> повторяю: цифры, тесты?
> раз вы упомянули pf:
> 1)http://forum.nag.ru/forum/index.php?showtopic=47497
> 2)http://forum.nag.ru/forum/index.php?showtopic=18744

Здесь с тем же успехом могли вылезти тормоза из-за переброса пакетов между фаерволами. А тут сравнивают «PF+ipfw+клей vs. ipfw» вместо «PF vs. ipfw». Вот другой пример, именно сравнения равного функционала: http://lists.freebsd.org/pipermail/freebsd-performance/2010-... ; не то чтобы конкретный слив, но преимущество PF заметно.

> 3)http://forum.nag.ru/forum/index.php?showtopic=60859

Топикстартер просто упёрся в лимит стейтов, в теме написано. «set limit NNN» и все счастливы, кроме тех, кому PF жить мешает. :)

> 4)http://groups.google.com/group/fido7.ru.unix.bsd/browse_thre...

Ни одного _доказательства_ тормознутости PF не приведено. Хотя на SMP он не раскладывается, да, но это не мешает ему обрабатывать весьма большие потоки пакетов. Чтобы не быть голословным, хохмы ради сегодня попробую гигабитный линк у когда-то любовно настроенного фаервола загрузить случайными пакетами, посмотрим на результаты. Только фряху, боюсь, я туда не вкорячу ради эксперимента, ибо уволился. :) А так — http://www.mail-archive.com/freebsd-pf@freebsd.org/msg0... , например.

>> достаточно вменяемым набором средств сопровождения, идеология которых примерно одинакова
>> без значительных изменений без крайней нужды. (например, те же freebsd-update, portsnap,
>> порты portaudit, portupgrade и т.п.)
> это всё замечательно, что такие инструменты есть.
> теперь назовите затраты времени на:
> 1)инсталляцию HA-firewall на базе FreeBSD.

Инсталяция базовой системы, поднятие pfsync (одна команда ifconfig) и CARP (ещё 1-2 команды ifconfig). Всё, дальше оно само. Ну, ещё не грех те же команды в /etc/rc.conf записать, разумеется. :) Остальное — написание правил собсно фаервола (для ленивых есть Firewall Builder, например).

> 2)обновление этой инсталляции(например, в случае SA/bugfixes)

А это пусть уже лучше спец по фряхе расскажет, я за новостями давно не следил, мог упустить чего. В опёнке просто: обновляем стабильное ядро, и всё. Ничего не отваливается, так как фаерволы в связке: спокойно по одному ребутаем.