страшное правило для iptables

[AnrDaemon]

Если использовать шлюз по умолчанию, "отличный от тех двух", то надо для него тоже добавить марку.
Смысл моей схемы в следующем:
1. _Все_ пакеты с любого шлюза, _не принадлежащие нашей сети_, маркируются.
2. Маркированные пакеты заворачиваются на соответствующий шлюз.

Если нарушается любое из двух правил, схема рушится.

То, что описываешь ты, применимо только если ты хочешь отдавать трафик в шлюз, отличный от того, с которого он пришел.