а если заглянуть ещё глубже, мы обнаружим, что OP не пакетный фильтр, а фильтр на уровне приложений, а это разные вещи. при реализации iptables нужно контролировать только работу стека, сравнивая каждый пакет с имеющимися правилами пропуска. при реализации фильтра на уровне приложений нужно устанавливать хуки на все операции с сокетами. сама по себе программа OP - достаточно сложный и объёмный продукт. хорошо знаю их ещё с первой дорелизной версии.