pfじゃ総なめだから負荷キツいだろう。
特定のIPブロックからのDNSクエリを破棄するなり砂箱鯖に向けるのが吉。
全部鯖に対応させないでネットワークで片をつける方がずっと負荷が少ない。