pf, RDR & NAT — классика жанра

Internet --> bge0 ($ext_if) --> MPD (ng0) --> bge1 ($int_if) --> vlan1 --> home devices
                                                      |
                                                       --------> vlan2 --> webserver

nat on ng0 inet from { $vlan1 $vlan2 } to any -> ng0

pass out quick on $ext_if                # открываем всё на выход из внутрянки
pass in quick on $ext_if proto tcp from any to any port $tcp_services # открываем хорошие порты
pass in on $int_if from any to any             # разрешаем всё внутри локальной сети
pass in inet proto icmp all icmp-type echoreq  # разрешаем пинги

rdr pass on $ext_if proto tcp from any to any port 80 -> $webserver port 80

tcp {
80 { => %webserver%:80 };
}