Так стремительно развивались события, что пришлось найти ответ самому: получается, что при использовании "серых" сетей правила "rdr" недостаточно, надо ещё делать "nat"

В таком вот виде, заработало всё путём:

ext_if = "ne3"
mail_srv = "192.168.1.1"
rdr on ne3 proto tcp from any to any port 25 -> 192.168.1.1
nat on $ext_if from 192.168.1.1/32 to any -> ($ext_if)