5.20. Как в брандмауэре оставить только один сервис, скажем, исходящий pop3 на 110 порт?

Вот так:

/sbin/ipfw add pass tcp from any to any established
/sbin/ipfw add pass tcp from <myIPs> to <POP> 110 setup
/sbin/ipfw add deny all from any to any
      

Здесь не мешало бы разрешить обращение к DNS и loopback-интерфейсу.

В /etc/rc.firewall есть простые примерчики.