Por que você diz que NAT para IPv6 é um não-ir? Um NAT de muitos para um é tolo, mas não há razão para evitar traduções One to many (load balancing) ou Many to Many.
Existem vários discussões do uso do OpenBSD e do PF para fazer firewalls IPv6. Você não terá velocidades ASIC, mas essas coisas estão bem para as fronteiras e provavelmente não seriam muito ruins em um núcleo.