iptables vs bittorrent (tcp ACK --state NEW)

[petrun]

Имееться роутер с iptables на борту.На один из LAN машин стоит torrent клиент и,соответственно на него сделан DNAT.
Есть вполне логичное правило :

A FORWARD -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP

Но оно почему-то режет некоторые (~0.7/сек) как входяшие,так и исходящие пакеты , вида :

IN=ppp0 OUT=eth1 SRC=76.232.253.81 DST=192.168.0.30 LEN=131 TOS=0x00 PREC=0x00 TTL=49 ID=58817 DF PROTO=TCP SPT=58376 DPT=59388 WINDOW=65535 RES=0x00 ACK URGP=0
IN=eth1 OUT=ppp0 SRC=192.168.0.30 DST=74.210.249.179 LEN=120 TOS=0x08 PREC=0x00 TTL=63 ID=64796 DF PROTO=TCP SPT=55825 DPT=50432 WINDOW=92 RES=0x00 ACK PSH URGP=0 OPT (0101080A03160BCD00000000)

Пакеты связанны с торрентами,так как, у входящих в DPT проброшенный порт,а у исходяших TOS=0x8,который прописан в торрент клиенте.
Собственно почему это происходит?Iptables плохо отслеживает соединения?

[KDimanB]

У меня вот, кстати, вопрос по iptables есть - спрошу тут (надеюсь автор темы не против )

В фаерволе есть INPUT правила, добавляемые с параметром -А, перед которыми стоят правила с параметром -I:

Код: Выделить всё

iptables -I INPUT 1 -i ...

Причём у всех стоит цифра "1", хотя их там 3 штуки.
Вопрос: нормально это или надо ставить цифры "-I" правил по порядку (1, 2, 3)?


По поводу вопроса, я не спец, но быть может загвоздка в выделенных жирным _словах_?

IN=ppp0 OUT=eth1 SRC=76.232.253.81 DST=192.168.0.30 LEN=131 TOS=0x00 PREC=0x00 TTL=49 ID=58817 DF PROTO=TCP SPT=58376 DPT=59388 WINDOW=65535 RES=0x00 _ACK_ URGP=0
IN=eth1 OUT=ppp0 SRC=192.168.0.30 DST=74.210.249.179 LEN=120 TOS=0x08 PREC=0x00 TTL=63 ID=64796 DF PROTO=TCP SPT=55825 DPT=50432 WINDOW=92 RES=0x00 _ACK_ PSH URGP=0 OPT (0101080A03160BCD00000000)