Если у тебя роутер, то его имеет смысл закрывать по-максимуму, а транзитный — едва-едва. Таблицы INPUT/FORWARD/OUTPUT позволяют сделать это максимально удобно. При этом, вдвойне приятно, что не будет залипух как с ipfw's me (pf's self).