som na to sice noob, ale sipim, ci to nie je chybajuce/zle pravidlo/anchorset (alebo zle umiestnene - za drop-mi) v ruloch pre ten nut0 interface.

skus tam pridat
pass in proto tcp from any to any port 22
reloadni cez
sudo pfctl -vnf /etc/pf.conf a restartni.

mozno som uplne mimo, ale primarne mi to pripada, ze na tun0 interface to dropuje, nevidim ho ani v tom tvojom nestat outpute.

edit: este som zabudol, ze by som checkol com.apple/250.ApplicationFirewall, co vsetko je tam nastavene na drop. vecer pozriem na svojom.