Обычно на роутерной конфигурации я использовал самописный скрипт - основанный на туториале:
http://www.opennet.ru/docs/RUS/iptables/
однако некоторые недостатки подобного фаервола - трудности с добавлением новых сервисов, блокирования нежелательных адресов, отслеживания блокированных соединений, необходимость в шейпинге - заставили меня искать более гибкое решение. Свой выбор я остановил на shorewall.