> А куча опенков поверх слоя виртулизации в линукс-это шутка, или нравится
> синтаксис pf?

А что не так? Мы же не магистральные девайсы обсуждаем(где многие критичные аспекты реализуются вообще аппаратно, независиом от OC), где производительность - один из основных критериев. С точки зрения архитектуры построения системы - все в порядке. Само едро опенка при таком построении ресурсов много не съест, так что потери не так существенны. Но зато система замечательно масштабируется, и при необходимости может быть расширена даже на другом физическом сервере. И так же может быть свернута с целью отдать ресурсы другим более важным задачам. Все это делается на высоком уровне абстракции и для обслуживания не требуется высококвалифицированный спец с напильником и пылкой любовью к внутренностям и тонкостям Linux(xBSD, Windows и пр.). Вот, мне даже самому стало интересно сваять такое на досуге и сравнить с "классическим" вариантом построения подобных систем.