Доброго времени суток!
Есть машина FreeBSD 5.4 + Stargazer 2.0.14 (www.stg.dp.ua)
rl0 (192.168.0.254)- смотрит в локаль (192.168.0.0/24)
rl1 (10.0.32.10) - смотрит в сеть прова (10.0.32.0/24)
ng0 (10.0.201.109) - впн, через который летит инет.
Даю rc.conf:

gateway_enable="YES"
firewall_enable="YES"
firewall_type="/etc/firewall/rules"
natd_enable="YES"
natd_interface="rl1"
natd_flags="-redirect_port tcp 192.168.0.1:3000 80"
sshd_enable="YES"
usbd_enable="YES"
ifconfig_rl1="inet 10.0.32.10 netmask 255.255.255.0"
ifconfig_rl0="inet 192.168.0.254 netmask 255.255.255.0"
#defaultrouter="10.0.32.1"
hostname="Inet-Getway.Z-Network.local"
router_flags="-q"
router="/sbin/routed"
router_enable="YES"
static_routes="vpn"
route_vpn="10.0.0.0/17 10.0.32.1"
export route_vpn

Даю /etc/firewall/rules:

#Сброс правил
-f flush
#Все что приходит на 10.0.32.10 из сети прова заганяем в диверт сокет
add 1 divert natd ip from any to 10.0.32.10 in via rl1
#Резрешаем ходить пингам внутри локали
add 10001 allow icmp from any to any via rl0
#add 10002 allow ip from 10.0.32.10 to any via rl1
#Резрешаем коннектится авторизатором из внутренней сети 5555 порт
add 10003 allow udp from 192.168.0.0/24 to 192.168.0.254 5555 via rl0
add 10004 allow udp from 192.168.0.254 5555 to 192.168.0.0/24 via rl0
add 10005 allow udp from 192.168.0.254 5554 to 192.168.0.0/24 via rl0
#Резрешаем коннект конфигуратора с 192.168.0.1 и 192.168.0.2, на порт 4444
add 10006 allow tcp from 192.168.0.1 to 192.168.0.254 4444 via rl0
add 10007 allow tcp from 192.168.0.254 4444 to 192.168.0.1 via rl0
add 10008 allow tcp from 192.168.0.2 to 192.168.0.254 4444 via rl0
add 10009 allow tcp from 192.168.0.254 4444 to 192.168.0.2 via rl0
#Разрешаем коннект на чат-сервер из локали
add 10010 allow tcp from 192.168.0.0/24 to 192.168.0.254 6666 via rl0
add 10011 allow tcp from 192.168.0.254 6666 to 192.168.0.0/24 via rl0
#Разрешаем коннект на чат-сервер из локали прова
add 10012 allow tcp from 10.0.0.0/16 to 10.0.32.10 6666 via rl1
add 10013 allow tcp from 10.0.32.10 6666 to 10.0.0.0/16 via rl1
#Разрешаем с 192.168.0.1 и 192.168.0.2 доступ по ssh
add 10014 allow tcp from 192.168.0.1 to 192.168.0.254 22 via rl0
add 10015 allow tcp from 192.168.0.254 21-22 to 192.168.0.1 via rl0
add 10016 allow tcp from 192.168.0.2 to 192.168.0.254 22 via rl0
add 10017 allow tcp from 192.168.0.254 21-22 to 192.168.0.2 via rl0
#Разрешаем доступ на web-сервер из сети прова
add 10018 allow tcp from 10.0.0.0/16 to 10.0.32.10 80 via rl1
add 10019 allow tcp from 10.0.32.10 80 to 10.0.0.0/16 via rl1
#Разрешаем коннект на 3000 порт 192.168.0.1 (нужно)
add 10020 allow tcp from 192.168.0.254 to 192.168.0.1 3000 via rl0
add 10021 allow tcp from 192.168.0.1 3000 to 192.168.0.254 via rl0
#Разрешаем поднятие VPN к 10.0.4.3
add 10022 allow tcp from 10.0.32.10 to 10.0.4.3 1723 via rl1
add 10023 allow tcp from 10.0.4.3 to 10.0.32.10 via rl1
add 10024 allow gre from 10.0.32.10 to 10.0.4.3 via rl1
add 10025 allow gre from 10.0.4.3 to 10.0.32.10 via rl1
#Все что направляется в сеть прова из 192.168.0.1 и 192.168.0.2 заганяем в диверт сокет
add 2 divert natd ip from 192.168.0.1 to any out via rl1
add 3 divert natd ip from 192.168.0.2 to any out via rl1
#Когда прописую эту муть и кто то из сети прова ставит прописывает "route #add 192.168.0.0/24 10.0.32.10", спокойно может получать доступ на все порты #этих машин (нужно устранить). Когда убираю нифига не работает
add 4 allow ip from any to 192.168.0.1
add 5 allow ip from any to 192.168.0.2
add 6 allow ip from 192.168.0.1 to 10.0.0.0/16
add 7 allow ip from 192.168.0.2 to 10.0.0.0/16
#Без этого не летит на впн...
add 8 allow ip from 10.0.201.109 to any via ng0

Короче задача:
При отключенном авторизаторе:
1. Розрешить коннект с 192.168.0.0/24 к 192.168.0.254 на порт 5555 (авторизатор).
2. Розрешить коннект с 192.168.0.1 и 192.168.0.2 к 192.168.0.254 на порт 4444 (Конфигуратор)
3. Розрешить коннект с 192.168.0.0/24 к 192.168.0.254 на порт 6666 (чат)
4. Розрешить коннект с 10.0.0.0/16 к 10.0.32.10 на порт 6666 (чат)
5. Розрешить доступ с 192.168.0.1 и 192.168.0.2 в сеть прова (10.0.0.0/16), но при этом чтобы не было того бага с установкой маршрута.
6. Резрешить поднятие впн к 10.0.4.3.
При включенном авторизаторе:
1. Разрешить юзеру доступ в инет (тот что летит через ВПН).
2. Разрешить юзеру доступ к 10.0.32.11 на порт 80 (веб).
3. Разрешить юзеру доступ к 10.0.4.3 на порт 6667 (ирк).
4. Разрешить юзеру доступ к 10.0.4.8 на порт 27001 (КС).
И соответственно ответы с этих портов....
Нужно: OnConnect, OnDisconnect, правила файрвола.
Для поднятия впн используется mpd, нужны скрипты io-up.sh, io-down.sh

Помогите пожалуйста! Я уже совсем запутался! Заранее благодарен!

ЗЫ: Извените если уже было на форуме... Вроде как все перелазил не нашел... Если не заметил дайте точную ссылку!