Почему DNAT без SNAT не работает, а SNAT без DNAT работает?

Дайте костыль для автоматического производства правил iptables для заворачивания хуйни из говнореестра в специальное правило.

На лаптопе 172.28.0.2 через iodine, который на сервере 172.28.0.1. На сервере есть внешний айпи 1.1.1.1, поднят маскарадинг. Когда на лаптопе ip r a default via 172.28.0.1, через него ходит трафик до всех интернетов кроме самого 1.1.1.1. Что я сделал не так? Нат сделан как-то так: iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

В очередной раз интересуюсь: как в linux сдампить сетевой трафик конкретного процесса? Интересуют исходящие tcp-соединения. iptables вроде можно попросить выделять пакеты по uid'у процесса, их породившего, но как быть с пакетами, которые летят в него из интернетов? Прыщестек-почти-не-знаю-кун.