iptables - 設定による転送ルールの許可

私は依存ポータル（たとえば、別のポータルを構築しています。;））今、コア機能であるiptablesルールを処理しようとしています。これに基づいて、ipsetnameという有効なMacアドレスのリストがありますallow-mac。これは現在の構成です（質問自体を除く）。

echo 1 >/proc/sys/net/ipv4/ip_forward

ipset create allow-mac hash:mac counters
ipset add allow-mac XX:XX:XX:XX:XX:XX

IPT="/usr/sbin/iptables"

WAN="eth0"
LAN="eth1"

$IPT -P FORWARD DROP
$IPT -t nat -A POSTROUTING -o $WAN -j MASQUERADE
$IPT -I FORWARD -i $LAN -m set --match-set allow-mac src -j ACCEPT

これはうまくいきますが、うまくいきません！したがって、FORWARD基本チェーンを次に変更してルールを逆に変更すると、ACCEPT次のようになります。

$IPT -P FORWARD ACCEPT
$IPT -I FORWARD -i $LAN -m set ! --match-set allow-mac src -j DROP

目的の結果が得られ、リストに既知のMACアドレスを持つクライアントのみを渡すことができます。

私の質問は最初の設定ではなぜ機能しませんか？ 2番目の欠落している機能はモジュールがcounters追加されましたが、クライアントの「アップロード」トラフィックが計算された場合、ダウンロードトラフィックもどのように計算できますか（別のカウンタで）。