Просто BTW:
launchctl в целом работает, но все как-то не так просто как хотелось.
Самое эпичное, что pfctl ни в какую не стартовал через launchctl без
<key>StandardOutPath</key>
<string>/var/log/pfctl.log</string>
<key>StandardErrorPath</key>
<string>/var/log/pfctl.log</string>
но и с этими директивами стартует через раз, и по всей видимости из-за того, что конфликутет с системным pfctl.plist.
Сделал оригинальному unload -w и оно стало работать стабильно, но это можно было сделать только с выключеным SIP(csrutil), пару раз перезагрузил работало, включил SIP, оригинальный pfctl service вернулся. Мой снова стартанул с ошибкой. Устал. Пошел спать.
Вот и сказки конец, кто читал молодец :).
Всем добра!