NAT не док конца NATит....

Всем привет.

Был и работал NAT под Debian 9.
Сегодня ночью ему что-то померещилось и он перестал быть NAT'ом :(
Как выглядит:
Клиент отправляет пакеты, NAT их транслирует дальше, сервер получает эти пакеты, в ответ отправляет, NAT их получает на внешнем интерфейсе и всё. Дальше клиенту их не пересылает. При этом в conntrack появляется строка на это «соединение».

iptables -t filter весь пустой в правиле ACCEPT
iptables -t mangle тоже пустой.
iptables -t nat только 1 правило SNAT, которое судя по всему работает в одну сторону.

ip_forward - 1

что ещё можно глянуть?

Update:
Сравнил с рабочим другим NAT.
Если опираться на https://upload.wikimedia.org/wikipedia/commons/3/37/Netfilter-packet-flow.svg
то входящие (обратные ответы от серверов в интернет)
пакеты удачно проходят mangle prerouting и nat prerouting, а вот в mangle forward уже не появляется, в то время как на рабочем в это месте уже «изменённый» пакет с адресом назначения в локальной сети.
Получается NAT не «подправил» пакет, а routing сбросил его, т.к. он получился «никуда»...