>>> Вот это удобно, да?
>> Там просили "чтобы нагрузка на процессор была поменьше."
> Открою страшную тайну - можно было просто правило с -i lo перенести
> повыше, чтобы оно не дергало conntrack на локальных пакетах.

cat /proc/net/ip_conntrack |wc
     30     420    4478
cat /proc/net/ip_conntrack |grep -c 127.0.0.1
0

на друой машине
cat /proc/net/ip_conntrack | wc
  10208  142628 1505300
cat /proc/net/ip_conntrack | grep -c 127.0.0.1
30

оптимизатор унылый