Похоже, всё-таки верно и вот это:
http://www.freebsd.org/doc/handbook/firewalls-apps.html

The author prefers IPFILTER because its stateful rules are much less complicated to use in a NAT environment and it has a built in ftp proxy that simplifies the rules to allow secure outbound FTP usage.

Решаются обе проблемы связанные с такой схемой как я привёл вверху: сложность правил + не работающий FTP и необходимость воротить что-то с -punch_fw.