NAT и pf

[greengroon]

Скажите с помощью чего лучше всего транслировать адреса - ipnat, natd или файервол?
И еще прокомментируйте мои правила в pf по поводу насколько это безопасно. Учитывается, что я доверяю своей локальной сети и хочу перебрасывать трафик с нее транспарентно через связку dansguardian (8080) + squid. Никаких служб в локалке нет, нужен только тырнет, в том числе шлюзу для обновления.

set skip on lo0
scrub in all
nat on $ext_if from $lan_net to any -> $ext_if
rdr on $int_if proto tcp from $lan_net to any -> 127.0.0.1 port 8080
block all
block in quick from urpf-failed
pass in on $int_if from $lan_net to any
pass out on $int_if from any to $lan_net
pass out on $ext_if proto {tcp udp icmp} all modulate state

В частности, если set skip on lo0 и dansguardian слушает на localhost 8080, не значит ли это, что что трафик с локалки не будет фильтроваться?