新手求帮助 openbsd pf 方面

vity

你的问题写得不清晰，应该整理一下思路先。把电脑都编上编号，把网卡也编上编号，有助于问题解决。

我看你的配置：3台服务器，1台主机（双网卡作为路由器），是吗？

3 台服务器是内网的，你想让外网访问这 3 台服务器中的一台，是这样吗？

pf 规则应该设置在路由器上。

vity

网络拓扑情况还是不清楚呀，一般网关 g1 都是双网卡呀。

总之，现在 n1 能访问 10.0.0.6 的 80 端口吗？如果可以的话，就在 n1 上添加 rdr-to 规则：
pass in on em0 proto tcp from any to any port 80 rdr-to 10.0.0.6
将 em0 替换为外网的网卡名称，不能写为内网的网卡名称。

vity

典型的网络应该是下图的样子：

w1，w2，w3，g1，n1 的 eth0 都在一个子网中，n1 是网关，这样的话，在 n1 上配置 nat-to 和 rdr-to 即可，给出参考：
pass out on eth1 from eth0:network to any nat-to (eth1)
pass in on eth1 from any to any port 80 rdr-to 10.0.0.6

如果网络是下图的样子，其中有两个网关，g1 和 n1，就不能采用上述方法了。


其实，它的原理就是，内网主机没有公用 ip，所以外网 ip 不用直接访问内网的计算机，而内网的计算机披着网关的皮（借用网关的那个外网网卡的 ip）才得以访问外网，这就是 nat-to 规则的用途。
让网关登记一个端口，特别用于映射内网的指定主机的指定端口，当外网计算机访问网关的那个端口时，网关将请求转发给指定的主机的指定端口处理，，实现了内网主机协助网关处理数据的功能，这就是 rdr-to 规则的用途。又因为内网返回数据时利用 NAT 又披上了皮，所以外网的计算机只能看到它和网关的通信，并不知道网关让网关内部的计算机代理了通信。

如果要实现真正的外网和内网直接通信，需要开辟一条专用通道，叫 tunnel，请查看 ssh 相关手册中的 隧道 问题。