conntrackなしFWはつらいね(お手元のiptablesには戻りパケットは素通しするルールが書かれていると思われますがそれは当然FWを通ってるTCPコネクションを全部把握しているからこそ可能な訳です)