Помогите мне обновить мой pf.conf для OpenBSD 4.7

Я планирую обновить свой OpenBSD до 4.7 (с 4.6), и, как вы можете знать или не знать, они изменили синтаксис для pf.conf.

Это соответствующая часть из руководство по обновлению:

pf (4) изменение синтаксиса NAT

Как более подробно описано в этом сообщении списка рассылки, отдельные правила PF nat / rdr / binat (перевод) были заменены действиями по обычным правилам сопоставления / фильтрации. Простые наборы правил можно преобразовать следующим образом:

nat on $ext_if from 10/8 -> ($ext_if)
rdr on $ext_if to ($ext_if) -> 1.2.3.4

становится

match out on $ext_if from 10/8 nat-to ($ext_if)
match in on $ext_if to ($ext_if) rdr-to 1.2.3.4

и...

binat on $ext_if from $web_serv_int to any -> $web_serv_ext

становится

match on $ext_if from $web_serv_int to any binat-to $web_serv_ext

nat-anchor и / или rdr-anchor линии, например для relayd (8) ftp-proxy (8) и tftp-proxy (8) больше не используются и должны быть удалены из pf.conf (5), оставив только строки привязки. Правила перевода, относящиеся к ним и spamd (8), необходимо будет соответствующим образом скорректировать.

Примечание: Раньше правила трансляции имели поведение «останавливаться при первом совпадении», при этом сначала оценивался binat, а затем nat / rdr в зависимости от направления пакета. Теперь правила фильтрации подчиняются обычному поведению "последнего совпадения", поэтому при преобразовании необходимо соблюдать осторожность с порядком следования правил.

pf (4) изменение синтаксиса маршрута / ответа

Параметры route-to, reply-to, dup-to и fastroute в pf.conf перемещаются в filteropts;

pass in on $ext_if route-to (em1 192.168.1.1) from 10.1.1.1
pass in on $ext_if reply-to (em1 192.168.1.1) to 10.1.1.1

становится

pass in on $ext_if from 10.1.1.1 route-to (em1 192.168.1.1)
pass in on $ext_if to 10.1.1.1 reply-to (em1 192.168.1.1)

Теперь это мой текущий pf.conf:

#       $OpenBSD: pf.conf,v 1.38 2009/02/23 01:18:36 deraadt Exp $
#
# See pf.conf(5) for syntax and examples; this sample ruleset uses
# require-order to permit mixing of NAT/RDR and filter rules.
# Remember to set net.inet.ip.forwarding=1 and/or net.inet6.ip6.forwarding=1
# in /etc/sysctl.conf if packets are to be forwarded between interfaces.

ext_if="pppoe0"
int_if="nfe0"
int_net="192.168.0.0/24"

polemon="192.168.0.10"
poletopw="192.168.0.12"
segatop="192.168.0.20"

table <leechers> persist

set loginterface $ext_if
set skip on lo

match on $ext_if all scrub (no-df max-mss 1440)

altq on $ext_if priq bandwidth 950Kb queue {q_pri, q_hi, q_std, q_low}
queue q_pri priority 15
queue q_hi priority 10
queue q_std priority 7 priq(default)
queue q_low priority 0

nat-anchor "ftp-proxy/*"
rdr-anchor "ftp-proxy/*"

nat on $ext_if from !($ext_if) -> ($ext_if)
rdr pass on $int_if proto tcp to port ftp -> 127.0.0.1 port 8021
rdr pass on $ext_if proto tcp to port 2080 -> $segatop port 80
rdr pass on $ext_if proto tcp to port 2022 -> $segatop port 22

rdr pass on $ext_if proto tcp to port 4000 -> $polemon port 4000
rdr pass on $ext_if proto tcp to port 6600 -> $polemon port 6600

anchor "ftp-proxy/*"

block

pass on $int_if queue(q_hi, q_pri)

pass out on $ext_if queue(q_std, q_pri)
pass out on $ext_if proto icmp queue q_pri
pass out on $ext_if proto {tcp, udp} to any port ssh queue(q_hi, q_pri)
pass out on $ext_if proto {tcp, udp} to any port http queue(q_std, q_pri)
#pass out on $ext_if proto {tcp, udp} all queue(q_low, q_hi)

pass out on $ext_if proto {tcp, udp} from <leechers> queue(q_low, q_std)

pass in on $ext_if proto tcp to ($ext_if) port ident queue(q_hi, q_pri)
pass in on $ext_if proto tcp to ($ext_if) port ssh queue(q_hi, q_pri)
pass in on $ext_if proto tcp to ($ext_if) port http queue(q_hi, q_pri)
pass in on $ext_if inet proto icmp all icmp-type echoreq queue q_pri

Если у кого-то есть опыт переноса 4.6 pf.conf на 4.7, пожалуйста, помогите мне внести правильные изменения.

Хорошо, вот как далеко я продвинулся:

Я прокомментировал nat-anchor и rdr-anchor, как описано в руководстве:

#nat-anchor "ftp-proxy/*"
#rdr-anchor "ftp-proxy/*"

И вот как я "преобразовал" правила rdr:

#nat on $ext_if from !($ext_if) -> ($ext_if)
match out on $ext_if from !($ext_if) nat-to ($ext_if)
#rdr pass on $int_if proto tcp to port ftp -> 127.0.0.1 port 8021
match in on $int_if proto tcp to port ftp rdr-to 127.0.0.1 port 8021
#rdr pass on $ext_if proto tcp to port 2080 -> $segatop port 80
match in on $ext_if proto tcp tp port 2080 rdr-to $segatop port 80
#rdr pass on $ext_if proto tcp to port 2022 -> $segatop port 22
match in on $ext_if proto tcp tp port 2022 rdr-to $segatop port 22

rdr pass on $ext_if proto tcp to port 4000 -> $polemon port 4000
match in on $ext_if proto tcp tp port 4000 rdr-to $polemon port 4000
rdr pass on $ext_if proto tcp to port 6600 -> $polemon port 6600
match in on $ext_if proto tcp tp port 6600 rdr-to $polemon port 6600

Я что-нибудь пропустил? Якорь для ftp-прокси в порядке, как сейчас? Надо ли что-то менять в другом pass in on... линии?