6.20. Как в брандмауэре оставить только один сервис, скажем, исходящий pop3 на 110 порт?

Вот так:

    /sbin/ipfw add pass tcp from any to any established
    /sbin/ipfw add pass tcp from <myIPs> to <POP> 110 setup
    /sbin/ipfw add deny all from any to any



Здесь не мешало бы разрешить обращение к DNS и loopback-интерфейсу.

В /etc/rc.firewall есть простые примерчики.