Regułki w tablicy nat testowane są tylko dla pierwszych pakietów dialogów. Zrób jedną regułkę SNAT/MASQUARADE i regułki z testem MAC, a serię MARKów zastąp IPMARK. Przeglądanie filtrów fw dla interfejsu ma złożoność n/256 (zastosowali w kernelu funkcje haszujące i chwała im za to).

Co do SNAT/DNAT to nie wyda, bo mam 254 ipki tak zeby userzy mieli natowane "wlasne" publiczne IP i to w sposob dynamiczny (losowy przydzial zew.ip-komp). Co do reszty musze znalezc troche czasu i sie przyjzec. :]