Como capturar os marcadores conntrack corretamente?

Question

O servidor com DHCP (iface eth0 172.5.1.1/24) fornece internet via túnel openvpn (iface tun0 10.8.1.6) para clientes lan. Eu preciso marcar conexões tcp do cliente de lan exato, por exemplo 172.5.1.123

iptables -I FORWARD -m conntrack --ctorigsrc 172.5.1.123 --ctproto tcp -j CONNMARK --set-mark 123

Durante a execução no servidor 172.5.1.1, o comando conntrack -L --mark 123 i pode ver todas as conexões tcp da fonte 172.5.1.123

A questão é como capturar os marcadores de conexão do IP de origem 172.5.1.123 na interface de túnel do servidor vpn 10.8.1.1?