>в этом случае pf поймет что просто ng это все ng что
>есть в системе???

А ты попробуй :)
вот выдержка из мана
on <interface>
           This rule applies only to packets coming in on, or going out
           through, this particular interface.  It is also possible to simply
           give the interface driver name, like ppp or fxp, to make the rule
           match packets flowing through a group of interfaces.
насколько я понял - можно указать тип интерфейса и pf - будет применять
правила ко всей группе этих инт.