nftables nat counter incomplet

Încerc să învăț nftables/nat și să am niște configurații experimentale simple:

Machine1 (router):
    - eth0 192.168.0.1
    - eth1 192.168.1.1

Mașina 2:
    - eth0 192.168.1.2

Pentru Machine1 am configurat NAT:

table ip nat {
        postrouting în lanț {
                tip nat hook postrouting priority srcnat; acceptarea politicii;
                ip daddr 192.168.1.2 contor pachete 0 octeți 0
                ip saddr 192.168.1.2 contor pachete 6 octeți 420
                ip saddr 192.168.1.0/24 oif „eth0” snat la 192.168.0.1
        }
}

NAT funcționează bine, pot accesa 192.168.0.1 (și mai departe) de la Machine2.

Cu toate acestea, mă lupt cu contorul: numerele de mai sus sunt de la a wget stackoverflow.com de la Machine2 și sunt mult sub ceea ce ls -l index.html este grăitor (~180k). Mi-aș putea imagina că aceștia sunt doar octeții/pachetele de ieșire, cei care intrați pur și simplu nu sunt numărați (am adăugat daddr contracar în speranța de a obține acestea).

Ce îmi lipsește?

Când o conexiune trece prin NAT, conexiunea este procesată cu ajutorul urmăririi conexiunii.Aceasta înseamnă că numai pachetele inițiale pentru conexiune (SYN, SYN-ACK, ACK) trec prin regula NAT.

Restul pachetelor sunt procesate cu intrarea de urmărire a conexiunii care este configurată la pornirea NAT.

Dacă doriți să numărați pachetele, trebuie să adăugați reguli la filtru masa REDIRECŢIONA lanţ.