O maquinário adicional mais importante do netfilter tem que passar, pelo que eu vejo da fonte, está fazendo hash de novas entradas, atualizando créditos de entrada, procurando entradas e limpando as tabelas hash subjacentes que você precisa (veja / proc / net / ipt_hashlimit).
Como as tabelas de hash são usadas, todas essas operações são constantes e muito rápidas, exceto a limpeza de tabelas. Este último é caro se você tiver muitas solicitações de todos os diferentes usuários.
Se eu tiver que fazer uma estimativa aproximada para a sobrecarga de hashlimit, adicionaria no máximo 15% ao custo de processamento de um conjunto de regras padrão. Como de costume, a melhor maneira de saber é medir. Se você fizer isso, atualize este post:)
Como observação, talvez você queira conferir o PF taxa limitando opção no BSD.