Hallo,
Ja, korrekt. Ein Paketfilter schaut sich den Paket Header an und nicht der Content somit sieht er den HTTP GET nicht.
Meine Idee war eher sowas wie, das der nginx sowas wie einen Marker auf das Paket setzt und pf dann filtert. Aber das würde auch nicht gehen, da der nginx erst das Paket...