Редизайн сайт NetBSD.org

как что -- pf! :)

От пердунка кроме как газификации луж ждать больше и нечего, нах. Примеры для сравнения где?

> сложно, потому что помимо утилиты pf есть здоровый кусок в ядре (netgraph).

netgraph никак не относится к pf.

оригинально (в опенбсд) хуки у pf воткнуты прямо в стек.. потому 
что в опенбсд это единственный файервол (до сих пор удивляюсь зачем
их несколько..). посему придется до порта pf в линукс изобретать
некий слой абстракции, чтобы можно было подсунуть как pf, так и
netfilter.

помимо этого, думается есть еще более-менее платформо-зависимые вещи
в pf'е типа логгирования (pflog) и еще наверняка пары вызовов старинных 
BSD функций, которые линуксисты уже миллион лет назад похерили (сцуки
адназначна! ;)

насчет преимуществ.. я не силен в iptables, но то что сразу бросается
в глаза -- отсутствие аналога IP- и TCP-нормализации трафика и отсутствие
таблиц -- вообще не вижу оправданий этому. херачить тысячи однотипных
правил это маразм.

Возможно ты просто не в курсе возможностей iptables?

> Возможно ты просто не в курсе возможностей iptables?

возможно ты мне приведешь пример, изобличающий мою ложь?

что подразумевается под нормализацией IP/TCP трафика ? (не шейпер надеюсь)

> что подразумевается под нормализацией IP/TCP трафика ? (не шейпер надеюсь)

ну я понимаю что даже в гугл не поискать... подробная дока:
http://www.icir.org/vern/papers/norm-usenix-sec-01-html/index.html

если кратко, то директива scrub в pf:

- производит нормализацию трафика (http://www.icir.org/vern/papers/norm-usenix-sec-01-html/node18.html)
- производит дефрагметацию фрагментов различными способами;
- рандомизирует значения ID в IP пакетах;
- умеет енфорсить минимально допустимый TTL и MSS;
- умеет снимать Don't Fragment (DF) бит с проходящих пакетов;

+ фича reassemble tcp, смотрите описание тут:
  http://www.openbsd.org/faq/pf/scrub.html