У меня 8.2 х64, но это не должно иметь значения. Памяти там требуется не много, совсем не во время работы. Возможно проблема с либами которые преобразуют выражения для фильтра с помощью tcpdump в код для bpf.
Попробуйте в консоле: tcpdump -s 65535 -ddd 'ether[0] & 1 = 1 and (ether[0:4] != 0xffffffff or ether[4:2] != 0xffff) and ip[9] = 2'
(это выдало одинаковый код на 8.2 со всеми апдейтами и 7.3 которой года полтора, а на арм железке с 32мб озу, без свопа и флешкой рв получил ошибку 1)
У обоих сильно порезанное от лишнего, нетграф везде модулями, единственное BFP у обоих в ядре, чего вроде в генерике нет.

В качестве решения можно сгенерить этот код на любой машине, и подправить скрипт чтобы не вызывал tcpdump (написать аналогично PASSTROUTH). PASSTROUTH = я руками правил вывод tcpdump -ddd чтобы получить NotMatch всегда.
У меня оно так как есть, потому что ошибок я не словил, и править условия для фильтров было легко, кроме того мост легко переделать под что угодно просто поигравшись с tcpdump фильтрами. К тому же это отличный пример практического использования ng_bpf, с кодами была бы сплошная магия, а так понятно что откуда и для чего.