Проблемы с файрволом PF в FreeBSD

У меня есть выделенный сервер OVH, на который я установил Proxmox. Я создал 2 виртуальные машины, одну с FreeBSD в качестве межсетевого экрана / NAT-шлюза и одну с Debian в той же локальной сети, что и межсетевой экран, с FreeBSD в качестве шлюза.

На виртуальной машине с FreeBSD установлены 2 сетевых интерфейса: один для WAN, другой для LAN.

С FreeBSD у меня есть доступ в интернет, я могу выполнять ping, telnet и так далее… всё работает с межсетевого экрана / шлюза.

С сервера Debian я могу пинговать интернет, я могу пинговать 8.8.8.8.

У меня несколько проблем:

• С сервера Debian команда telnet 1.1.1.1 53 работает, но telnet 8.8.8.8 53 не работает (поэтому я настроил /etc/resolv.conf с 1.1.1.1, чтобы иметь возможность использовать домены, но эта проблема довольно странная)
• С сервера Debian команда telnet google.com 80 не работает (она работает с межсетевого экрана FreeBSD)
• Когда я пытаюсь подключиться к своему ПК с помощью SSH или telnet по IP 2223 на сервере Debian, я вижу пакеты с tcpdump (на сервере Debian), но у меня возникает таймаут на команде

Вот что я вижу в своих журналах, когда выполняю команду doas tcpdump -n -e -ttt -i pflog0:

(telnet 8.8.8.8 53)  00:00:00.000010 правило 19/0(совпадение): пропустить выход на vtnet1: 91.121.40.45.52818 > 8.8.8.8.53: Флаги [S], seq 688104303, win 64240, options [mss 1460,sackOK,TS val 3854927016 ecr 0,nop,wscale 7], length 0
(telnet 1.1.1.1 53)  00:00:00.000010 правило 19/0(совпадение): пропустить выход на vtnet1: 91.121.40.45.53578 > 1.1.1.1.53: Флаги [S], seq 537632035, win 64240, options [mss 1460,sackOK,TS val 3337238453 ecr 0,nop,wscale 7], length 0
(telnet google.com 80)  00:00:00.000004 правило 19/0(совпадение): пропустить выход на vtnet1: 91.121.40.45.60204 > 142.250.178.14.80: Флаги [S], seq 556080316, win 64240, options [mss 1460,sackOK,TS val 2506116294 ecr 0,nop,wscale 7], length 0
(когда я подключаюсь с клиента к серверу Debian по ssh)  

00:00:01.249859 правило 18/0(совпадение): пропустить вход на vtnet1: мой ip.63990 > 192.168.10.10.2223: Флаги [S], seq 2851206258, win 64240, options [mss 1460,sackOK,TS val 3746771 ecr 0,nop,wscale 7], length 0
 00:00:00.000005 правило 17/0(совпадение): пропустить выход на vtnet0: мой ip.63990 > 192.168.10.10.2223: Флаги [S], seq 2851206258, win 64240, options [mss 1460,sackOK,TS val 3746771 ecr 0,nop,wscale 7], length 0

Вот мои правила:

## Макросы
ext_if = "vtnet1"     # Внешний интерфейс (WAN)
int_if = "vtnet0"     # Внутренний интерфейс (LAN)

ext_ip = "91.121.40.45"
int_ip = "192.168.10.1"

# Определяем IP внутреннего сервера
internal_server = "192.168.10.10"
int_network = "192.168.10.0/24"

# Услugi, разрешенные для исходящего трафика
tcp_pass_out = "{ bootpc, bootps, dhcpv6-client, dhcpv6-server, domain, https, ipp, nicname, ntp, ssh, www, 6667, 6697 }"
udp_pass_out = "{ bootpc, bootps, dhcpv6-client, dhcpv6-server, domain, nicname, ntp }"
icmp_ok_types = "{ echoreq, unreach }"

# Таблицы для разрешенных IP для доступа по SSH и FTP
table <allowed_ssh> persist file "/etc/hh.d/acls/hh_home.txt"
table <allowed_ftp> persist file "/etc/hh.d/acls/hh_home.txt"

table <private> const { 10/8, 172.16/12, 192.168/16 }

## Позволяем свободный трафик на интерфейсе loopback lo0
set skip on lo0

## Нормализация и повторная сборка пакетов
scrub in all

## Трансляция (NAT для внутренней сети)
nat on $ext_if from $int_network to any -> ($ext_if)
## Переадресация портов (для доступа по SSH и FTP)
rdr on $ext_if proto tcp from <allowed_ssh> to $ext_if port 2223 -> $internal_server
rdr on $ext_if proto tcp from <allowed_ftp> to $ext_if port {20, 21, 10000:19999} -> $internal_server

## Фильтрация

# Политика по умолчанию: блокировать всё
#block all

### Фильтры ###
# Разрешаем любые пакеты с внутренней сети к любому
pass in on $int_if inet from $int_network to any keep state

## Разрешаем входящие соединения SSH с разрешенных IP
##Порт 2222 firewall freebsd
pass in on $ext_if proto tcp from <allowed_ssh> to $ext_if port 2222 keep state
##Порт 2223 веб-сервер
pass in on $ext_if proto tcp from <allowed_ssh> to $ext_if port 2223 keep state

## Разрешаем входящие соединения FTP (порты 20, 21, пассивный диапазон 10000-19999) с разрешенных IP
pass in on $ext_if proto tcp from <allowed_ftp> to $ext_if port {20, 21, 10000:19999} keep state

## Разрешаем HTTP (80) и HTTPS (443) трафик для всех
pass in on $ext_if proto tcp from any to $ext_if port { 80 443 } flags S/SA keep state

## Разрешаем DNS и NTP трафик
pass in on $ext_if proto { tcp udp } from any to $ext_if port { domain ntp } keep state

pass out on $int_if from any to $int_if:network keep state

pass out on $ext_if proto tcp all modulate state flags S/SA
pass out on $ext_if proto { udp, icmp } all keep state

# Разрешаем и записываем все пакеты от клиентов в частной сети через NAT
pass in log on $int_if all
pass out log on $int_if all
pass in log on $ext_if all
pass out log on $ext_if all

Спасибо заранее за ваши советы / помощь!

С уважением,

Максим