>>попробуйте в pf разрешить все для bridge0.
>>включите логирование того что блокируется и посмотрите.
>
>Вопрос только как одной строкой снять все запреты для bridge0? Разве pass
>quick on $int_if не то что нужно?

проглядел :)

>
>arp -a
>? (172.16.5.1) at ... on bridge0 expires in 158 seconds [bridge]
>? (172.16.5.3) at ... on bridge0 permanent [bridge]
>? (10.73.180.179) at ... on rl0 permanent [ethernet]
>? (10.73.176.1) at ... on rl0 expires in 1180 seconds [ethernet]
>? (172.16.6.1) at ... on fxp0 permanent [ethernet]
>? (172.16.6.7) at ... on fxp0 expires in 358 seconds [ethernet]

может ng1 тоже в bridge0 запихнуть?
я бы vpn клиентам сделал бы другую подсеть, но на вкус и цвет ....