> В PF как раз есть такая штука, как встроенный оптимизатор. Который после
> загрузки набора правил изучает, скажем так, зависимости между правилами, и уменьшает
> (порой на порядки!) количество проверок.

или увеличивает:

When pfctl(8) encounters a list during loading of the ruleset, it creates multiple rules, one for each item in the list. For example:

    block out on fxp0 from { 192.168.0.1, 10.5.32.6 } to any

gets expanded to:

    block out on fxp0 from 192.168.0.1 to any
    block out on fxp0 from 10.5.32.6 to any

очевидно, что:
    block out on fxp0 from { 192.168.0.1, 10.5.32.6 } to { 192.168.0.2, 10.5.32.4 }

будет развёрнуто в 4 правила. если там будет список портов(например, 10шт), то правил будет 40.

хосты можно засунуть в таблицы, а вот с портами - такое не получится. как и не получится, если надо хранить ip:port в таблице.

плюс, таблицы в pf хранятся в radix tree и 65к хостов будут занимать уже прилично памяти.

> У PF в OpenBSD затык в совсем другом месте - ядро ОС
> работает на одном физическом процессоре (ядре). Подвижки в решении этой проблемы
> пока что идут, увы, "за сценой".

думаю, glebius раньше доведёт до ума:

http://lists.freebsd.org/pipermail/freebsd-pf/2012-June/0066...

PF в freebsd теперь будет свой.
в netbsd - NPF.