FreeBSD+mpd policy based routing

Добрый день.
Имеется:

# uname -a
FreeBSD vpn11.xxx.ru 7.3-STABLE-201011 FreeBSD 7.3-STABLE-201011 #0: Wed Dec  1 15:28:18 MSK 2010     root@vpn.xxx.ru:/usr/obj/usr/src/sys/VPN11  amd64
# mpd5 -v
Version 5.5 (root@vpn11.xxx.ru 16:54  1-Dec-2010)
# ifconfig em0
em0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500
        options=219b<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM,TSO4,WOL_MAGIC>
        ether 00:1c:c0:a3:3f:8b
        inet 11.11.11.32 netmask 0xfffff800 broadcast 11.11.18.255
        inet 22.22.22.32 netmask 0xfffff800 broadcast 22.22.29.255
        inet 33.33.33.32 netmask 0xfffff800 broadcast 33.33.40.255
        media: Ethernet autoselect (1000baseTX <full-duplex>)
        status: active

mpd5+radius выдает юзерам белые адреса из разных подсетей - 11.11.11.0/21, 22.22.22.0/21, 33.33.33.0/21 (почему? потому что такие белые адреса :) )

В каждой подсети есть свой default route (т.к. разные провайдеры) - 11.11.11.1, 22.22.22.1, 33.33.33.1 соответственно
Сам ВПН сидит с default route=33.33.33.1.

Пример: юзер на ВПН сидит на ng0 (ip 11.11.15.50). Инет у юзера работает. Но пакеты уходят через шлюз ВПН, т.е. 33.33.33.1. А должны уходить через 11.11.11.1

Как это реализовать? В линухе делал через ip route table xxx / ip rule xxx

я могу и ошибаться, но не это ли?

set iface route address[/width]

This command associates a route with the bundle. Whenever the interface is configured up, all associated routes are added. A route of default indicates the default route. Otherwise, the route is a network address with optional netmask width (e.g., 192.168.1.0/24). If the netmask width is omitted, a single host route is assumed (i.e., a width of 32).

Routes are automatically removed when the interface is brought down.

насколько я понял, это нужно, когда mpd5 выступает как vpn-клиент, а не сервер. Пробовал прописывать - все равно ноль реакций

неужели невозможно на фряхе сделать такую политику маршрутизации??

возвращаюсь к данной проблеме. Никто помочь не может? ipfw+natd не предлагать