Какую ещё панику(?), окстись.
не знаю, в твоем исполнении выглядит как паника.

Вообще, то, что pf TTL не уменьшает, хрен с ним, но просто избежать кормёжки pass in route-to пакетов с непотребным для форвардинга TTL нельзя — вот что больше раздражает, в данной ситуации.
а чего раздражает-то?
раз ttl не уменьшается, значит для форвардинга ttl подходящий.

Для PBR кошернее не firewall, а нормальный человеческий iproute. Так что в планах заюзать как роутер именно Linux. :-)
это который до сих пор говорят не может нормально несколько сессий pptp натить?