very slow masquerading

Загрузка проца какая? Что вообще топ говорит? Какая ОС-ядро?

на тему «тюнинг BSD» в инете куча инфы.
советуют крутить параметры net.inet.tcp.sendspace, net.inet.ip.portrange*, и им подобные.

Нужно вывод top приложить + я думаю из за того что у тебя там транки и тд, маскирование пакетов происходит несколько раз.Также приложи вывод правил файрволла

Linux monique 2.6.32-5-686-bigmem #1 SMP Wed Jan 12 04:40:25 UTC 2011 i686 GNU/Linux

top - 17:48:25 up 18:58, 7 users, load average: 0.00, 0.04, 0.05
Tasks: 269 total, 2 running, 267 sleeping, 0 stopped, 0 zombie
Cpu(s): 0.0%us, 0.3%sy, 0.0%ni, 99.4%id, 0.0%wa, 0.0%hi, 0.3%si, 0.0%st
Mem: 6218284k total, 5056772k used, 1161512k free, 28532k buffers
Swap: 0k total, 0k used, 0k free, 4413048k cached

# Generated by iptables-save v1.4.8 on Tue Feb 22 17:45:19 2011
*nat
:PREROUTING ACCEPT [108517:10251518]
:POSTROUTING ACCEPT [29801:2234746]
:OUTPUT ACCEPT [124874:9410808]
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Tue Feb 22 17:45:19 2011
# Generated by iptables-save v1.4.8 on Tue Feb 22 17:45:19 2011
*filter
:INPUT DROP [612:129014]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [404176:1368522112]
:fail2ban-ssh - [0:0]
-A INPUT -p tcp -m multiport --dports 22 -j fail2ban-ssh
-A INPUT -i lo -j ACCEPT
-A INPUT -i bond0 -j ACCEPT
-A INPUT -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth0 -p tcp -m multiport --dports 22,80,443,1194,3690 -j ACCEPT
-A INPUT -i eth0 -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -i eth0 -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A INPUT -i bond0.2 -p udp -m multiport --dports 137,138 -j ACCEPT
-A INPUT -i bond0.2 -p tcp -m multiport --dports 139,445 -j ACCEPT
-A FORWARD -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i bond0 -j ACCEPT
-A fail2ban-ssh -j RETURN
COMMIT

05:00.0 Ethernet controller: Intel Corporation 82574L Gigabit Network Connection
06:00.0 Ethernet controller: Intel Corporation 82574L Gigabit Network Connection
07:00.0 Ethernet controller: Intel Corporation 82574L Gigabit Network Connection

если бы бсд — там всё просто как топор

dnat такой же эффект дает?

1.То есть это у тебя когда на 10М поток застывает?
2.Попробуй в правилах оставить(временно ) только -A POSTROUTING -o eth0 -j MASQUERADE
и замерить результат.
3.Ты 10M - откуда эту цифру получил и что поток ты natишь(какой тип трафика и тд)?

вопрос снимается — затычка была в bounding. сменил mode с balance-rr на balance-xor и свё вроде как заработало.

UPD: с 802.3ad mode проблем тоже нет, на том и остановился

ок.отлично.