FreeBSD 8.2 в качестве фаервола/маршрутизатора

[Nagainos]

Доброго времени суток.
Настраиваю FreeBSD 8.2 как внутриофисный маршрутизатор. Раскидал пользователей по вланам и начал переносить сервера на данный маршрутизатор как выявилась особенность. Exchange 2003 начал тупить и задерживать почту в очереди, причем строго определенного размера (больше 10Мб). Вначале грешил на венду с ее причудами, но указав прежний маршрутизатор "по-умолчанию" округлил глаза - письма проходят! Посмотрел Wireshark'ом - действительно, происходит аномалия - во время передачи теряется один/два пакета и попытка повторно передать пакет ни к чему не приводит. Более конкретно - в wireshark'е виден пакет с флагом Retransmission (suspected), посылается три раза, после чего SMTP-сервер дает Response: 421 SMTP command timeout. Closing connection\r\n
Дальше, путем проб и ошибок выяснилось - всему виной "коряво настроенный" pf с правилами "пропускать все и везде":

Код: Выделить всё

set skip on lo0
#scrub in all fragment reassemble
#antispoof log quick for bge0 inet
#antispoof log quick for bge1 inet

pass in all keep state
pass out all keep state

пробовал играться с флагами, ставил flags S/SAFR - эффекта не дало. Интересует как победить сей интересный глюк.

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[mak_v_]

как вариант

Код: Выделить всё

pass in quick on $int_if from $int_lan to any keep state

[Nagainos]

Проверил. Не вариант. Собственно проблема не в том что он ВООБЩЕ не пропускает. Пропускает, но не с флагом Retransmission.
Дополню вопрос - как просмотреть путь прохождения пакета по цепочкам правил?

[mak_v_]

Код: Выделить всё

pass in log.................

Код: Выделить всё

tcpdump -n -e -ttt -r /var/log/pflog

[d.kalinin]

Проверил. Не вариант. Собственно проблема не в том что он ВООБЩЕ не пропускает. Пропускает, но не с флагом Retransmission.
Дополню вопрос - как просмотреть путь прохождения пакета по цепочкам правил?

Посмотрите в pf флаг "allow-opts"