>> Палка о двух концах. С одной стороны, протоколы типа того же H.323
>> местами сложные, и в ядре их разбирать стремновато (сколько уязвимостей было
>> в подобных модулях к тому же netfilter?).
> Так напишите так, чтоб было без уязвимостей. Вы ж эксперты, в чем
> принципиальная сложность?

Троллинг детектед. :) Уязвимости бывают везде, и мудрый программист старается заранее их нейтрализовать. Например, не усложняя без нужды логику ядерных процессов. В принципе, конечно, каждому своё: кому-то плевать на риски, а кому-то наоборот. То или иное решение должно быть принято, и кому-то оно всегда не понравится. Свободы выбора лично вас никто не лишает, пользуйтесь тем, что вам по сердцу. ;)

>> С другой, прокся на
>> PF создаётся не просто, а очень просто, тот же ftp-proxy взять:
>> и обычное, и реверс-проксирование, при этом основной трафик (передача данных) бегает
>> без залёта в юзерспейс.
> Во-первых, их нет готовых,

Наверное, поэтому я написал «создаётся»? ;) Готовые-то, может, и есть, поискать надо...

> во-вторых, не везде всё так просто и без нагрузки по трафику, как в ftp control connection.

Не спорю. Последний раз целый день (или два?) убил, отлаживая вставляемый посередь дороги H.323-гейткипер и его «друзей». А каково такие протоколы собсно кодировать, стараясь быть совместимым со всем попадающимся в реале крапом... бр-р-р.

>> Так что если доверять ядерным модулям, то, конечно, PF в данном плане
>> менее удобен; разработчики не собираются встраивать поддержку таких протоколов в сам
>> PF, оставляя на откуп проксям.
> Ну так он и останется никому не нужен в серьезных применениях, значит.

Если все будут гнаться за одной голой производительностью, то да. :) А так, если речь идёт не о супер-нагрузке по конкретно данному протоколу, либо админ по той или иной причине параноидален, то и юзерленд-прокси сойдёт.

И опять-таки, на примере того же ftp-proxy видно, что производительность-то в случае PF+спецпрокси особо не страдает: основные данные бегают без прямого участия юзерленда. А это означает, что хорошая безопасность прекрасно уживается с высокой производительностью. Но ручками поработать надо, да.