>2 sauron в качестве информации для размышления: Вы когда-нибудь читали про то, что squid можно заставить работать в прозрачном режиме, что-бы он работал неотличимо от роутера с NAT, но при этом выполнял кэширование/фильтрацию?
Я знаю что это такое. И даже делал. Но оно работает только для http и ftp. При этом используется маппинг портов.

>А теперь представьте, что в мире существуют аналогичные прокси и для >других протоколов, в том числе тех, которые требуют установления >соединений в противоположных направлениях. И такие прокси написаны и для >ftp, и для irc,
>и для pptp.
Есть такая штука socks5 она решает все проблемы. Но не весь софт умеет через него работать.

>И вполне работают через pf/ipfw.Ссылки я привел в
>предыдущем посте.
Я всего лишь спросил еслть ли механизм отслеживания комплексных протоколов самим фаерволом. Судя по тому что меня отправляют к user space  софту, а так же не могут понять, что это такое, напрашивается вывод что в   pf/ipfw нет трекинга комплексных протоколов.

>А вот вопрос нафига это все тащить в ядро, а не оставлять
>в user-space, не имеет однозначного ответа. Это, скорее, вопрос религии.
Хотя бы ради скорости и удобства. Возможность реализации свитча 7 уровня сущестсвует только в linux.

>не надо говорить что в user-space медленнее, т.к. надо 2 дополнительных
>переключения контекста на пакет, пока я еще не разу не видел
>этого замедления, выраженного в цифрах.
Я тоже не видел. Но у user-space вещей есть один большой минус это дополнительный софт.