не могу разобраться с iptable (ограничение подключений)

[dsl85]

Имеется сервер debian (локальный IP 169.254.122.199), подключенный к локальной сети, доступ к интернету осуществляется через модем (локальный IP 169.254.122.3), также подключенному к локальной сети. На модеме настроен VirtualServer все пакеты приходящие на порт 8022 модема, пернеаправляются на debian на тот же самый порт 8022.

Мне нужно ограничить количество одновременных подключений(сессий) до трёх.

покопавшись в манах и гугле пришёл к решению
iptables -A INPUT -p tcp --syn --dport 8022 -m connlimit --connlimit-above 3 -j REJECT

однако в данном исполнении оно почему-то работает не так как надо, а именно, опытным путём удалось выяснить что он ограничивает тремя одновременное подключение к серверу (т.е. именно сам процесс подключения, а не сессии)

В идеале мне нужно, что бы количество пользователей из локальной сети было неограничено, а  из интернета ограничивалось тремя.

помогите пожалуйста советом....