>>Зато отсутствие доменов маршрутизации в Linux заметно усложняет работу, а некоторые вещи становятся чрезвычайно трудными или даже невозможными, когда в разных доменах маршрутизации используются одинаковые локальные и/или удалённые адреса.
> Вместо доменов маршрутизации там используются отдельные таблицы маршрутизации, управляемые
> через таблицу правил. Решение не менее фичастое, и даже более гибкое.

Гм. А в чём принципиальное отличие от "match <...> rtable N"? (смена таблицы маршрутизации для пакета средствами PF)

> Приходилось иметь дело с ситуациями, когда нужно было поддерживать несколько интерфейсов
> с одинаковыми или пересекающимися адресными пространствами - на мой взгляд, пингвин
> предоставляет больше всего возможностей. А после введения conntrack zones вообще лафа
> пошла.

Ну да в PF нет conntrack zones, так как у PF изначально не было проблем, которые conntrack zones решают. :)

>> Так что OpenBSD суммарно оказывается более гибкой.
> На мой взгляд, очень спорное утверждение.

Ну вот, собственно, мы и спорим. :)

>> А можно, пожалуйста, поподробнее?
> Процессы могут передавать друг другу открытые fd. Такая прекрасная идея, а воспользовались
> ею только в launchd и в systemd (который во многом скопирован
> с launchd).

Понял, спасибо.

>>А указывая некий абстрактный тег, программа начинает зависеть от того, что там в фаерволе наконфигурировано, то есть образуется вынужденная дополнительная связь между конфигурируемыми вручную компонентами.
> Это называется unix way: каждый инструмент решает свою задачу -> в результате
> имеем максимальную гибкость.

Правильно. Таблица маршрутизации и фаервол - немного разные инструменты. В вашем случае обе функции ложатся на фаервол. Что вы там говорили про unix way? ;)

Всё то, что вы пока что описываете как фичи netfilter, в PF имеется (что-то давным-давно, что-то не очень). Поэтому реализовать ваш вариант можно и на OpenBSD (да и на FreeBSD как минимум тоже, ipfw местный в последнее время становится всё более человеческим). Но зачем, если есть нормально работающие домены маршрутизации? :)