Я указываю направление в мангл, правило на выход работает, на вход я ставил dst address из внутренних сети, но до dst нат это бессмысленно, естественно правило не работает. Просто было желание промаркировать соединения, чтобы в конекшинах было красиво! А когда не знаешь порт и хочешь промаркировать все соединения в опрелённую подсеть.... вообщем нет мыслей как это сделать