@Counter
@JerningChan 说的做法可以解决你的问题，但问题不是他所说的那样。
iptables 对 ESTABLISHED 的定义并不是连接已经完成握手，而是之前见过相同连接的包。 netspeeder 对入站的连接也会双倍。第一个包确实 drop 了，第二个包 iptable 已经见过，所以允许了。然而因为是复制包，所以两个包中都是 syn ，任何一个都可以建立连接。

如果用 reject 的话，因为远端机器已经收到 rst 包，所以连接终止。即使你的机器返回 synack ，对方也不会处理。但是如果有人知道你是这样做的话，还是很容易绕过这个的。因为他只要 drop rst 包就行。

靠谱的解决也很简单：不要双倍 syn 就好了
'tcp[tcpflags] & tcp-syn == 0'
不过这样不能过滤 ipv6 ，偷懒不想查了，你要用的话自己查一下 tcpdump 怎么 dump ipv6 的 syn ，逻辑反过来就行。