Я не знаю кто чего на это ответит, но выскажу некоторые соображения по поводу прочитаного.

Для работи с фаерволов я использую два средства:
ipfw - для пайпов и каунтов
ipf & ipnat - для фильтрации и ната (редикекта и переброса на опр. порт)
и всем так рекомендую, потому что удобно.

Вот взаять к примеру natd. Кто сказал что он не может вывалится в самый неудобный момент? Никаких гарантий. Мало того, что ната не будет, так и все пакеты что дивертятся уйдут в никуда. А ipnat в ядре - сухо и комфортно, да и настроить можно гибко.

Синтаксис ipf напорядок оптимальней чем в ipfw. Никаких номеров правил, да и не нужны они при фильтрации. Есть структура груп, могут групы вкладываться одна в одну и потом проверка пакета проходит в заданой групе. На мой взгляд очень удобно.

Я тоже сначала использовал natd пока он не упал и к машине пропал доступ. Пришлось ехать в другой конец города.

Да и трафик с помощю ipf можно считать. Долго проверял совпадаит ли он с ipfw count - совпадает.

Жалею только об одном, что в пакете ipf до сих пор не сделали аналог пайпов :(