Das Conntrack, das ich in #27 empfohlen hatte, hast Du aber schon aktiviert?