[Iptables] Нужно фильтровать несколько ip, посдскажите. [Решено]

На роутере установлен Squid в режиме теневого прокси. Для него соответственно в цепочке PREROUTING делается редирект:

iptables -t nat -A PREROUTING -i ${LAN} -s 192.168.0.0/255.255.255.0 -p tcp --dport 80 -j REDIRECT --to-ports 3128

Чтобы фильтровать нужные ip, цепочек в FORWARD не достаточно, так как обращения на 80 порт после этого редиректа уходят на INPUT. Чтоб сработали правила для дропа пакета в FORWARD на нужные ip и на 80 порт, создал цепочку в начале PREROUTING:

iptables -N "prerouting_check"
iptables -F "prerouting_check"
iptables -t nat -A PREROUTING -i ${LAN} -s 192.168.25.0/255.255.255.0 -j prerouting_check

iptables -A prerouting_check -i ${LAN} -s 192.168.0.0/255.255.255.0 -d ${IP1} -j ACCEPT
iptables -A prerouting_check -i ${LAN} -s 192.168.0.0/255.255.255.0 -d ${IP2} -j ACCEPT
iptables -A prerouting_check -j RETURN

Как я понял, пакет по принятию ACCEPT должен выскочить из PREROUTING не доходя до REDIRECT, и быть отловленным в FORWARD а не пойти на прокси в INPUT, но пакеты почему-то все равно попадают на прокси.

Подскажите, где я ошибся?

Решение:
В начале PREROUTING, до строк с REDIRECT:

iptables -A PREROUTING -i ${LAN} -s 192.168.0.0/255.255.255.0 -d ${IP1} -j RETURN
iptables -A PREROUTING -i ${LAN} -s 192.168.0.0/255.255.255.0 -d ${IP2} -j RETURN