Názor k článku Adam Golecký, NIX.CZ: nechceme rozhodovat o dobrém a špatném provozu od Sten - Když jádro dostane paket, podívá se, jestli by...

Když jádro dostane paket, podívá se, jestli by odpověď poslalo tam, odkud paket přišel, tedy jestli routa pro zdrojovou IP adresu míří na příchozí rozhraní. Pokud ne, tak paket zamítne. Stačí mít potom správně nastavené routování, ale to je potřeba už jen proto, aby ta síť vůbec fungovala.

Teď, když na to koukám, tak by tam mělo být DROP, REJECT vlastně nedává smysl (podvržené adrese stejně neodpovíte) a v  PREROUTING ani nejde použít.