> а чем вариант iptables + ipset + mark + ip rule не
> устраивает?

таблица маршрутов на пару сотен тысяч маршрутов - вообще ничего. а вот ipset даже в виде хеш-таблицы вполне может и ударить по производительности, особенно если его не туда, куда надо воткнуть по неопытности.

Да, можно делать лукап только для state NEW, и там маркать коннекты, и отдельно на входе маркать пакеты по маркам коннектов, но это сложно и нужно далеко не везде, когда обычная маршрутазация успешно решает этот кейс