>Уважаемые господа, я вот сижу на BSD + ipfw, на Linux +
>iptables, на Windows + ISA. Мне несколько раз приходила мысль перетащить
>ipfw на pf, но вот что меня смущает... я как начну
>представлять логику работы, сразу встает вопрос, в чем преимущество пакетного фильтра
>у которого выигрывает последнее правило? Я что-то никак не уловлю здесь
>"правильной" философии, ведь если использовать политику "все запрещено кроме разрешенного", то
>каждый пакет будет проходить все правила... не влияет ли это на
>скорость обработки... в ipfw я самые часто срабатываемые правила перемещаю наверх
>и получается что в большинстве случаев у меня пакет обрабатывается всего
>несколькими правилами...
>Я понимаю что есть "quick"... но что ж применять ко всем правилам
>его?

Да, мне тоже было по началу тяжеловато после ipfw. Но, когда я свел три страницы правил ipfw в пол страницы правил pf, я это оценил.
Просто в pf по началу многие действуя по старой привычке  все сначала все запрещают, а потом а потом начинают разрешать и это превращается в черт знает что.

А, для начала, более правильный подход, сначала все разрешить, а потом отрезать то, что не нужно. наверняка не нужно. Причем нет необходимости писать громоздкие правила. Пишешь кучу мелких с конкретным  критерием привязанным к конкретному типу трафика. И quick используешь конкретно для тех правил, которые дальше точно нет смысла смотреть.