Вообщем почитал я тут все это, и пришел к следующему выводу:

в ipf более наглядно сделанны все правила, есть групы и неплохое логирование пакетов;
ipfw не такой гибкий, но там есть трафик шейпер (что ОЧЕНЬ нужно и полезно), которого кстате нету в ipf;

оба эти модуля могут быть скомпилены в ядре, так что по скорости врядли буду разительно отличатся...

а вот в pf есть все! И гибкий синтаксис ipf (включая nat) и трафик шейпинг... доступен он как kldmodule, тоесть подгружаемый в ядро.

P.S. Другими словами pf rules forever ! :)