Надо в ipset запихать.

Иначе не видать Вам щастья.

у меня выделено около 256 адресов под NAT и всех абонентов правилами маленькими кусками натятся в отдельные ip адреса белые

Короче потому для всего этого, я и выбрал фрю на роутер. Как ни крути, для нарезки скорости - тут лучше сделано. Но, как по мне, на этом прелести ее заканчиваются, но это только по мне. Тяжело она мне чет дается.

Тоже самое.

тогда я не понял как мне ipset поможет

Что бежать по  256 правилам, а что по одному с таблицей.

Убежал на работу.

все равно непонимаю )
я покажу кусок iptables

Chain nat (2 references)
target     prot opt source               destination
nat_0_1    all  --  10.0.0.0/10          0.0.0.0/0
nat_0_2    all  --  10.0.0.0/8           0.0.0.0/0

Chain nat_0_1 (1 references)
target     prot opt source               destination
nat_1_1    all  --  10.0.0.0/11          0.0.0.0/0
nat_1_2    all  --  0.0.0.0/0            0.0.0.0/0

Chain nat_0_2 (1 references)
target     prot opt source               destination
nat_2_1    all  --  10.96.0.0/11         0.0.0.0/0
nat_2_2    all  --  0.0.0.0/0            0.0.0.0/0

Chain nat_1_1 (1 references)
target     prot opt source               destination
nat_1_1_1  all  --  10.0.0.0/12          0.0.0.0/0
nat_1_1_2  all  --  0.0.0.0/0            0.0.0.0/0

Chain nat_1_1_1 (1 references)
target     prot opt source               destination
nat_1_1_1_1  all  --  10.8.0.0/14          0.0.0.0/0
nat_1_1_1_2  all  --  0.0.0.0/0            0.0.0.0/0

Chain nat_1_1_1_1 (1 references)
target     prot opt source               destination
nat_subnet_10  all  --  10.10.0.0/16         0.0.0.0/0
nat_subnet_11  all  --  10.11.0.0/16         0.0.0.0/0
nat_subnet_9  all  --  10.9.0.0/16          0.0.0.0/0

Chain nat_1_1_1_2 (1 references)
target     prot opt source               destination
nat_subnet_12  all  --  10.12.0.0/16         0.0.0.0/0
nat_subnet_13  all  --  10.13.0.0/16         0.0.0.0/0
nat_subnet_14  all  --  10.14.0.0/16         0.0.0.0/0

Таким образом до самих SNAT правил на нужный кусок пакет добирается прыжками, вместо того, чтобы линейно проходить все 256 правил

Бедные :) как же вам тяжко... одно правило в pf задаёт какой требуется нат во FreeBSD :)

Без «прыжков» и линейного обхода

Я что т так и не смог нормально поднять на ней веб-сервер. как ни крутил - у меня центос выигрывал по производительности  в тестах.

Фрибсд будет проигрывать как аппликейшн сервер. Основной упор в разработки фри - это маршрутизация и обработка пакетов.

Взять тот же нетграф - аналогов нет ни где

Chain nat (2 references)
target     prot opt source               destination
nat_0_1    all  --  10.0.0.0/10          0.0.0.0/0
nat_0_2    all  --  10.0.0.0/8           0.0.0.0/0

Chain nat_0_1 (1 references)
target     prot opt source               destination
nat_1_1    all  --  10.0.0.0/11          0.0.0.0/0
nat_1_2    all  --  0.0.0.0/0            0.0.0.0/0

Chain nat_0_2 (1 references)
target     prot opt source               destination
nat_2_1    all  --  10.96.0.0/11         0.0.0.0/0
nat_2_2    all  --  0.0.0.0/0            0.0.0.0/0

Chain nat_1_1 (1 references)
target     prot opt source               destination
nat_1_1_1  all  --  10.0.0.0/12          0.0.0.0/0
nat_1_1_2  all  --  0.0.0.0/0            0.0.0.0/0

Chain nat_1_1_1 (1 references)
target     prot opt source               destination
nat_1_1_1_1  all  --  10.8.0.0/14          0.0.0.0/0
nat_1_1_1_2  all  --  0.0.0.0/0            0.0.0.0/0

Chain nat_1_1_1_1 (1 references)
target     prot opt source               destination
nat_subnet_10  all  --  10.10.0.0/16         0.0.0.0/0
nat_subnet_11  all  --  10.11.0.0/16         0.0.0.0/0
nat_subnet_9  all  --  10.9.0.0/16          0.0.0.0/0

Chain nat_1_1_1_2 (1 references)
target     prot opt source               destination
nat_subnet_12  all  --  10.12.0.0/16         0.0.0.0/0
nat_subnet_13  all  --  10.13.0.0/16         0.0.0.0/0
nat_subnet_14  all  --  10.14.0.0/16         0.0.0.0/0

Понял, вы целую подсеть указали, а не каждого абонента в отдельности.

Расскажите, если ли в фре что-то простое и работающее для синхронизации NAT транзакций между несколькими серверами для резервирования, ну и в целом для параллельной работы двух NAT серверов? В линуксе есть какой то сихнронизатор conntrack таблицы, но не сдюжил

в итоге у меня пока при отказе одного из NAT нагрузку берут другие сервера, но все соединения рвутся

Это решается без проблем правильным инжиниринговый сети. Держите резервный сервер нат, и по пропадание интерфейсов главного что бы отрабатывал carp и объявлял себя пропавшим сервером

это все настроено, только они у меня не резервные, а параллельно используются, переключения происходят, интересуют транзакции, чтобы соединения не рвались