> Да ненужны твои iptables, есть и pf и ipfw

ага, ТРИ (до выпиливания ipf) фильтра вместо одного хорошего - это ж от их охрененного качества и удобства пользования, еще и с корявыми user-space хелперами в разных удивительных местах, а не от того, что полтора инвалида уперлись рогом в "деды пользовали и внуки наши будут", а другие смогли только (плохо, с опозданием и недоделками) спортировать из систем с другими особенностями сетевого стека (поэтому fib в pf нет и не будет, добро пожаловать обратно в старый шлак).

> А вот аналога нетграфа в линухах нет.

а вот аналог нетграфа - ненужен. Как и сам нетграф. Уродливое нагромождение кривых глюкал, так и оставшееся бы загадочной академической хренью без активного использования, если бы Мотину не удалось присобачить к нему ppp.
С чего вдруг фрейминг пакетов должен осуществляться через кривую этажерку нетграфовых модулей в юзерспейсе с запихиванием результата обратно - науке совершенно неизвестно (кроме, конечно, что так быстрее и проще фигак-фигак и в продакшн, а автор оригинала давно ушел на покой).
При этом, к сожалению, и так крохотная полянка, оставленная циской и корпвпнами оказалась затоптана, и ничего другого прилично работающего уже никогда не будет, и в линуксе тоже.

Пользуйте ваш ipsec (забавно, но он нетграф не использует, хотя там есть место и юзерспейс-хелперу, и фреймингу и с файрволом забавные непонятки)