чего-то заклинило в голове...

В общем и целом я не понял вопроса, можно по пунктам и более внятно:
1) что нужно (по возможности для чего)
2) что было для этого сделано
3) в чем загвоздка

Тем не менее советую глянуть в

/usr/src/sbin/ipfw/ipfw.c (если исходники есть, конечно. если нет - выкачать
хотя бы этот каталог, там только исходник, мануал и мейкфайл)

В самом началн функции main () открывается raw сокет,
по определению доступный только руту. Одна из возможных причин.

Есть моя собственная программа, которая работает с IPFW - (popen) - работает от пользователя, скажем, WWW. В целях безопасности, вызывается не /sbin/ipfw, а сделан линк со своими правами доступа и sticky-ом битом (от root: chmod u+s) для того, чтобы копию ipfw мог запустить не руут. И после этого ipfw работает с пользователем WWW. Но зато не работает сокет, который открывает IPFW: not permit.

Если сделать chmod u+s на ipfw в /sbin - т.е. он по правам доступа ничем не отличается от своей копии в /usr/local/sandbox - то сокет открывается и все фунциклирует просто шоколадно.

Вот и не могу сообразить - где этот канал открывается на сокет - что именно открывается, чтобы я сделал линк к sandbox. Может быть просто путь к указателю на сокет указан относительно - типа ../dev - а его-то и нету в sandbox.

1) u+s != sricky bit, u+s == SUID bit
2) Щаз исходники покопаю, надо чем-то себя занять.
Может чего и нарою

Что-то я так и не догнал, в чем трабл, поскольку суидный ipfw прекрасно работает ну да ладно.
Как запускается "песочный" ipfw?
У меня получилось из программы запустить суидный ipfw и изменить файрвол.
Проблем не было, как я понимаю, это несколько не то?