>[оверквотинг удален]
>> для ICMP применяется, правда на SNAT, именно сессия в кавычках.
>>>> Поставьте на
>>>> конечном сервере default gw через сервер фильтрации, чтобы DNAT в обратку
>>>> отрабатывал, должно заработать.
>>> Конечный сервер и сервер фильтрации в разных сетях.
>> Да, наводит на мысль, что в обратку SNAT, надо бы. Как тут
>> в примере 5.7 http://linux-ip.net/html/nat-dnat.html
>> Но тут пока до всего этого не дошло. Пока просто до конечного
>> сервака пакет не доходит, как будто форвардинг не работает.
> Да, пока пакет не может еще отправится на конечный сервер))

Дропы на tx, это не значит что не может отправиться, это значит что не может дойти. Сейчас не нашёл описания, но судя по коду в ядре, разные причины могут быть. Походу в роутинге что-то не так. Надо с этим разобраться для начала.

Например поднять секондари ip совпадающий с клиентским и походить от него на сервер.