具有环回 IP、IPFW 和 natd 的 FreeBSD Jail - 出站连接从监狱失败

我有一个 FreeBSD 9.0 服务器。它有几个监狱，但它们都有同样的问题。他们无法发起与外界的连接。他们相互沟通，主人也很好。

相关rc.conf设置：

firewall_enable="YES"                   # IPFW
firewall_type="/etc/ipfw.rules"         # Rule script for IPFW

natd_enable="YES"                       # NAT for Internet Routing
natd_interface="wan0"                   # NAT Card
natd_flags="-f /etc/natd.conf -dynamic" # NAT Conf

ifconfig_lo1_name="jail1"
ifconfig_jail1="inet 192.168.1.101/32"

jail_asdf_rootdir="/jails/asdf"
jail_asdf_hostname="asdf.example.net"
jail_asdf_ip="192.168.1.101"
jail_asdf_devfs_enable="YES"

从sysctl.conf

security.jail.allow_raw_sockets=1

从ipfw.rules

# XXX 00050 divert natd ip4 from any to any via wan0
add 00060 check-state

# Allow me out
add 00135 allow ip from me to any keep-state
add 00136 allow ip6 from me6 to any keep-state

# HTTP
add 11010 allow tcp from any to me http setup keep-state
add 11011 allow tcp from any to me6 http setup keep-state
add 11012 allow tcp from any to me https setup keep-state
add 11013 allow tcp from any to me6 https setup keep-state
.... lots more rules like the above ....

# General Network - ICMP
add 61001 allow icmp from any to any

# XXX last rule is deny everything

从natd.conf

redirect_port tcp 192.168.1.101:80 80
redirect_port tcp 192.168.1.101:443 443

这对传入连接非常有效。我已经从多台计算机上测试过，我可以很好地访问该网站。

当我jexec 1 csh在监狱中获得外壳时，我无法创建传出连接。Jailresolv.conf指向主机服务器，它可以很好地执行名称解析。由于 ICMP 仍然无一例外地通过，我可以从监狱中 ping 通。

我可以tcpdump -i wan0 host 1.2.3.4在主机上做一个并在它通过时观察流量。我看到 SYN 出去了，SYN ACK 回来了。然后几秒钟后再次与监狱重试相同。

我怎样才能允许从我的监狱传出连接？

更新：
我相信我理解这个问题。传出数据包通过防火墙规则开始，进行 NAT 转换，允许传出并记录为进行传出连接的外部 IP。当返回数据包返回时，它会经过转换，但现在不匹配检查状态规则，因为数据包具有内部 IP。仍在寻找解决方案。