>> Не кажется что это слишком костыльно?
> Кажется. Только еще более костыльной мне кажется сама идея порт-кнокинга :-)
> Проще перевешать sshd на другой порт.
> %%да, потребности в колбасе нет%%

Ну, я portknocking применяю только для обхода случайного бана. Т.е. когда настраиваю фаерволл удалённо, port-knocking может быть очень полезным и геморроиться с парсингом логов - вообще никакого желания ради такой мелочи :)

>[оверквотинг удален]
> Честно говоря, вот это разделение на таблицы правил мне кажется неоправданным усложнением.
> Хотя, с iptables я сталкиваюсь больше по необходимости, может и есть в
> них какая-то логика...
>> prerouting, input, forward, output, postrouting и добавили бы аналоги хотя бы
>> recent, hashlimit, length, statistics (хотя "prob" впринципе заменяет один из режимов
>> работы statistics), time, string и u32, то в добавок с учётом
>> последних изменений, которые надо признать совсем я недавние, ipfw стал бы
>> для меня почти настолько же полезным, как и iptables. :)
> Аналоги recent и hashlomit есть, см. секцию STATEFUL FIREWALL
> length - iplen

Вы как-то сильно унизили возможности hashlimit и recent. Например то, что продемонстрировал я с recent (а я могу ещё много чего надемонстрировать) с помощью лишь keep-state не реализовать. А по поводу hashlimit, я просто рекомендую прочесть что это такое и в чём его _принципиальное_ отличие от connlimit и limit.. Я так понял вы намекаете на ipfw-шный "limit", который является сильно упрощённым вариантом "connlimit" в iptables (например несколькоступеньчатая работа с масками, порядком эффективнее помогает против DDoS, в то время, как ipfw умеет работать только по /32), а аналогов hashlimit, даже упрощённых, я в ipfw не припоминаю.

> А какое-то подобие Lookup Tables в iptables есть?

Ну, во-первых в iptables есть цепочки, которые, к сожелению, я так понял вам не очень нравятся. А во-вторых для особых случаев всегда есть "ipset" (http://www.opennet.ru/prog/info/2942.shtml).