Маленькая скорость и ошибки на интерфейсе если в iptables много правил

Очевидно же что с «большим кол-вом правил». На каждый чих (пакет в общем случае) оно должно пробежаться, в худшем случае, по всей цепочке.

Оптимезируй: уменьшь кол-во, частые случаи в перёд, редкие — назад.

PS/offtopic: но ещё лучше — забыть iptables, как страшный сон.

а что использовать вместо iptables

очевидно, нечто из bsd

Много - это сколько ?

Ipset не поможет ?

На каждый чих (пакет в общем случае) оно должно пробежаться, в худшем случае, по всей цепочке.

А что при этом является ограничивающим фактором со стороны железа?

много правил

Много - это сколько? У меня на одном серваке примерно 6 тысяч правил - ничего не дропается. Но думаю вынести в ipset, т.к. правила динамические, а иногда надо бывает обновить конфиг файрвола и тогда ой...

Используй более производительный ipset.

http://daemonkeeper.net/781/mass-blocking-ip-addresses-with-ipset/

Забыть про медленный iptables и приветствовать ничего не умеющий pf, ага.