>> В ipfw умеет работать с таблицами IP-адресов.
>
>Забавно. А если iptables этого не умеет, то почему жк он так
>называется? :-)

По недоразумению. В линуксе вообще многое называется не так, как в точности следовало бы. Это таблицы правил, но на самом деле они представляют собой списки правил, а не таблицы. В ipfw список правил никаким специальным словом не называется, а таблицы - это набор IP-адресов/масок, организованных в radix-дерево для быстрого поиска, т.е. O(log N) вместо O(N) для линейного списка правил в цепочке iptables и ipfw.

Таблицей же это называется потому, что в ней действительно более одного столбца - кроме адреса еще сопоставлено числовое значение, по которому можно дополнительно проверять совпадение либо использовать для сокращения списка правил:

ipfw table 1 add 1.2.3.4
ipfw table 1 add 1.2.3.7 0
ipfw table 1 add 1.2.4.0/24 1
ipfw table 1 add 1.2.5.0/27 1
ipfw table 1 add 1.2.6.0/24 2
...
ipfw add deny all from table(1,2) to www.example.org // 1.2.6.0/24 etc.
ipfw add pipe tablearg all from table(1) to any

иначе была бы портянка вида
ipfw add pipe 1 all from 1.2.4.0/24 to any
ipfw add pipe 2 all from 1.2.6.0/24 to any
...

В линуксе для этого есть ipset, но он, во-первых, действительно set (множество), а не таблица, ничего не сопоставлено с адресом, во-вторых, не входит в стандартную поставку, из-за чего админам иногда приходится эмулировать его руками (вспоминается DoS башорга).