> Резюме:
> плюсы от использования решения с ng_bpf вижу в том что меньше конфигов
> править при изменениях, и эти модули по идее есть всегда под
> рукой, и они написаны на высоком "ядерном" уровне качества - не
> надо ставить дополнительные порты (например igmpproxy или udpxy). Хотя если честно
> для меня все это так и осталось магией - я еще
> не осознал саму ng_bpf технику что используется скриптом :)

На каждый хук, подключённый к ng_bpf можно назначить программу, результатом которой может быть пересылка пакета на один из двух указанных в программе хуков. Можно пересылать пакет не целиком а обрезать.
upper - это хуки на которых трафик от самой системы/в систему
lower - драйвер сетевухи

Всё что идёт с upper пересылается на lower без раздумий.
Если с lower идёт что то, что подпадает под условия мультикаста, то оно пересылается на lower другой сетевухи, остальное на upper этой же сетевухи.

bpf реализует простенький ассемблер, уровня: загрузить 1/2/4 байт с такого то смещения, сравнить, да - переход на XXX строку, нет - переход на YYY строку. Если возвращается 0 - то не совпало, если больше нуля - то столько бат переслать на хук match.
tcpdump -d "выражение" - прекрасно это иллюстрирует.
Более подробно или у нюклайта (постера новости) в блоге или в исходниках/манах.