после последнего правила нормализации

>scrub on xl0 all reassemble tcp

перед правилами фильтрации

>#2.1 Сканирование портов и определение ОС (NMAP, etc...), а также для запрета
>атаки типа FIN FLOOD.
># Правило запрещает вхождение TCP пакетов с неправильно установленными флагами.
>
>block in quick proto tcp from any to 195.195.195.1 flags SF/SFRA
>