[brag]

нет. мне надо,чтобы пакеты, идущие от 10.10.0.42 могли быть отфильтрованы правилами.
Вот так,как тут:
ipfw add divert natd from any to any via tun0
ipfw add pass tcp from 10.10.0.42 to any 53
ipfw add pass tcp from any 53 to 10.10.0.42 established
ipfw add deny log from any to any

в итоге, пакет идужщий от 10.10.0.42 будет проверен на предмет назначения и порта и послан NAT-у.
пакет,идущий(от ната?) с порта 53 на 10.10.0.42 с флажком established будет пропущен.
Можт в последовательностях я ошибаюсь,но работает. те, вешаем jail на 10.10.0.42(алиас это), и фильтруем его,как хотим.если нат вырубить,то jail не сможет пойти в инет,даже если firewall вобще отключен,в то время,как хостовая тачка сможет