Po NATowaniu pakietu na I-face zewnętrznym/WAN "tc" widzi już adres IP publiczny i gubisz informację o tym jaki jest adres IP w sieci lokalnej. Markując go odpowiednio zatrzymujesz tą informację, jednakże obciąża to procesor bardziej niż filtr u32.

Mysle, ze troszke przesadzasz, do masowych rozwiazan idealnie spisuje sie IPMARK. Jedna regulka zalatwiasz cale klasyfikowanie pakietow do klas.