적절한 패킷이 허용되어야 하는데 iptables가 삭제/로그되는 이유는 무엇입니까?

저는 iptables 방화벽, fall2ban, openvpn, apache 등과 같은 일부 애플리케이션을 사용하여 Debian Jessie를 실행하는 서버를 설정하고 있습니다.

iptables 방화벽은 삭제된 모든 패킷을 기록하도록 구성됩니다. iptables 구성에서 작은 발췌:

...
-A INPUT -m comment --comment "003 accept related established rules IPv4" -m state --state RELATED,ESTABLISHED -j ACCEPT
...
-A INPUT -p tcp -m multiport --dports 1194 -m comment --comment "303 allow incoming OpenVPN" -m state --state NEW -j ACCEPT
...
-A INPUT -m comment --comment "900 IPv4 log dropped input chain" -j LOG --log-prefix "[IPTABLES INPUT IPv4] DROP " --log-level 6
-A INPUT -m comment --comment "910 IPv4 deny all other input requests" -j DROP

OpenVPN(포트 1194 사용)이 제대로 작동합니다. 많은 데이터를 전송해야 할 때까지 연결하고 연결을 사용하고 몇 시간 동안 작업할 수 있습니다. 이때 로그에는 다음 줄이 나타납니다.

Mar 02 20:39:27 rs3 kernel: [IPTABLES INPUT IPv4] DROP IN=eth0 OUT= MAC=ae:12:7b:9b:5d:e4:00:15:c7:c9:45:80:08:00 SRC=<MyIPAddress> DST=<ServerIPAddress> LEN=40 TOS=0x00 PREC=0x00 TTL=55 ID=20713 DF PROTO=TCP SPT=61941 DPT=1194 WINDOW=3040 RES=0x00 ACK URGP=0
Mar 02 20:39:27 rs3 kernel: [IPTABLES INPUT IPv4] DROP IN=eth0 OUT= MAC=ae:12:7b:9b:5d:e4:00:15:c7:c9:45:80:08:00 SRC=<MyIPAddress> DST=<ServerIPAddress> LEN=40 TOS=0x00 PREC=0x00 TTL=55 ID=20718 DF PROTO=TCP SPT=61941 DPT=1194 WINDOW=3040 RES=0x00 ACK URGP=0 
Mar 02 20:39:27 rs3 kernel: [IPTABLES INPUT IPv4] DROP IN=eth0 OUT= MAC=ae:12:7b:9b:5d:e4:00:15:c7:c9:45:80:08:00 SRC=<MyIPAddress> DST=<ServerIPAddress> LEN=40 TOS=0x00 PREC=0x00 TTL=55 ID=20719 DF PROTO=TCP SPT=61941 DPT=1194 WINDOW=3040 RES=0x00 ACK URGP=0 

[이 로그는 Fail2ban에서 가져온 것입니다. 서버가 내 로컬 컴퓨터에 대한 연결을 끊었습니다. ]

Q: 이러한 패킷이 삭제(및 기록)되는 이유는 무엇입니까? 즉, 이러한 패킷이 "RELATED,ESTABLISHED" 규칙에 의해 처리되지 않는 이유는 무엇입니까?

지금까지 내가 한 일은 문서를 읽고, 문제에 대해 생각하고, 규칙을 계속해서 확인하고, 인터넷에서 검색했지만 아무것도 나오지 않았습니다.

편집: 아마도 이것이 중요할 것입니다: Fail2ban에 의해 생성된 DROP 목록에는 약 500개의 항목이 있습니다.

편집: 이유를 알고 싶습니다(그래서 질문에 "왜"를 사용했습니다). 나는 해결책에 관심이 없습니다.

편집: 이 동작은 OpenVPN에만 국한되지 않으며 다른 프로토콜(예: ssh)을 사용해도 동일한 문제가 있습니다.

편집: 인상을 주려면 Wireshark 스크린샷을 살펴보십시오. 강조 표시된 패킷은 삭제/기록되었으며 스크린샷의 다른 모든 패킷은 삭제되지 않았습니다.

적절한 로그는 다음과 같습니다.

Mar 03 10:16:23 rs3 kernel: [IPTABLES INPUT IPv4] DROP IN=eth0 OUT= MAC=ae:12:7b:9b:5d:e4:00:15:c7:c9:45:80:08:00 SRC=<MyIPAddress>.117 DST=<ServerIPAddress>.116 LEN=40 TOS=0x00 PREC=0x00 TTL=55 ID=11550 DF PROTO=TCP SPT=63526 DPT=1194 WINDOW=32038 RES=0x00 ACK URGP=0 

IP ID(11550)를 사용하여 Wireshark에서 패킷을 찾았습니다. 이 ID를 가진 유일한 IP 패킷입니다.

편집: 서버 IP는 고정 IP입니다. 동적으로 할당된 IP 주소는 테스트 중에 변경되지 않았습니다. 연결은 로컬 컴퓨터에서 서버로 시작됩니다. 설정은 다음과 같습니다:

=================      ===================      ===============
| LocalComputer | ---- | NAT Router .117 | ---- | Server .116 |
=================      ===================      ===============
   Private IP            Dynam. Assigned            Fixed IP
                       but fixed during test