тем, что можно автоматизировать, а не руками дрочить подсети
Во-во, есть возможность кидать команду на iptables на автомате. Только конечно в плане отказоустойчивости вопрос, если сервер с iptables дохнет, все филиалы встают раком. Но можно наверное кластер из одинаковых серверов слепить?