Поиском поискал по форуму, инфо не пролетало, вдруг кому пригодится.
С версии ROS 6.45.1 сменилось API для initial login (API login):
     https: //wiki.mikrotik.com/wiki/Manual:API#Initial_login
Соответственно, нужно немного поправить модуль mikrotik, файл create.noserver.hw_mikrotik.pm (потом удалить noserver/_hw_mikrotik.pm и переустановить модуль)
или сразу поправить файл noserver/_hw_mikrotik.pm,
функция hw_connect, с 201 строки:
вместо:

Код:

    $m->{sock}->blocking(0);
    my $reply = $m->hw_dialog('/login') or return 0;
    exists $reply->{ret} or return 0;
    my $md5 = new Digest::MD5;
    $md5->add(chr(0));
    $md5->add($m->{pass});
    $md5->add(pack('H*',$reply->{ret}));
    $reply = $m->hw_dialog('/login','=name='.$m->{user},'=response=00'.$md5->hexdigest) or return 0;
    return $reply->{'!done'};

Вот так:

Код:

    $m->{sock}->blocking(0);
    my $reply = $m->hw_dialog('/login','=name='.$m->{user},'=password='.$m->{pass}) or return 0;
    return $reply->{'!done'};

Я уже в другой ветке отписался по этому поводу, повторение, как говорится...
Вообще полезно полистать ман по pf, если вы уж собрались его пользовать, ну хотя бы не особо вникая...
Чтоб посмотреть поднялся ли у вас НАТ через pf набираем
pfctl -sn
Он покажет все актуальные правила НАТ, если таковые загружены, например, вывод может быть таким:

No ALTQ support in kernel
ALTQ related functions disabled
nat pass on reX inet from 192.168.X.X/XX to any -> XX.XX.XX.XX

Что означает, что ядро собрано без поддержки управления очередями и соотв. функции отключены и что на интерфейсе reX все пакеты из сети 192.168.Х.Х/ХХ натятся адресо ХХ.ХХ.ХХ.ХХ

Ежели таковых не будет убедитесь, что в rc.conf присутствует
pf_enable="YES"
#и потом
pf_rules="/etc/pf.conf"
(для FreeBSD 7.2 работает, проверено)

2 blackjack,вот если бы кинули содержимое rc.conf вам бы сразу сказали, что pf при запуске просит указать явно файл с конфигом, т.е. обязательно должно быть (по крайней мере FreeBSD7.2):

pf_enable="YES"
pf_rules="/etc/pf.conf"
#А дальше
firewall_enable="YES"

Логика работы фильтров пакетов такая: кто первый встал (pf) тот первый получает входящий пакет (на соотв.интерфейсе) потом ipfw получает пакет с уже преобразованным адресатом (в случае с НАТ... фактически, это единственный оправданный вариант одновременного использования двух фильтров), в обратном направлении сначала пакет обрабатывает ipfw, а потом pf.
А вот команда: pfctl -N -f /etc/pf.conf - на самом деле означает всего лишь "загрузить pf только правила для НАТа из файла /etc/pf.conf", что фактически включает НАТ и на порядок прохождения пакетов не влияет никак.
У такого способа НАТ масса преимуществ :-)