iptables hashlimit dstip,dstport вопрос

Да, отдельный счётчик. При условии, что hash-таблица не переполняется.

тоесть каждому ip:port считает отдельно и если у определенной пары переполение то только этой паре отрежет трафик а остальных будет считать дальше. Верно я мыслю?

Переполнение не у пары, у таблицы. На каждую пару dstip,dstport заводится запись, но не более ″--hashlimit-htable-max″ записей.

Если будет перебор всех портов и всех ip-адресов, то новые пары будут «выбивать» старые из таблицы, а в dmesg/логах будет ругань типа:

kernel: xt_hashlimit: max count of 65536 reached 

Скорее всего у вас такого не будет, но если что, поднимайте hashlimit-htable-max и hashlimit-htable-size.

сложновато понять. цель преследую такую, что если к примеру прилетает гадость на один ip:port, то именно этой паре будет ограничивать входящий трафик, а остальные ip:port будут дальше считать пакеты без ограничения