Poxa 1c3... não é melhor já utilizar o Snort? O l7, embora seja perfeito pra fazer um bloqueio por conteúdo do pacote, consome muito processamento...