нужно определенному IP из внутренней сетки сделать разрешающее правило на dns имя pop.masterhost.ru

Как можно сделать? Если делаю объект Ip address и там указываю dns: pop.masterhost.ru - то конфигурация не применяется, пишет что объект не мог разрешить Ip адресс. С чем связано - непонятно. Нужно core разрешить выход на IP address DNS?

Нельзя сделать как вы хотите.
Доменные имена возможны лишь на L7 через ALG для HTTP.
В иных случаях используйте DNS-адреса.

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc

просто не пойму как сделать правила правильно
запретить всё для определенных компов с 192.168.20.10-192.168.20.20( с эти вроде всё просто, разрешил всё для другого пула, по умолчанию для этого пула всё запрещено)
Сделать правило разрешающее для этого пула на pop.masterhost.ru и на сервера icq.

Ведь в правиле можно задать только пул, а не днс имя к сожалению.

Делаете объект "пула" - lan_pool = 192.168.20.10-192.168.20.20

http://network-tools.com/default.asp?pr ... terhost.ru - видим что для pop.masterhost.ru соответствует один адрес 83.222.26.36
Делаете из него объект (например ext_pop_masterhost_ru) и на основании его правило NAT lan/lan_pool wan/ext_pop_masterhost_ru pop3
Вместо pop3 можете поставить all_services/all_tcpudpicmp чтобы разрешить все сервисы или сделать и использовать группу разрешенных сервисов (ex, pop3 + smtp + imap)

С ICQ аналогично, но там как вариант можно сдеалть сервис icq и на основании его правило NAT lan/lan_pool wan/all-nets icq

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc

да с объектами типа ip 83.222.26.36 всё прост делается. а вот сменится завтра ip и будет засада.
Как понял нормального решения нет.

А можно ли в объект IP-адрес прописать два разных IP а не диапазон или сеть?

Можно сделать группу из адресов
Если делать из консоли, то можно туда включать адреса (не объекты)

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc

Я в одном из мануалов заметил, что для прописывания NTP сервера применяется DNS имя.
и задан этот обект так: dns:pool.ntp.org
с NTP рабоатет а вот в Firewall Rules нет

Именно. FQDN (имя) можно использовать в NTP, PPP/IPsec/GRE в качестве endpoint, возможно еще в mail-логгере.
Использовать имена в правилах файрвола нельзя т.к. DNS запрос может быть скомпрометирован.

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc