> это не про сей модуль, например он игнорирует фильтры всего акромя tcp/udp

А остальное можно вообще зарезать КЕМ на фаере без особых потерь. MS вон в приступах паранои RAW сокеты вообще в винде пристрелил совсем. Правда избавление от головной боли методом гильотины понравилось не всем и теперь продвинутый сетевой софт появляется больше под пингвинов и т.п, где raw сокеты можно.

> машины -- потому-что обработка (в случае torrent-клиента) пакета будет происходить
> всё-равно в userspace

Не понял. Где обработка в юзерспейсе будет? У обычного айпитаблеса+нетфильтра вроде все в ядре, юзермод пакет покинет когда прога его отправить захочет. После чего его возьмет в оборот ядро и там уже нетфильтр может что-то с ним сделать. Или не сделать.

> и контекст всё равно будет меняться --

В каком месте? Я не допираю.

> и через LD_PRELOAD будет занимать одинаковые ресурсы.

Что-то у меня нет такой уверенности. Наиболее логичным и прямым видится иметь дело с пакетами в нетфильтре или где-то рядом.