Megoldási javaslat: OUTPUT helyett PREROUTING, és nem -o, hanem -d alapján matchelni.
------------
Visszavontam: nem kell OUTPUT helyett PREROUTING, ha helyben generált forgalomról beszélünk (a PREROUTING csak az áthaladó forgalomra vonatkozik), de a -o akkor sem tud matchelni.