Александр

Как обычно, решил (если можно так назвать) сам.
Настроил белый адрес, не работало даже так, хотя теперь в инет уходили виндовые пакеты с белым source-адресом. Сброс конфига в ноль не помог, зато помогла чистая установка, а единственное отличие от прошлой было в том, что сетевые карты не virtio, а Intel E1000. Работает как часы.

Ради эксперимента пробовал с белым адресом и virtio-картами Debian - пошло сразу как надо.

Разобрался сам. Там, где PF конвертирует имя интерфейса в его IP-адрес, нужно заключить конструкцию в скобки, чтобы он воспринимал его как динамический. В моём случае была сеть интерфейса, внутри правила это выглядит так:
($ovpn_if:network)
Правила же, где фигурирует непосредственно интерфейс, а не его адрес, PF игнорирует, даже если такого интерфейса не существует.