата) - правда. Опять таки правда она от того, что я не указал второе правило - собственно, точку NAT-преобразования. Не указал оттого, что логика обработки NAT на интерфейсах может быть очень "кружевной" - несколько физических интерфейсов, логических поверх них, несколько tun* как клиентских так и серверных - и вперёд, веселиться, где надо НАТ, где нет, где только на третьи подсети, подключенные через другие маршрутизаторы.

А вы, кажется, хотите всё в лоб НАТить. Поэтому обычное правило начинающих строителей огненных стен

nat 123 all from any to any

где-то в начале всех правил внезапно работает совсем не так, как воображает автор.  Даже

nat 123 all from any to any via ${wan_interface}

имеет в общем такой же эффект.

Таки раздел PACKET FLOW содержит слишком мало картинок, чтобы не писали такого :)