>ага-ага. И эротические экзерцисы с ng_bpf и её своеобразным языком?
>Опять же, поиск по маске вы так не сделаете.

Он не свобеобразный, а вполне себе обычный язык tcpdump. Который уже и так обязан знать любой сетевой админ. Так что новый язык учит не придется.

>ага-ага. Только когда у вас 50-60 sip-устройств проще покрасить на шлюзе.
>Тем более это куда более правильно с точки зрения безопасности, т.к. в
>противном случае
>_любой_ источник bulk-трафика может поставить раком voip, покрасив свой трафик как ему
>вздумается. ы?

См. в другом комменте - к ipfw есть патч для dscp.

>Вот для этого и нужен анализ по длине пакета и модули, которые
>вам кажутся ненужными.
>На примере того же skype:
>Сначала отбираем udp пакеты + опр. длины. А потом уже отправляем на
>L7-filter.
>pf так может?

ipfw может. Пример в man ng_tag так и делает - сначала выбирается нужная длина пакета.

>А с netgraph ещё помучиться придётся.

Не более, чем с модулями к iptables.

>traffic path в картинках есть, производить действия над пакетом можно в
>любой момент. Хоть до nat, хоть после.

ipfw в этом еще гибче.