Ограничить количество одновременных tcp соединений

Есть задача ограничить кол-во одновременных открытых tcp-соединений у клиентов находящихся за linux-роутером.
До меня было сделано так:
-i eth0 -p tcp -m connlimit --connlimit-above 99 --connlimit-mask 32 -j DROP

что не нравится:
периодически подскакивает load average на роутере; conntrack -F решает это.
есть мнение, что это вообще не работает.

итак, какая альтернатива connlimit есть в природе?

ограничивать кол-во SYN пакетов за единицу времени, имхо,не вариант.