Mélyebben most nem gondolnék bele, hol mászhat el, de amin el szokott, az pl. a megfelelő mangle sorok esetén a passthrough opció hiánya (1. csomag connection mark után még tovább kell mennie és már az alapján a packet-et route mark-olni. Ha nincs passthrough, ez nem történik meg). Illetve a router-re/-ről közlekedő csomagoknak külön input/output chain-be kell felvenni ugyanazokat a mark szabályokat, nem elég a prerouting/postrouting.