A regra PF usando return-rst no Mac OS X não responde com a redefinição TCP

Question

Estou tentando adicionar uma regra de PF simples:

block return-rst out proto tcp from any to any port 33128

para filtrar todo o tráfego de saída para a porta TCP 33128, e gostaria que ele respondesse com uma redefinição. No entanto, quando eu testo com nc , expira, em vez de retornar imediatamente com um erro de conexão recusada, o que sugere que os pacotes que vão para a porta 33128 sejam descartados sem uma redefinição TCP sendo enviada:

$ nc -v 172.22.2.2 33128
nc: connectx to 172.22.2.2 port 33128 (tcp) failed: Operation timed out

A maneira como eu habilito o PF e adiciono esta regra:

$ echo "block return-rst out proto tcp from any to any port 33128" > pf.conf
$ sudo pfctl -f pf.conf
$ sudo pfctl -e

O que há de errado com essa regra?