athacker

man pf.conf, Luke! И ваши волосы станут мягкими и шелковистыми. Особенно в части команды, которая называется (сюрприз-сюрприз!) rdr ;-)

Цитирую:

Various types of translation are possible with pf:

binat blah-blah-blah

nat blah-blah-blah

rdr The packet is redirected to another destination and possibly a
different port. rdr rules can optionally specify port ranges
instead of single ports. rdr ... port 2000:2999 -> ... port 4000
redirects ports 2000 to 2999 (inclusive) to port 4000. rdr ...
port 2000:2999 -> ... port 4000:* redirects port 2000 to 4000, 2001
to 4001, ..., 2999 to 4999.

Что-то я такое смутно помню, что у pf обработка правил идёт в порядке их следования в конфиге. Поэтому сначала делается NAT, а потом уже применяются правила блокировки/разрешения. И поэтому правило

pass out on $ext_if from $ext_if to any keep state

разрешает всем и всё, так как после NAT'a все пакеты, которые через NAT прошли, будут под это правило подпадать.