>кесарю кесарево знаете-ли
>нюхач snort + snortsam

снорт даст куда большую нагрузку на cpu. Хотя бы потому что ему придётся слушать весь трафик(я уж не говорю о копировании данных в юзерланд).

>>Вот для этого и нужен анализ по длине пакета и модули, которые
>>вам кажутся ненужными.
>>На примере того же skype:
>>Сначала отбираем udp пакеты + опр. длины. А потом уже отправляем на
>>L7-filter.
>>pf так может?
>Может см. выше

ООх... http://nuclight.livejournal.com/122098.html

"Стоит заметить, что не всякий L7 filtering может быть сделан с помощью ng_bpf - поскольку в этом ассемблере запрещены условные переходы назад и таким образом циклы, нельзя организовать, например, поиск фиксированной подстроки по заранее неизвестному (и никак не вычисляемому из других данных) смещению в пакете (то, что делает iptables -m string) - думается, в будущем будет написан netgraph-узел, который займется именно этим :)"