Почему forwarding раньше divert ?
Давайте от простого к сложному.

Загрузите минимальный набор правил.
После, добавляйте/усложняйте по вкусу.

add 50 divert natd all from any to any via bge1
add 100 allow all from any to any via lo0
add 200 deny all from any to 127.0.0.0/8
add 300 deny all from 127.0.0.0/8 to any
add 400 fwd 127.0.0.1,3128 tcp from any to any 80 in recv bge0
add 500 allow all from any to any