ip-adsl внутри-192.168.0.77     +------------+      
                                               |            |      
                            +--|adsl1|---------+ 1.1.1.0/20 +
        __                  |                  |            |
    ___/  \_         +------+-------+          +------------+
  _/        \__      |     eth0     | ip eth0-192.168.0.1                  
/             \     |              |                      
| Локальная сеть-----+eth1  Linux   | ip eth1-192.168.2.1                  
\192.168.2.0/24     |              |                      
   \__     __/       |     eth2     |                            ________
      \___/          +------+-------+     +------------+        /
            ip-eth2-2.2.2.2 |             |            |       |
                            +--|adsl2|----+ Провайдер  +-------| Internet
                                          |            |       |
                                          +------------+        \________
default route на сервере - 2.2.2.3(в сеть прова интернет).
adsl1 - в режиме роутера.
adsl2 - в режиме бриджа.
на сеть 1.1.1.0/20 прописан маршрут:
route add -net 1.1.1.0/20 gw 192.168.0.77

все исправно работает, то что ходит в сеть 1.1.1.0/20, ходит через adsl1
то что ходит не в сеть 1.1.1.0/20, ходит через adsl2
НО. Хочу, чтобы ответ на SYN и ESTABLISHED,RELATED трафик шел через тот интерфейс, с которого пришел SYN. Иначе сеть 1.1.1.0/20(а вернее ее админ), матюкается...
КАК ЭТО СДЕЛАТЬ?

Мысли про policy routing:

/sbin/ip rule add from 192.168.2.0/24 to 1.1.1.0/20 table 101 pref 102
/sbin/ip rule add from 192.168.2.0/24 to 0/0 table 102 pref 102

/sbin/ip route add table 101 via 192.168.0.77
/sbin/ip route add table 102 via 2.2.2.3

Мысли про файрвол: метить пакеты по syn\dest и форвардить? Как? Пример плиз.
Правила файра пришлю....там NAT в инет и куча фильтров.