> В пассивном тоже полезно, если открыты только определённые разрешённые порты. PF будет
> динамически открывать доступ к "левым" портам только для FTP DATA трафика.

Может быть при "драконовской" конфигурации, когда открыто пол-десятка портов. Но при такой, как в этом куске конфига, данные будут попадать в INET_OTHER очередь. Впринципе жалоб, что не подключает по ФТП от пользователей не поступало :-).

   pass in log on $int_if inet proto tcp from ($int_if:network) to !(self:network) \
        $mst queue (d_other d_ack) tag INET_OTHER

   pass in log on $int_if inet proto tcp from ($int_if:network) to !(self:network) \
        port {20 21 25 110 143 5190 8080 081} $mst queue (d_lowpri d_ack) tag INET_LOWPRI

   pass in log on $int_if inet proto tcp from ($int_if:network) to !(self:network) \
        port 443 $mst queue (d_pri d_ack) tag INET_PRI