> Во-первых не весь фаерволл, а только один порт и только для одного
> клиента. Во-вторых у меня уже есть готовая комбинация port-knocking-а, открывающая порт
> только на 20 секунд максимум раз в час. К тому же
> в этой комбинации при попытке стучаться на соседние порты клиент банится
> на этот самый час, поэтому сканер портов скорее приведёт к временному
> бану, а не наоборот.

Охотно верю. Но возникают следующие вопросы:
1. Оправдано ли такое усложнение в конкретном случае?
2. Не логичнее ли такой сложный функционал реализовать внешними средствами?

> при настройке шейпера приходилось всё это разделять (особенно когда используется прозрачный
> прокси, задача неприятным образом усложняется). Это мелочь конечно, но, как говорится,
> "с миру по нитке".

А зачем шейпить файерволлом прозрачный прокси, если в том же squid есть delay pools, которые справляются с этой задачей не в пример лучше и гибче?