pf: И ещё один камень в огород - не реализовать концепцию цепочек (ipf's head/group) …
… было абсолютно плохой идеей. Ну я бы понял ещё, если бы tag'ов было чуть более, чем один. Подводя итоги: pf в стадии болезней роста. Какие-то части продвинуты, где-то отсутствует их поддержка другими собственными частями же, а какие-то и вовсе неразвиты. Если вы используете FreeBSD, это как-то ещё можно обойти, одновременно используя и ipfw (как я делал когда-то, и многие делают до сих пор), но если смотреть правде в глаза, такая констурукция езмь «костыль», и, увы, PF его требует.