NG NG.net
flags yyy/xxx で、xxx でマスクしたものを yyy と比べるんだから、
AS/A は絶対にマッチしないのでは。
外からのSynをblockすればいいだけの話なんだから、
block in quick proto tcp from any to any flags S/SA
pass in quick proto tcp from any to any
や
pass in quick proto tcp from any to any flags A/A
block in quick proto tcp from any to any
と書けるだけの話。