Уже присую блин :(
ОС Debian testing (обновляю постоянно)

Ситуация:
Есть сервер подключен к локальной сети. К нему цепляются через eth0 по впну пользователи. Получают ипы 192.168.0.0/24. На сервере установлена двб карточка и подключен спутниковый инет. В общем все работает. Я хочу ограничить количество сессий каждому впн пользователю. В ядру поддержка есть все либы на месте!
В конфиге iptables:
# Generated by iptables-save v1.4.5 on Tue Dec 22 14:18:49 2009
*mangle
:PREROUTING ACCEPT [18158:7002176]
:INPUT ACCEPT [10311:1063253]
:FORWARD ACCEPT [7847:5938923]
:OUTPUT ACCEPT [13070:7337715]
:POSTROUTING ACCEPT [20917:13276638]
COMMIT
# Completed on Tue Dec 22 14:18:49 2009
# Generated by iptables-save v1.4.5 on Tue Dec 22 14:18:49 2009
*filter
:INPUT ACCEPT [10312:1063293]
:FORWARD ACCEPT [7847:5938923]
:OUTPUT ACCEPT [13076:7338987]
-A FORWARD -i eth0 -m state --state INVALID,NEW -j DROP
COMMIT
# Completed on Tue Dec 22 14:18:49 2009
# Generated by iptables-save v1.4.5 on Tue Dec 22 14:18:49 2009
*nat
:PREROUTING ACCEPT [244:20505]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -o tap0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Tue Dec 22 14:18:49 2009

Пробовал добавлять правила:
-A FORWARD –s 192.168.0.0/24 -p tcp --syn -m connlimit --connlimit-above 5 --connlimit-mask 32 -j DROP

-A FORWARD –s 192.168.0.0/24 -p tcp --syn -m connlimit --connlimit-above 5 --connlimit-mask 24 -j DROP

-A FORWARD –s 192.168.0.0/24 -m connlimit --connlimit-above 5 --connlimit-mask 0 -j DROP

-A FORWARD –s 192.168.0.0/24 -m connlimit --connlimit-above 5 --connlimit-mask 32 -j DROP

-A FORWARD –s 192.168.0.0/24 -m connlimit --connlimit-above 5 --connlimit-mask 24 -j DROP

-A FORWARD –s 192.168.0.0/24 -m connlimit --connlimit-above 5 --connlimit-mask 0 -j DROP

И с PREROUTING пробовал , нефига не ограничивает – сессий один фиг больше 5 по протоколу TCP создается…. Я не знаю что уже думать…

Что я не так делаю?