>> Справедливости ради - PF тот ещё мамонт. Напомнить, как у него до
>> сих пор реализован хелпер для ftp NAT?
> Как-то вот так: http://www.bsdportal.ru/viewtopic.php?f=13&t=27443

Для красноглазого члена секты "Свидетелей ядра" будет понятнее так: программка ftp-proxy динамически прописывает правила форвардинга в PF таким образом, что работает как пассивный, так и активный FTP режимы. Фактически - программа не участвует в передаче данных, данные передаются через ядерную подсистему PF, что обеспечивают низкую загрузку ЦП и высокую производительность. Трафик для данных можно тегировать, что позволяет направить его в необходимую очередь шейпера.

Вот как это выглядит в жизни (данные качаются по FTP в активном режиме):

pfctl -vv -sA
  ftp-proxy
  ftp-proxy/11909.1

pfctl -vv -a ftp-proxy/11909.1 -sr
@0 match in on rdomain 0 inet proto tcp from 129.128.5.191 to 195.5.5.32 port = 65417 flags S/SA keep state (max 1) tag ftp_data rtable 0 rdr-to 192.168.0.100 port 5006
  [ Evaluations: 24        Packets: 8917      Bytes: 8818156     States: 1     ]
  [ Inserted: uid 71 pid 11909 State Creations: 0     ]
@1 match out on rdomain 0 inet proto tcp from 129.128.5.191 to 192.168.0.100 port = 5006 flags S/SA keep state (max 1) tag ftp_data nat-to 129.128.5.191
  [ Evaluations: 2         Packets: 8917      Bytes: 8818156     States: 1     ]
  [ Inserted: uid 71 pid 11909 State Creations: 0     ]

Уверен, что в этих подробностях мало кто разбирался даже из моих коллег.