Paketfilter und Routing

[Thomas Kaepernick <mast_1%gmx.net@localhost>]

Liebe Listener,

nun hatte ich meinen Router kurz soweit, daà er zumindest ins Internet
routete.

Dann habe ich das Routen zwischen den Subnetzen hinzubekommen. Seitdem
habe ich ein eigentÃmliches Verhalten und ich weià mal wieder nicht wo
der Fehler ist.

Also, es gibt die zwei Subnetze 192.168.0.0/27 und 192.168.1.0/27. DafÃr
sind die Interface vr1 und vr2 zustÃndig. Das Interface vr0 stellt die
Verbindung zum Provider her. NamensauflÃsung geschieht durch einen
Nameserver auf dem Router.

Wenn ich pf aktiviere, dann kann ich zwar den Router oder eine Adresse
im Internet von einem internen Rechner aus anpingen. Aber z.B. mit einem
Webbrowser bekomme ich keine Verbindung. Nehme ich die Rules weg, klappt
es.

Ein Verbindung zu einem Host im anderen Subnetz klappt nicht. 

Was ist an der folgenden pf.conf falsch? Oder liegt der Fehler woanders?

#       $NetBSD: pf.conf,v 1.4 2008/06/18 09:06:25 yamt Exp $
#       $OpenBSD: pf.conf,v 1.34 2007/02/24 19:30:59 millert Exp $
#
# See pf.conf(5) and /usr/share/examples/pf for syntax and examples.
# Remember to set net.inet.ip.forwarding=1 and/or 
# net.inet6.ip6.forwarding=1
# in /etc/sysctl.conf if packets are to be forwarded between interfaces.

ext_if="vr0"
int_if="{ vr1 vr2 }"
int_net="{ vr1:network vr2:network }"

nat on $ext_if inet proto { tcp, udp, icmp } from !($ext_if) to any ->
$ext_if
rdr pass on $int_if inet proto { tcp, udp } to $ext_if port 53 ->
127.0.0.1 port 53

block in all
pass out all keep state

pass in on lo all
pass in on $int_if inet proto icmp all
pass in on $int_if inet proto udp to port 53
pass in on $int_if inet proto { tcp, udp } to port ntp
#pass in inet proto { tcp, udp } from $int_net to port 631
pass in on $int_if inet to $ext_if       
pass from vr1:network to vr2:network
pass from vr2:network to vr1:network

Gruà Thomas