ああ、そうか。disklessな環境にipfw入れるときは、DEFAULT_TO_ACCEPTにしとかなきゃ駄目なんだ。よく考えればすぐにわかりそうだけど、ハマってみるまで全然気づかなかった。さすが自称SE(えせいー)。