контроль состояния соединений в pf

/^STATEFUL\ INSPECTION

keep state: запоминает состояние первого пакета, успешно прошедшего pf, все остальные пакеты этой сессии идут уже в обход pf (экономия рессурсов)

/^STATE\ MODULATION

modulate state: то же, что keep state плюс с "высококачественными" случайными initial sequence numbers (не знаю как это порусски будет)

/^SYN\ PROXY

synproxy state: то же, что modulate state, плюс pf отвечает на handshake активной стороны и сам, в свою очередь, делает handshake с пассивной стороной

PS: всё это вольный перевод, без претензии на точность, за деталями: http://www.openbsd.org/cgi-bin/man.cgi?query=pf.conf