compartiendo internet/vpn con ipfw, no puedo acceder a google.com por https

Estoy compartiendo mi conexión a internet / conexión VPN IKEv2 sobre pf a través de Murus static NAT. Mi arquitectura de red es la siguiente:

internet modem -> 
wired router (serving 192.168.1.1/24) -> 
Mac mini (192.168.1.2) -> ((en4) 192.168.2.1  ) ->
airport extreme (192.168.2.2) (DHCP, no NAT, serving 192.168.2.0/24)

Estoy compartiendo mi conexión a Internet / vpn a través de en4 a 192.168.2.0/24 . Compartir internet funciona. Compartir la VPN funciona. Estoy haciendo la resolución de DNS en el router y no reenviando las peticiones de DNS a través de pf.

Sin embargo, algunos sitios (concretamente https://google.com ) no se cargará. Otros sitios https sí lo harán. ping google.com funciona bien en el cliente y en el servidor. Resuelve a diferentes direcciones ip en cada uno, aunque ambas conexiones están detrás de la misma VPN y utilizan los mismos servidores DNS.

curl google.com por supuesto, produce un 301 . curl https://google.com funciona bien en el servidor, pero curl -v https://google.com en el cliente produce lo siguiente si se espera lo suficiente:

 stopped the pause stream!
* Closing connection 0
curl: (35) LibreSSL SSL_connect: SSL_ERROR_SYSCALL in connection to google.com:443

El navegador simplemente se desconecta. Ambos se están ejecutando LibreSSL 2.2.7 .

La salida de Wireshark para el cliente y su IP preferida de Google es bastante colorida, aunque ininteligible:

Curiosamente, el navegador Safari parece estar usando la IP de Google del servidor y no aparece en este filtro (esto es de un curl solicitud).

Ya me funcionó en el pasado, y lo estoy intentando de nuevo con un router diferente y una capa menos de NAT. No puedo decir que siempre ha sido libre de snarl, pero definitivamente era capaz de navegar por sitios como google.com con la conexión VPN compartida.

Hay que tener en cuenta que la desactivación de la VPN hace que la conexión a Internet compartida funcione sin problemas.

¿Qué pasos debo seguir para averiguar por qué algunos https las conexiones no funcionan, y para conseguir que esta red sea totalmente funcional