Вопрос по работе fwmark и маршрутизации.

Здравствуйте!

Продолжаю познавать увлекательный мир сетей. :)
Есть локальная сеть с роутером на Джетне, с которого доступ в интернет и тамже подключение по vpn.

Из локалки один компьютер использует основное подключение к интернету, а другой шлюз доступный через vpn.

Есть две таблицы inet и vpn.

Если правило статической маршрутизации, то все работает:

ip rule add from 192.168.0.95 lookup vpn

Комп 192.168.0.95 ходит в инет через шлюз указаный в таблице vpn.

Но если я маркирую iptables пакеты для 192.168.0.95 и от 192.168.0.95:

iptables --table mangle --append PREROUTING --destination 192.168.0.95 --jump MARK --set-mark 3
iptables --table mangle --append PREROUTING --source 192.168.0.95 --jump MARK --set-mark 3

iptables --table mangle --append FORWARD --destination 192.168.0.95 --jump CONNMARK --save-mark
iptables --table mangle --append FORWARD --source 192.168.0.95 --jump CONNMARK --save-mark

И добавляю правило

ip rule add from all fwmark 0x3 lookup vpn

То пинг перестает ходить. Причем на интерфейсе vpn он идет в обе стороны, а уже на интерфейсе в локалку ответ от пингуемого сервера не проходит.

То есть пакеты ответа на пинг толи не попадают в таблицу vpn (хотя правило статическое есть что с этого шлюза в эту таблицу), толи не проходят по таблице vpn..

Подскажите где я ошибся?