Karpion

Вы явно не поняли принципов работы ipfw и kernel nat.

У Вас есть правило маскарадинга nat 1; я его не смотрел, надеюсь, что там всё верно.
Далее надо зарулить в этот маскарадинг пакеты, которые клиент посылает серверу: from 10.35.0.254; очень хорошо, хотя я бы добавил условие "исходящие".
Но кроме этого, в тот же маскарадинг надо зарулить и пакеты, идущие от сервера в ответ на запросы клиента. Желательно заруливать в маскарадинг только нужные пакеты; соответствующее правило будет что-то типа "от кого угодно; входящие на hn0; можно добавить IP-адрес интерфейса hn0, он у Вас берётся автоматически".

Ну или можно воспользоваться правилами на базе keep-state; у меня нет опыта в этой области.

Ещё я очень советую писать правила ipfw строго в порядке возрастания номеров: так намного легче читать.

Для начала надо смотреть, что внутри /usr/local/etc/rc.d/LBphone.init и проверять, работает ли этот скрипт вообще.
Кстати, вовсе не факт, что ключ restart способен запустить остановленный сервис; вплоть до того, что этот ключ может вообще не поддерживаться. Опять же - надо смотреть внутри скрипта, что там делается.

Ну и хорошо бы смотреть логи - как крона, так и системные, и лично этого сервиса.

По каким портам надо лазать в соседнюю сеть? Может, годится SSh-туннель?

Скорее всего - влияют права директории. особенно SetUID, SetGroup, sTicky.
Также смотрите функцию, которая создаёт файлы - какой там режим доступа.
Ну и хорошо бы - пример прав, которые получились неправильные, и какие д.б. правильные.