Если внимательно прочитать документацию на PF хотя бы один раз - то сразу будет формироваться правильный список правил и их порядок.

Пример:

     ############# 1) Макросы и списки ##############
if_ext_local="ng0"
if_ext_unlim="ng1"
if_inet="xl1"
if_lan="xl0"

     ############# 2) Таблицы (tables) #######################

     ############# 3) Опции PF (pf options) ##################

     ############# 4) Scrub (нормализация) ###################

scrub in all fragment reassemble min-ttl 15 max-mss 1400
scrub in all no-df
scrub all reassemble tcp

     ############# 5) Очереди (queries) ######################

     ############# 6) Трансляция адресов (NAT) ###############

nat on $if_ext_local inet from 192.168.0.0/24 -> ($if_ext_local)
nat on $if_ext_unlim inet from 192.168.0.0/24 -> ($if_ext_unlim)

     ############# 7) Правила фильтрации (filtering rules) ###

  #######Блокирующие правила#######

  ### Блокировать любые пакеты (правило по умолчанию) ###
block drop log all

  ### Блокировать любые пакеты без обратного адреса ###
block in from no-route to any
block in from urpf-failed to any

  #######Разрешающие правила#######

  ### Разрешить любые пакеты по loopback-интерфейсу ###
pass quick on lo0 all

  ### Разрешим любые пакеты по внутреннему интерфейсу ###
pass quick on $if_lan all

  ### Правила для VPN-клиента
pass out on $if_inet proto tcp from $if_inet to {10.8.0.1} port 1723
pass on $if_inet proto gre all

  ### Доступ к портам сервера с локалки Уфанет ###
pass in on $if_ext_local proto tcp from any to any port 873 modulate state
pass in on $if_ext_local proto tcp from any to any port 80 modulate state
pass in on $if_ext_local proto tcp from any to any port {21 20000><21000} modulate state

  ### Разрешить Ping на внешних интерфейсах###
pass on {$if_ext_local $if_ext_unlim} inet proto icmp all icmp-type 8 code 0

  ### Разрешаем любые пакеты от VPN-интерфейсов ###
pass out on $if_ext_local from ($if_ext_local) to any keep state
pass out on $if_ext_unlim from ($if_ext_unlim) to any keep state