Díky za užitečný komentář. Že původní varianta filtrování paketů nebyla zamýšlena primárně pro firewall ale pro filtraci paketů pro socket jsem nevěděl. K té rozšířené variantě už jsem nechtěl zabíhat, protože to bylo mimo téma komentáře, na který jsem odpovídal. Chtěl jsem se vyhnout popisu virtuálního stroje, ale na té větě je nakonec chybné opravdu vše.